文本a10tps測(cè)試方案v1

1、A10 Tder TPS 測(cè)試方案2014 年 7 月目 錄概述3測(cè)試說(shuō)明3測(cè)試環(huán)境42.1.1 測(cè)試設(shè)備及. 4測(cè)試拓?fù)鋱D5TPS 初始配置52.1.4 h3 安裝63 測(cè)試內(nèi)容和方法83.1 IP 異常. 8No IP Payload8Micro Fragment83.2 協(xié)議異常. 9Land Attack9TCP IP Invalid Len10TCP NULL Scan11TCP SYN and FIN12TCP XMAS Scan13UDP Invalid Checksum143.2.7 UDP Port Loack153.2.8 TCP Short Header153.3 網(wǎng)絡(luò)層

2、 DDOS. 173.3.1of death17ICMP Flood18TCP ACK Flood19TCP RST Flood19TCP SYN Flood20UDP Flood21應(yīng)用層DNS. 22. 22DNS Any Query24DNS Query Flood253.4.4 HTTP Get/t Flood -Raimit263.4.5 HTTP Get Flood - by HOIC/HULK28SlowlorisSlowt. 30. 313.4.8 HTTP Attack-HTTP Authentication321 概述本文檔介紹了進(jìn)行 TPS 產(chǎn)品測(cè)試的環(huán)境要求、測(cè)試方法等

3、內(nèi)容，通過(guò)測(cè)試方案來(lái)模擬多種場(chǎng)景并檢驗(yàn) TPS 防御 DDoS 功能特性。2 測(cè)試說(shuō)明本次測(cè)試主要針對(duì) TPS防御系統(tǒng)進(jìn)行功能測(cè)試?；静捎胔3 作為測(cè)試步驟來(lái)對(duì) TPS 產(chǎn)品各項(xiàng)功能點(diǎn)進(jìn)試和驗(yàn)證：No IP Payload Mirco Fragment Land AttackTCP IP Invalid Length TCP NULL ScanTCP SYN&FIN TCP XMAS ScanUDP Invaild ChecksumUDP Port Lo ICMP Flood TCP ACK Flood TCP RST Flood TCP SYN Flood UDP Flood DNS At

4、tackHTTP Attackack2.1 測(cè)試環(huán)境2.1.1 測(cè)試設(shè)備及設(shè)備名稱數(shù)量安裝（或版本）Tder TPS 設(shè)備1TPS 4435 （v3.1）應(yīng)用服務(wù)器1安裝有 http 和 dns 服務(wù)客戶端1安裝 h3 工具、HOIC、HULK 以及 dns和 http2.1.2 測(cè)試拓?fù)鋱D本次測(cè)試所使用的拓?fù)淙缦拢和負(fù)湔f(shuō)明：1）TPS 設(shè)備采用對(duì)稱方式部署2）客戶端和服務(wù)器配置在不同的 VLAN，配置不同的子網(wǎng)地址3）由客戶端發(fā)起測(cè)試測(cè)試 TPS 功能特性2.1.3 TPS 初始配置對(duì) TPS 進(jìn)行網(wǎng)絡(luò)和 DDoS 初始配置：vlan 20untagged ethernet 2 router

5、-erface ve 20 name inside!vlan 30untagged ethernet 1 router-erface ve 30 name outside!erface managementip address 3 !erface ethernet 1enable!erface ethernet 2enable!erface ve 20ip address 00 ddos inside!erface ve 30ip address 00 ddos outside！ddos dst entry httpserver exceed-log-enablel4-type tcpdisa

6、ble-syn-auth！3 安裝2.1.4 h獲取 h3-20051105.tar.gz 安裝包解壓：tar -zxvf h3-20051105.tar.gz修改 bytesex.h 文件： 在#if defined( i386 )在#if defined( i386 )運(yùn)行./configure查詢 lib 依賴性控件，rpm前面添加 #defineBYTE_ORDER_LITTLE_ENDIAN后面添加|defined( x86_64 )-qa | grep pcap安裝 libpcap：yum y install libpcap安裝 libpcap-devel：yum y instal

7、l libpcap-develln -sf /usr/include/pcap-bpf.h /usr/include/net/bpf.h安裝 tcl：yum -y install tcl安裝 tcl-devel：yum -y install tcl-devel makemake stripmake install備注：在測(cè)試環(huán)境中使用 h與本文無(wú)關(guān)。3 工具，盡量不要使用-flood 模式，否則造成的一切3 測(cè)試內(nèi)容和方法3.1 IP 異常3.1.1 No IP Payload驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop | exclude 0

8、圖中顯示”IPv4 Payload None”數(shù)據(jù)包10000 個(gè)，成功率 100%。3.1.2 Micro Fragment測(cè)試3.1.2測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御碎片測(cè)試3.1.1測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 No IP Payload測(cè)試項(xiàng)目No IP Payload測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -rawip -d 0 c 10000 faster向 服務(wù)器發(fā)送 10000 個(gè) malformed packect，IP 包頭含有 TCP

9、協(xié)議類型，但不含有 TCP 包頭，數(shù)據(jù)包長(zhǎng)度為 60 字節(jié)預(yù)期結(jié)果TPS 設(shè)備能夠抵御 No IP Payload是否成功抵御 No IP Payload是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop | inc Frag圖中顯示”Micro Frag”數(shù)據(jù)包10000 個(gè)，成功率 100%。3.2 協(xié)議異常3.2.1 Land Attack測(cè)試3.2.1測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 Land Attack測(cè)試項(xiàng)目Land Attack測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試

10、拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 s 80 k d 80 S a c 10000 q -faster者發(fā)送具有相同 IP 源地址、目標(biāo)地址和 TCP端的偽造 TCP SYN 數(shù)據(jù)包，地址和地址保持一致測(cè)試項(xiàng)目Micro Fragment測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -rawip -d 1 x c 10000 faster向 服務(wù)器發(fā)送 10000 個(gè)微型碎片數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 Micro Fragment是否成功抵御 Micro Fragment是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，

11、sh ddos sistics anomaly-drop | inc Land圖中顯示”Land Attack”數(shù)據(jù)包10000 個(gè)，成功率 100%。3.2.2 TCP IP Invalid Len驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop | inc TCP測(cè)試3.2.2測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 IP Invalid Len測(cè)試項(xiàng)目IP Invalid Len測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -p 80 -S -L 0 -O 12 -c

12、10000 -faster向 服務(wù)器 tcp 80 端口發(fā)送 10000 個(gè)長(zhǎng)度為 0 字節(jié)的數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 IP Invalid Len是否成功抵御 IP Invalid Len是/否備注測(cè)試員簽名用戶廠商預(yù)期結(jié)果TPS 設(shè)備能夠抵御 Land Attack是否成功抵御 Land Attack是/否備注測(cè)試員簽名用戶廠商圖中顯示”TCP Invalid IPv4 Len”數(shù)據(jù)包10000 個(gè)，成功率 100%。3.2.3 TCP NULL Scan驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop | inc TCP測(cè)試3.2.

13、3測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 TCP NULL Scan測(cè)試項(xiàng)目TCP NULL Scan測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -p +80 -M 0 -c 10000 -faster向 服務(wù)器 tcp 80 端口遞增進(jìn)行 TCP 端口掃描預(yù)期結(jié)果TPS 設(shè)備能夠抵御 TCP NULL Scan是否成功抵御 TCP NULL Scan是/否備注測(cè)試員簽名用戶廠商圖中顯示”TCP NULL Scan”數(shù)據(jù)包10000 個(gè)，成功率 100%。3.2.4 TCP SYN and FIN驗(yàn)證結(jié)果：SSH 登

14、陸 TPS 設(shè)備，sh ddos sistics anomaly-drop| inc TCP測(cè)試3.2.4測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 TCP SYN&FIN測(cè)試項(xiàng)目TCP SYN&FIN測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟 -p 80 -S -L 0 -O 32 -c 10000 -faster向 服務(wù)器 tcp 80 端口發(fā)送 10000 個(gè)含有 SYN 和 FIN標(biāo)志位數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 TCP SYN&FIN是否成功抵御 TCP SYN&FIN是/否備注測(cè)試員簽名用戶廠商圖中顯示”

15、TCP SYN&FIN”數(shù)據(jù)包10000 個(gè)，成功率 100%。3.2.5 TCP XMAS Scan驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop| inc TCP測(cè)試3.2.5測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 TCP XMAS Scan測(cè)試項(xiàng)目TCP XMAS Scan測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -p 80 UPF M 0 -c 10000 fasterXMAS同時(shí)攜帶 URG、PUSH 和 FIN 標(biāo)志位，向 服務(wù)器發(fā)送 10000 個(gè) XM

16、AS 類型數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 TCP XMAS Scan是否成功抵御 TCP XMAS Scan是/否備注測(cè)試員簽名用戶廠商圖中顯示”TCP XMAS Scan”數(shù)據(jù)包10000 個(gè)，成功率 100%。3.2.6 UDP Invalid Checksum驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop | inc UDP測(cè)試3.2.6測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 UDP Invalid Checksum測(cè)試項(xiàng)目UDP Invalid Checksum測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試

17、拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -udp -p 53 b -c 10000 -faster向 服務(wù)器發(fā)送 10000 個(gè)-b 無(wú)效校驗(yàn)和數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 UDP Invalid Checksum是否成功抵御 UDP Invalid Checksum是/否備注測(cè)試員簽名用戶廠商圖中顯示”UDP Invalium”數(shù)據(jù)包1 個(gè)。3.2.7 UDP Port Loack驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop| inc UDP圖中顯示”UDP Port LB”數(shù)據(jù)包10000 個(gè)，成功率 100%；從測(cè)試看 TP

18、S 目前只識(shí) 別 UDP7 端口和 19 端口的 UDP loack 數(shù)據(jù)包。3.2.8 TCP Short Header測(cè)試3.2.8測(cè)試日期測(cè)試3.2.7測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 UDP Port Loack測(cè)試項(xiàng)目UDP Port Loack測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -udp -p 19 s 19 k -c 10000 -faster向 服務(wù)器發(fā)送 10000 個(gè) UDP LB ， 會(huì)攜帶 UDP 7 端口或者 19 端口， 特征為 UDP 源端口和目的端口采用一致性端口輸出預(yù)期

19、結(jié)果TPS 設(shè)備能夠抵御 UDP Port Loack是否成功抵御 UDP Port Loack 攻擊是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop | inc TCP被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 TCP Short Header測(cè)試項(xiàng)目TCP Short Header測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -p 80 -SF -c 10000 -faster向 服務(wù)器 tcp 80 端口發(fā)送 10000 個(gè)含有 SYN 和 FIN標(biāo)志

20、位數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 TCP Short Header是否成功抵御 TCP Short Header是/否備注測(cè)試員簽名用戶廠商3.3 網(wǎng)絡(luò)層 DDoS3.3.1of death驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics anomaly-drop | inc UDPof death 是典型的分片包大小為 65000由于每個(gè)方式，測(cè)試中采用每個(gè)字節(jié)，而 IP 數(shù)據(jù)包最大長(zhǎng)度為 1518 字節(jié)，因此每個(gè)數(shù)據(jù)包需要分為 43 個(gè)左右分片進(jìn)行。圖中顯示”O(jiān)THER Total Drop”數(shù)據(jù)包440003 個(gè)，成功率教高。測(cè)試3.3.1測(cè)試日期被測(cè)設(shè)備A10型

21、號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御of death測(cè)試項(xiàng)目of death測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -icmp d 65000-c 10000 faster向 服務(wù)器發(fā)送 10000 個(gè)大小為 65000 字節(jié)數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御of death是否成功抵御of death是/否備注測(cè)試員簽名用戶廠商3.3.2 ICMP Flood驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics icmp| exc 0圖中顯示”ICMP Dst Pkt Rate Drop”數(shù)據(jù)包棄了 7713 個(gè) I

22、CMP 包。7713 個(gè)，在規(guī)定的 Rate limit 策略中丟測(cè)試3.3.2測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 ICMP Flood測(cè)試項(xiàng)目ICMP Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件glid 20pkt-raimit 20ddos dst entry httpserver exceed-log-enablel4-type icmp glid 20允許的數(shù)據(jù)包率為每 100 毫秒發(fā)送 20 個(gè) ICMP 包測(cè)試步驟h3 -icmp -c 10000 faster向 服務(wù)器發(fā)送 10000 個(gè) ICMP flood數(shù)據(jù)包預(yù)期

23、結(jié)果TPS 設(shè)備能夠抵御 ICMP Flood是否成功抵御 ICMP Flood是/否備注測(cè)試員簽名用戶廠商3.3.3 TCP ACK Flood驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics tcp| exc 0圖中顯示”TCP ACK Rcv”數(shù)據(jù)包為 10000 個(gè)，其中“TCP Src Drop”丟棄數(shù)據(jù)包 10000個(gè)，成功率 100%。3.3.4 TCP RST Flood測(cè)試3.3.4測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 TCP RST Flood測(cè)試3.3.3測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) T

24、PS 設(shè)備能否抵御 TCP ACK Flood測(cè)試項(xiàng)目TCP ACK Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -p 80 -A -c 10000 -faster向 服務(wù)器發(fā)送 10000 個(gè) TCP ACK flood數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 TCP ACK Flood是否成功抵御 TCP ACK Flood是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics tcp| exc 0圖中顯示”TCP RST Rcv”數(shù)據(jù)包為 10000 個(gè)，其中“TCP Src Drop”丟棄數(shù)據(jù)包 10

25、000個(gè)，成功率 100%。3.3.5 TCP SYN Flood測(cè)試3.3.5測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 SYN Flood測(cè)試項(xiàng)目SYN Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件硬件 syn： syn-enable syn：測(cè)試項(xiàng)目TCP RST Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件TPS 無(wú)需額外配置測(cè)試步驟h3 -p 80 -R -c 10000 -faster向 服務(wù)器發(fā)送 10000 個(gè) TCP RST flood數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 TCP RST Flood是否成功抵御

26、TCP RST Flood是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics tcp| exc 0圖中顯示”TCP SYN Rev”數(shù)據(jù)包Sent”數(shù)量為 9972 個(gè)，SYN9972 個(gè)，SYN驗(yàn)證效率為 100%。功能啟用后”TCP SYN3.3.6 UDP Flood測(cè)試3.3.6測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御 UDP Flood測(cè)試項(xiàng)目UDP Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件glid 30pkt-raimit 30ddos dst entry httpserver e

27、xceed-log-enablel4-type tcp syn-測(cè)試步驟h3 -p 80 -S -L 0 -c 10000 -faster -q向 服務(wù)器發(fā)送 10000 個(gè) SYN Flood數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 SYN Flood是否成功抵御 SYN Flood是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics | exc 0圖中顯示”Dst Port Undef Drop”數(shù)據(jù)包UDP 數(shù)據(jù)包，因此數(shù)值大于 10000 個(gè)，10015 個(gè)，由于環(huán)境中還含有其他少量成功率幾乎為 100%。3.4 應(yīng)用層3.4.1 DNS測(cè)試3.4

28、.1測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御常見(jiàn)的 DNS測(cè)試項(xiàng)目DNS Attackddos dst entry httpserver exceed-log-enablel4-type udp glid 30測(cè)試步驟h3 -udp -p +-c 10000 -faster向 服務(wù)器發(fā)送 10000 個(gè) UDP Flood數(shù)據(jù)包預(yù)期結(jié)果TPS 設(shè)備能夠抵御 UDP Flood是否成功抵御 UDP Flood是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：Case1:All the UDP flood packets are mitigated and dropped

29、by the TPS due to exsh ddos sistics dns | exc 0Case2:sively large payload size.測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件Clear DDoS counters:TPS CLI#clear ddos s istics #clear ddos sistics udp #clear ddos src entry all #clear ddos dst entry allCase 1 UDP flood to defined port with big data sizeConfigure “max-payload

30、-size” under UDP template and apply it to the wildcard UDP port (port 0 udp) he dst entry. his ex le, “drop-on- no-port-match” option is disabled on “l(fā)4-type” UDP for testing pur es.TPS CLI configuration ddos template udp poc-udp max-payload-size 1280ddos dst entry W1” exceed-log-enablel4-type udpdr

31、op-on-no-port-match disable port 0 udptemplate udp poc-udpCase 2 Drop traffic addressed from well-known source portsConfigure “drop-known-resp-port” under UDP template and apply it tothe wildcard UDP port of the dst entry.TPS CLI configuration ddos template udp poc-udp max-payload-size 1280drop-know

32、n-resp-src-port測(cè)試步驟AttackerCase 1 Send simulated DNSlification attack (from source port 53) with data size 1400 bytesH3 h3 -udp d 1400 -p +s 53 -keep -flood Case 2 Send simulated DNSlification attack (from source port 53)H3 h3 -udp d 1200 -p +s 53 -keep -flood預(yù)期結(jié)果Case1:所有超過(guò)限制的數(shù)據(jù)包被丟棄Case2:所有源端口為53的請(qǐng)求

33、被丟棄.是否成功抵御 DNS Attack是/否備注測(cè)試員簽名用戶廠商sh ddos sistics dns | exc 03.4.2 DNS Any Query測(cè)試3.4.2測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 設(shè)備能否抵御常見(jiàn)的 DNS測(cè)試項(xiàng)目DNS Any Query測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件Clear DDoS counters:TPS CLI#clear ddos sistics #clear ddos sistics dns #clear ddos src entry all #clear ddos dst entry allCon

34、figure “any-check” under DNS template and apply it to the ddos dstentry.TPS CLI configuration ddos template dns dns-poc any-checkrequest-raimit type A 10 ddos dst entry D1” exceed-log-enablel4-type udp port 53 dns-udptemplate dns dns-poc測(cè)試步驟AttackerSend DNS ANY queries:DNSPerf# dnsperf -s -d ANY.txt

35、 -Q 1000 -c 100 -l 30 -t 0 # cat ANY.txt* ANYNormal UserSend normal DNS query:Linuxd # dig 預(yù)期結(jié)果Tder TPSDNS ANY queries are detected and mitigated.DDoS DNS counter “DNS Query ANY Drop” is increased for each DNSANY query.TPS CLITderTPS#show ddos sistics dns | exclude 0AttackerAll DNSPerf tranions for

36、ANY queries fail due to timeout.DNSPerf# dnsperf -s -d ANY.txt -Q 1000 -c 100 -l 30 -t 0 DNS Performance Testing ToolNominum VerSusd line: dnsperf -s -d ANY.txt -Q 1000 -c 100-l 30 -t 0Sus Sending queries (to )Sus Started at:Jun 30 17:17:46 2014驗(yàn)證結(jié)果：TPS:TderTPS#show ddos sistics dns | exclude 0DDOS

37、Ss - DNS TotalDNS Query ANY Drop 27694Attacker :DNSPerf# dnsperf -s -d ANY.txt -Q 1000 -c 100 -l 30 -t 03.4.3 DNS Query Flood測(cè)試3.4.3測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS DNS Query Flood測(cè)試項(xiàng)目DNS Query Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件啟用 DNS Query Flood 防護(hù)方法有三種：強(qiáng)制轉(zhuǎn)換成 TCP 認(rèn)證ddos template dns dns1 auth force-tcp!

38、ddos dst entry D1” exceed-log-enablel4-type udp port 53 dns-udptemplate dns dns-poc port 53 dns-tcpUDP 認(rèn)證UDP 連接和請(qǐng)求速率限制ddos template dns dns-poc request-raimit type A 10 ddos dst entry D1” Sus Stopafter 30.000000 seconds是否成功抵御 DNS Any Query是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：SSH 登陸 TPS 設(shè)備，sh ddos sistics dns | exc 03

39、.4.4 HTTP Get/t Flood -Raimit測(cè)試3.4.4測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 防護(hù) HTTP Get/t Flood測(cè)試項(xiàng)目HTTP Get/t Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件Clear DDoS counters:TPS CLIexceed-log-enable l4-type udpport 53 dns-udptemplate dns dns-poc測(cè)試步驟AttackerSend DNS queries with query type “A” in volume:DNSPerf# dnsperf -

40、s -d poc.txt -Q 1000 -c 100 -l 30 -t 1# cat poc.txtAA預(yù)期結(jié)果Tder TPSDNS A queries are detected and mitigated.DDoS DNS counter “Dst Rate 0 Drop” is increased for each A queryt is received above the limit. (Rate “0” means this is theDNS query ratehe configuration.)TPS CLITderTPS#show ddos sistics dns DDO

41、S Ss - DNS TotalForce TCP Auth 0 UDP Auth 0DNS Malform Query Drop 0 DNS Query ANY Drop 0Dst Rate 0 Drop 2796(snipped)TderTPS#show traffic | exclude 0 Port inPPS inBPS outPPS outBPS1 192 14997 97 160803 97是否成功抵御 DNS Query Flood是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：#clear ddos s istics #clear ddos sistics http #clear dd

42、os src entry all #clear ddos dst entry allConfigure “request-raimit” under HTTP template for src entry (i.e.,src default ip):TPS CLI configurationddos template http poc-http-srct-raimit 100request-raimit 100 ddos src default ipl4-type tcpglid 3l4-type udpglid 3app-type httptemplate http poc-http-src

43、Configure “request-raimit” (total and per URI) under HTTP templatefor dst entry.TPS CLI configurationddos template http poc-httpaction resetmss-timeout mss-percent 4 numbackets 20malformed-http enable request-header timeout 8t-raimit 400request-raimit 400request-raimit uri contains main rate 30 # Sy

44、mmetric deployment onlyslow-read-drop size 4 count 3idle-timeout 20測(cè)試步驟AttackerRun httpflooderl script (GET flood sle):httpflooder # perl httpfloodl -a GF -h -t 100 -n 3000 -ip 00 url /main/Normal UserAcs the web server:Linuxd$ wget$ wget預(yù)期結(jié)果Tder TPSHTTP GET Flood attack is detected and raimited.TPS

45、 CLITderTPS#show ddos sistics http-url-rateAttackerRun flood script:httpflooder$ perl httpfloodl -a GF -h -t 100 -n 2000 -ip 00 -url /main/+| HTTP Flooder, v1.0 |+是否成功抵御 HTTP Get/t Flood是/否備注測(cè)試員簽名用戶廠商TderTPS#show ddos sistics http-url-rate3.4.5 HTTP Get Flood - by HOIC/HULK測(cè)試3.4.5測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 44

46、35測(cè)試目的檢驗(yàn) TPS 能否防護(hù) HOIC/HULK HTTP Get Flood測(cè)試項(xiàng)目HTTP Get Flood測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件Clear DDoS counters:TPS CLI#clear ddos sistics #clear ddos sistics http #clear ddos src entry all #clear ddos dst entry allConfigure aFleX script to detect signatures of HOIC and HULK:TPS CLITderTPS#create aflex poc

47、 when HTTP_REQUEST if ( HTTP:ver equals 1.0 ) and ( HTTP:header names ends_with Host ) log local0.NOTICE DDoS Type: HOIC, Src IP: IP:cnt_addr - Detected and Mitigated!drop elseif HTTP:header names matches Accept-Encoding Host Keep-Alive User- Agent Accept-Charset Connection Referer Cache-Control log

48、 local0.NOTICE DDoS Type: HULK, Src IP: IP:cnt_addr - Detected and Mitigated!drop.Apply the aFleX script onto “port 80 http” under the dst entry:TPS CLI configurationddos dst entry W1” exceed-log-enable l4-type tcpl4-type udp port 80 http aflex poctemplate http poc-httptemplate tcp poc-tcp測(cè)試步驟Attack

49、erRun the HOIC application by specifying the web server as the(Windows).驗(yàn)證結(jié)果：TderTPS#show logRun the HULKscript: #hulk.pyNormal UserAcs to web site:Linuxd$ wget $ curl 預(yù)期結(jié)果Tder TPSHTTP GET Flood attack using HOIC and/or HULK is detected and mitigated based on its pattern.The following logs or simila

50、r are created by the aFleX script.CLITderTPS#show logJun 23 2014 16:47:39 Notice AFLEX:poc:DDoS Type: HOIC, Src IP: 00 -Detected and Mitigated!Jun 23 2014 16:47:39 Notice AFLEX:poc:DDoS Type: HOIC, Src IP: 00 -Detected and Mitigated!AttackerHULK No output including “Response Code” is seen on the con

51、sole running theHULK script.HOIC You see no difference on the HOIC application.Web ServerNo HTTP request generated by HOIC/HULK is received on the web server.Normal UserNormal user is able to acs web site sucsfully during the attack.是否成功抵御 HTTP Get Flood是/否備注測(cè)試員簽名用戶廠商3.4.6 Slowloris測(cè)試3.4.6測(cè)試日期被測(cè)設(shè)備A1

52、0型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 能否防護(hù) Slowloris測(cè)試項(xiàng)目Slowloris測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件Clear DDoS counters:TPS CLI#clear ddos sistics #clear ddos sistics http #clear ddos src entry all #clear ddos dst entry allConfigure “request-header timeout”he HTTP template:TPS CLI configurationddos template http poc-http act

53、ion resetmalformed-http enable request-header timeout 8slow-read-drop size 4 count 3idle-timeout 20Make suret the HTTP template is app d to the dst entry:TPS CLI configurationddos dst entry W1” exceed-log-enablel4-type tcp l4-type udp port 80 httptemplate http poc-httptemplate tcp poc-tcp測(cè)試步驟Attacke

54、rRun Slowloris Perl script:Perl # perl slowloris.pl -dns -timeout 10 num 2000Normal UserAcs to web site:Linuxd$ wget $ curl -retry 2 # “retry” option is needed for Asymmetric deployment預(yù)期結(jié)果Tder TPSSlowloris attack is detected and mitigated based on its traffic signature (plete requests).DDoS counter

55、 “Partial Hdr” is increased for each Slowloris stream.TPS CLI驗(yàn)證結(jié)果：TderTPS#show ddos sistics http | exclude 03.4.7 Slowt測(cè)試3.4.7測(cè)試日期被測(cè)設(shè)備A10型號(hào)TPS 4435測(cè)試目的檢驗(yàn) TPS 能否防護(hù) Slowt測(cè)試項(xiàng)目Slowt測(cè)試連接圖參考 2.1.2 章節(jié)測(cè)試拓?fù)鋱D預(yù)設(shè)條件Clear DDoS counters:TPS CLI#clear ddos sistics #clear ddos s istics http #clear ddos src entry all

56、 #clear ddos dst entry allConfigure “mss-timeout”he HTTP template:TPS CLI configurationddos template http poc-httpaction reset malformed-http enablemss-timeout mss-percent 4 numbackets 10request-header timeout 8slow-read-drop size 4 count 3idle-timeout 20TderTPS#show ddos sistics http | exclude 0 DD

57、OS Ss - HTTP TotalPkt Pros 8546 Partial Hdr 2003Policy Violation 2003Hdr Prosplete 2003Web ServerNo Slowloris packet (HTTP request) is received on the web server.Normal UserNormal user is able to acs the web site sucsfully during the attack.是否成功抵御 Slowloris是/否備注測(cè)試員簽名用戶廠商驗(yàn)證結(jié)果：TderTPS#show ddos sistic

58、s http | exclude 0Make suret the HTTP template is app d to the dst entry.測(cè)試步驟AttackerRun Tors Hammython script: #torshammy -t -r 10Normal UserAcs the web site:Linuxd$ wget $ curl -retry 2 # “retry” option is needed for Asymmetric deployment預(yù)期結(jié)果Tder TPSSlowtack is detected and mitigated based on its

59、behavior.DDoS counter “Fail Min Payload Excd” is increased for each Tors Hammer stream.TPS CLITderTPS#show ddos sistics http | exclude 0 DDOS Ss - HTTP TotalPkt Pros 240 Req 10Fail Min Payload Excd 10 Policy Violation 10Req Http 1.1 10 Req MethodT 10Req Payload Size 16k 10 Resp HTTP 1.1 10Resp Paylo

60、ad Size 2K 10 Sus Code 4XX 10Hdr Pros Time 1s 10AttackerTors Hammer tranion (script-generated traffic) stops after about 40 seconds, once the TPS has detected the attack and reset the connection.Web Server, several packets (depending on the “numbackets” value,his case 10 packets) arrive at the web s