杀毒软件导致全球蓝屏,DDoS防护导致云服务宕机,微软这家全球最大的网络安全公司,正在不断刷新人们对“安全威胁”的认知。
微软本周三晚间宣布,本周二全球范围内多个Microsoft 365和Azure云服务大规模长时间宕机事件的原因,是一次DDoS攻击触发了微软DDoS防护机制的“过激反应”。
此次宕机影响了多个微软服务,包括XBOX、Microsoft Entra、Microsoft 365及Microsoft Purview(包括Intune、Power BI和Power Platform)、Azure应用服务、Azure IoT Central、Azure日志搜索警报、Azure策略以及Azure门户。
DDoS防护“防卫过当”
在本周三发布的缓解声明中,微软表示,此次宕机的触发因素是一次DDoS攻击,但尚未明确追溯到特定的威胁行为者。
据安全研究机构CyberKnow透露,本周四凌晨黑客组织SN_blackmeta在电报频道发布了实施微软DDoS攻击的证据(下图),此外还有其他黑客也参与了针对微软云服务的DDoS攻击。
SN_blackmeta是类似Anonymous Sudan的亲巴勒斯坦黑客组织,主要攻击目标是支持以色列的美国及其盟国的基础设施和企业,具备攻击微软的能力和动机。一周前,Radware曾发布报告称SN-blackmeta针对中东某金融机构发动了一次为期六天的峰值高达1470万RPS的超大规模DDoS攻击。
但是根据微软本周三的声明,真正导致微软云服务大面积长时间瘫痪的“罪魁祸首”,是微软自身的DDoS防护机制。微软表示:“初步调查表明,DDoS攻击触发了我们的DDoS防护机制,由于我们防御措施(例如故障转移)中的一个错误,不但没有缓解,反而放大了攻击影响。”
此前,微软在宕机事件的缓解声明中表示,该事件是由“意外的使用峰值”导致Azure Front Door(AFD)和Azure内容分发网络(CDN)组件表现低于可接受的阈值,导致间歇性错误、超时和延迟峰值。
微软计划在72小时内发布初步事故评估报告(PIR),并在接下来的两周内发布最终事故评估报告,提供更多细节以及从本周宕机中吸取的教训。
微软云服务的“内忧外患”
近一年来,微软的云服务饱受内忧外患的折磨,宕机事件此起彼伏。
7月早些时候,微软声称由于Azure配置更改的原因,成千上万的Microsoft 365客户经历了一次大范围的宕机。
7月中旬,CrowdStrike错误更新导致的全球850万台Windows设备遭遇蓝屏死机,被称为史上最大规模系统崩溃事件。微软云服务在该事件中也未能幸免,微软位于美国中部的Azure区域数据中心首先受到冲击,导致包括Microsoft 365在内的多项服务无法正常使用,影响范围从Office应用扩展至Xbox服务。
此前,2023年6月微软曾确认遭受了代号Anonymous Sudan(又名Storm-1359)的黑客组织发动的第七层DDoS攻击,使其Azure、Outlook和OneDrive门户无法访问,该黑客组织被认为与俄罗斯有联系(编者:该组织的意识形态和行为模式与此次宣称对微软DDoS攻击负责的SN_blackmeta高度相似)。
2022年7月和2023年1月,Microsoft 365服务也分别因企业配置服务(ECS)部署故障和广域网IP变更而受到重大影响。
参考链接:
https://azure.status.microsoft/en-us/status/history/#incident-history-collapse-KTY1-HW8
https://www.radware.com/security/threat-advisories-and-attack-reports/six-day-web-ddos-attack-campaign/
声明:本文来自GoUpSec,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。