全球范圍內分布式拒絕服務 （DDoS） 網絡攻擊急劇增加，這種數字攻擊可以通過大量的互聯網流量壓垮目標服務器，從而使網站癱瘓。這種攻擊每年都會發生數百萬起，而且數量和規模都在不斷增加。大約三分之一的網站宕機是由于 DDoS 攻擊所致。計算機科學家兼波蘭國家網絡安全和人工智能研究所 （NASK） 研究總監 Micha? Karpowicz 說，“DDoS 網絡攻擊的目的是制造混亂，擾亂組織，當然還有造成經濟損失。這種攻擊非常常見，因為它們很容易生成。”在典型 DDoS 攻擊中，罪犯會利用多臺感染了專門設計的惡意軟件的計算機和在線設備。

這些設備可能包括廚房電器、安全攝像頭和恒溫器等物聯網 （IoT） 設備，而且數量在與日俱增。目前，物聯網涵蓋的設備超過 100 億臺，是一支龐大的可被利用的隊伍。DDoS 攻擊通常會采用以下兩種類型中的一種，或是兩種類型的組合。在容量耗盡攻擊中，受感染的設備會以極大的流量一次性涌入目標網絡，致使其過載而無法為普通用戶提供服務。在應用程序攻擊中，發出的請求會要求服務器執行大量計算，這同樣會導致服務器過載。

Karpowicz 使用了一個大家熟悉的場景來描述這個問題。想象你正開車去銀行。沿途車輛稀少，一路暢通，直到你抵達最后一個十字路口。這時道路突然發生擁堵，你只能等待。這就是容量耗盡攻擊。現在再想象一下，你終于到了銀行，正排隊等候柜臺員工為你辦理業務。你發現排在你前面的客戶出現了不同尋常的問題，需要銀行所有員工的幫助。同樣，你還是只能等待。這就是應用程序攻擊。

惡意軟件可以隱藏請求的來源，使得攻擊難以抵擋。有些服務還會提供雇傭攻擊服務，使得攻擊更加容易使用。這些服務的發起方通常是心懷不滿的員工、激進分子、市場競爭對手和國家。Karpowicz 指出，在疫情居家期間，NASK 在網課開始時檢測到來自學生網絡發起的攻擊，其目的是試圖讓在線測試無法進行。但最近 Karpowicz 開發了數學方法來檢測這種惡意請求，以對其進行阻止或重定向。他說，“當你面臨一個來自現實的問題時，它會給你許多的靈感。”

動態指紋

互聯網上的信息，包括來自網站的請求，均由數據包組成。每個數據包都有一個作為唯一標識符的標頭，描述了數據包的大小、來源和目的地。典型防御會查看這些標頭，看它們是否在禁止列表中。然后，防御將壞數據包重定向到無害的目的地。問題是他們必須事先就擁有這個列表，并且攻擊者經常會更改標頭以逃避檢測。與此相反，Karpowicz 的解決方案采取的是實時檢測網絡流量模式。想象一下城市的十字路口有一系列交通攝像頭。如果你觀看隨機采集的一些視頻片段，你發現突然之間有大量的藍色敞篷車聚集在某個位置。很可疑。接下來，你可以密切觀察這些車輛，了解更多信息，并且可以讓其中更多的車輛靠邊停下。這種方法可以將網絡數據轉換為信號數據。于是任務就變成了分離不同的信號源。

Karpowicz 認為這跟“雞尾酒會問題”差不多。“雞尾酒會問題”說得是你參加了一個派對，周圍的人都在交談，你必須從中辨別出跟你交談的人所說的那些話。這里，他采用了線性代數。他用信號，也就是數據包標頭，填充矩陣。在矩陣中，每一行代表一段時間內特定類型（由數據包大小、來源或某個其他因素定義）的數據包。在車輛交通的類比中，你可能有表示藍色車輛、小型貨車和來自加州的車輛的行。在給定矩陣中填充單元格的值表示的是可能與攻擊識別相關的內容。在一個矩陣中，每個單元格包含的可能是標志數，而在另一個矩陣中，它可能表示每秒比特數。接下來，Karpowicz 將破譯這些指標中哪些屬性組合出現頻率特別高。不單單是藍色汽車或敞篷車，而是藍色敞篷車。

FLDX 系統中檢測到的容量耗盡攻擊。（圖片所有權：Michal Karpowicz）

一旦找到這些特征組合，他便將其轉換回網絡領域，形成防火墻規則。在車輛交通的類比中，如果他知道了是某個品牌和型號的藍色汽車造成的問題，他便會創建攝像頭濾鏡，立即找到這些車輛。他將這種基于線性代數的方法稱為元因式分解。一篇關于元因式分解的論文正在審查中。Karpowicz 在 MATLAB 中實現了這些計算。他說，“線性代數算法是科學界已知最快的算法，這使得這種方法非常高效。”

交通攔截

檢測惡意數據包只是問題的一部分；防御者還必須對其進行控制。Karpowicz 說，他偶然得到了一個解決方案。大約十年前，他做過一個提高網絡設備能源效率的項目。該項目的目的之一是預測流量，并將數據包流重定向到能夠進行處理的路由。在與從事網絡安全工作的一位同事討論該項目時，這位同事表示可以使用該項目對抗 DDoS 攻擊。Karpowicz 說，“我們一直在研究這個想法，經過一點一滴的努力，一項新技術逐漸成形。”在去年《European Journal of Control》上發表的一篇論文中，Karpowicz 描述了這項稱為自適應調節的新技術。典型網絡流量控制系統不會收到對其性能的反饋。它們是通過阻止與攻擊有某種關系的所有流量來防御攻擊。這往往會矯枉過正，因為可能會阻止合法的流量。Karpowicz 建議使用融入了反饋機制的流量控制器，這樣它們便會知道是否在重定向正確的數據包。他說，“網絡安全給我帶來了巨大的科學研究挑戰，尤其是在數學方面”。理論與實際相輔相成。“這就是讓我堅持下去的動力。我有種預感，這里面有點東西，而且有個需要解決方案的問題。”這些檢測和控制系統共同構成了 NASK 提供的 FLDX 服務的基礎，他們現在擁有這項服務的專利。它可以在 5 秒內檢測到攻擊，并在 10 秒內開始緩解攻擊。

實時檢測 DDoS 攻擊的 FLDX 系統。（圖片所有權：Michal Karpowicz）

NASK 在波蘭各地部署了 FLDX，使用分布式虛擬機集群保護全國網絡。Karpowicz 說，“整個解決方案的獨特之處在于，它不僅是一個網絡安全系統，而且是一個研究平臺。它讓你可以在 MATLAB 中編寫自己的算法來檢測和抑制攻擊。它還可以讓你訪問我們在 MATLAB 中收集的數據，并且你可以利用這項技術的所有好處，基于我們提供的流量樣本使用數據處理、信號處理和機器學習人工智能 （AI）。”檢測和自適應調節算法都使用機器學習，具體說是一種被稱為半監督學習的方法。它不需要太多手工標記的數據即可進行訓練。Karpowicz 說，“我們在學習算法中編碼了一些專業知識，然后讓它們自己完成工作。它們的工作是發現世界上正在發生的事情。他們能在大量的數據中發現統計規律，比如發現某一類型汽車的集群。他說，“這是機器學習的最佳使用場景。

在系統投入運行之前，我們不需要先行收集大量數據集對系統進行調節。在安裝好的那一刻系統就可開始工作。”檢測器使用“投票”系統來識別異常數據流。它還通過求解方程組來優化矩陣。即使網絡行為非線性（其中一些因素的影響不成比例），線性方程也可以捕獲到大部分的模式。研究人員和工程師可以使用 MATLAB 來訪問 NASK 的數據集，而且因為許多科技大學都已在使用該數據集，這使得“這種訪問非常方便”。NASK 的數據集可謂獨一無二，因為其中不僅包含了來自全國各地的流量數據，而且數據采樣率非常高。

FLDX 顯示不同的流量。（圖片所有權：Michal Karpowicz）

NASK 的研究著眼于流量動態、目標漏洞及攻擊的源、頻率和方法。他們使用 FLDX 來保護公共和商業客戶，包括學校和疫苗接種登記服務。贏得網絡安全部門同事的信任是一個“巨大的驚喜”。Karpowicz 說道，“在網絡安全工程部，科學家需要一定的時間才會贏得尊重。你得顯示出你理解他們在做什么，而且你也在做有用的事情。”但憑借 FLDX，“你可以直接進入前線戰場。這就是 NASK 的特別之處。我們從實驗室到技術和部署的路線極其簡短。”現在，Karpowicz 正在與其他機構開展合作，包括麻省理工學院和悉尼科技大學。他說，“我希望 NASK 在網絡安全和人工智能方面享譽全球”。我們已看到了一個良好得開端。

編輯：黃飛