怎么防御DDoS攻击？
一．网络设备设施
网络架构、设施设备是整个系统得以顺畅运作的硬件基础，用足够的机器、容量去承受攻击，充分利用网络设备保护网络资源是一种较为理想的应对策略，说到底攻防也是双方资源的比拼，在它不断访问用户、夺取用户资源之时，自己的能量也在逐渐耗失。相应地，投入资金也不小，但网络设施是一切防御的基础，需要根据自身情况做出平衡的选择。
1. 扩充带宽硬抗
网络带宽直接决定了承受攻击的能力，国内大部分网站带宽规模在10M到100M，知名企业带宽能超过1G，超过100G的基本是专门做带宽服务和抗攻击服务的网站，数量屈指可数。但DDoS却不同，攻击者通过控制一些服务器、个人电脑等成为肉鸡，如果控制1000台机器，每台带宽为10M，那么攻击者就有了10G的流量。当它们同时向某个网站发动攻击，带宽瞬间就被占满了。增加带宽硬防护是理论最优解，只要带宽大于攻击流量就不怕了，但成本也是难以承受之痛，国内非一线城市机房带宽价格大约为100元/M*月，买10G带宽顶一下就是100万，因此许多人调侃拼带宽就是拼人民币，以至于很少有人愿意花高价买大带宽做防御。
2. 使用硬件防火墙
许多人会考虑使用硬件防火墙，针对DDoS攻击和黑客入侵而设计的专业级防火墙通过对异常流量的清洗过滤，可对抗SYN/ACK攻击、TCP全连接攻击、刷脚本攻击等等流量型DDoS攻击。如果网站饱受流量攻击的困扰，可以考虑将网站放到DDoS硬件防火墙机房。但如果网站流量攻击超出了硬防的防护范围（比如200G的硬防，但攻击流量有300G），洪水瞒过高墙同样抵挡不住。值得注意一下，部分硬件防火墙基于包过滤型防火墙修改为主，只在网络层检查数据包，若是DDoS攻击上升到应用层，防御能力就比较弱了。
3. 选用高性能设备
除了防火墙，服务器、路由器、交换机等网络设备的性能也需要跟上，若是设备性能成为瓶颈，即使带宽充足也无能为力。在有网络带宽保证的前提下，应该尽量提升硬件配置。
二、有效的抗D思想及方案
硬碰硬的防御偏于“鲁莽”，通过架构布局、整合资源等方式提高网络的负载能力、分摊局部过载的流量，通过接入第三方服务识别并拦截恶意流量等等行为就显得更加“理智”，而且对抗效果良好。
4. 负载均衡
普通级别服务器处理数据的能力最多只能答复每秒数十万个链接请求，网络处理能力很受限制。负载均衡建立在现有网络结构之上，它提供了一种廉价有效透明的方法扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性，对DDoS流量攻击和CC攻击都很见效。CC攻击使服务器由于大量的网络传输而过载，而通常这些网络流量针对某一个页面或一个链接而产生。在企业网站加上负载均衡方案后，链接请求被均衡分配到各个服务器上，减少单个服务器的负担，整个服务器系统可以处理每秒上千万甚至更多的服务请求，用户访问速度也会加快。
5. CDN流量清洗
CDN是构建在网络之上的内容分发网络，依靠部署在各地的边缘服务器，通过中心平台的分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率，因此CDN加速也用到了负载均衡技术。相比高防硬件防火墙不可能扛下无限流量的限制，CDN则更加理智，多节点分担渗透流量，目前大部分的CDN节点都有200G 的流量防护功能，再加上硬防的防护，可以说能应付目绝大多数的DDoS攻击了。这里我们推荐一款高性比的CDN产品：百度云加速，非常适用于中小站长防护。相关链接
6. 分布式集群防御
分布式集群防御的特点是在每个节点服务器配置多个IP地址，并且每个节点能承受不低于10G的DDoS攻击，如一个节点受攻击无法提供服务，系统将会根据优先级设置自动切换另一个节点，并将攻击者的数据包全部返回发送点，使攻击源成为瘫痪状态，从更为深度的安全防护角度去影响企业的安全执行决策。
网站被攻击怎么办防御的方法总是有的
1、分布式拒绝服务
2、CC攻击的原理
3、防御方式
1.分布式拒绝服务(DDoS:DistributedDenialofService)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在网络上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。
2.CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户（多少线程就是多少用户）不停地进行访问那些需要大量数据操作（就是需要大量CPU时间）的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。
3.防御方式：1.Anti服务器多样化的高防服务器可以有效的帮助网站防御ddos攻击无视cc，蔽国外流量。2.TTCDN分布式防御，用TTCDN来防御也是比较方便的防御方式，不需要更换服务器只要把域名解析到TTCDN即可防御，TTCDN多个高防节点进行防御，比起高防服务器单机防御，用TTCDN多个高防节点来防御跟能保证网站的稳定性。
网络攻击-拒绝服务攻击
Denial of Service，简称DoS，造成DoS攻击的行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。
常见的DoS攻击有计算机网络 带宽攻击 和 连通性攻击 。
带宽攻击 指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求无法通过。/br
连通性攻击 指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。
常用攻击手段有：SYN Flood、WinNuke、死亡之Ping、ICMP/SMURF、Finger炸弹、Land攻击、Ping洪流、Rwhod、Teardrop、TARGA3、UDP攻击等。
书中以SYN Flood攻击为例，详细介绍这种典型的DoS攻击：
SYN Flood是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。
SYNFlood攻击利用了TCP协议中的三次握手（Three-way Handshake）
SYN Flood攻击的具体原理：/br
TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的（第三次握手无法完成）。
这种情况下服务器端一般会重试（再次发送SYN+ACK给客户端）并等待一段时间后丢弃这个未完成的连接。这段时间的长度称为SYN Timeout，一般来说这个时间是分钟的数量级（大约为30s～2min）；/br
一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况（伪造IP地址），服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源。
即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。/br
如果服务器的TCP/IP栈不够大，最后的结果往往是堆栈溢出崩溃——即使服务器端的系统足够强大，服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬正常客户的请求（毕竟客户端的正常请求比率非常之小），此时从正常客户的角度看来，服务器失去响应，这种情况就称作：服务器端受到了SYN Flood攻击（SYN洪水攻击）
拒绝服务攻击主要是利用了系统的一些漏洞。漏洞利用拒绝服务攻击是一种利用漏洞造成软件不能正常运行的攻击方式。这种拒绝服务不依赖大量傀儡机，也不需要发送大量访问请求，而仅仅是利用目标节点软件的安全漏洞，通过精心构造恶意数据包，造成目标节点软件不能有效运行。
分布式拒绝服务（DDoS：Distributed Denial of Service）攻击是一种资源耗尽型攻击，通常也被称作洪水攻击。/br
利用分布于网络上的大量节点向同一目标节点发起的引起目标节点资源被大量消耗而不能正常对外提供服务的网络攻击方式。
分布式拒绝服务攻击主要是指那些借助外界的平台，如客户或者是服务器本身，把不同的计算机系统联合在一起，对其进行攻击，进而加倍地增强拒绝攻击的成果。一般情况，攻击者将分布式拒绝服务攻击的主控程序安装在一个用于控制的计算机上，将受控程序安装部署在因特网的多台计算机上。主控程序可以与受控程序进行通信并控制受控程序的行为，当主控程序发送特定的指令时，受控程序即可根据指令发动攻击。
DDoS攻击通过大量合法的请求占用大量网络资源，以达到瘫痪网络的目的。这种攻击方式有以下几种：
分布式拒绝服务攻击的步骤如下：/br
第1步：攻击者使用扫描工具扫描大量主机以寻找潜在入侵目标；/br
第2步：黑客设法入侵有安全漏洞的主机并获取控制权。这些主机将被用于放置后门、守护程序甚至是客户程序；/br
第3步：黑客在得到入侵计算机清单后，从中选出满足建立网络所需要的主机，放置已编译好的守护程序，并对被控制的计算机发送命令；/br
第4步：黑客发送控制命令给主机，准备启动对目标系统的攻击；
第5步：主机发送攻击信号给被控制计算机开始对目标系统发起攻击；
第6步：目标系统被无数伪造的请求所淹没，从而无法对合法用户进行响应，DDoS攻击成功。
DDoS攻击的效果是非常明显的，由于整个过程是自动化的，攻击者能够在5s钟内入侵一台主机并安装攻击工具。也就是说，在短短的一小时内可以入侵数千台主机，并使某一台主机可能要遭受1000MB/s数据量的攻击，这一数据量相当于1.04亿人同时拨打某公司的一部电话号码。
分布式反射拒绝服务攻击（DRDoS：Distributed Reflection Denial of Service）是一种较新的资源耗尽型拒绝服务攻击。
与分布式拒绝服务攻击使用伪造源IP地址不同，分布式反射拒绝服务攻击的来源IP地址全是真实地址，这些真实的网络节点本身并没有安全漏洞，而是利用TCP三次握手来实现的。
首先，攻击者通过控制的傀儡机使用受害者IP地址作为源地址向任意处于活动状态的网络节点（如核心路由器、域名服务器、大型网站等）发送带有SYN标记的数据包，也就是TCP三次握手的第一步；/br
处于活动状态的网络节点接收到伪造源IP地址的数据包后，将会按照协议要求向受害者进行应答，发送带有SYN、ACK标记的应答数据包。当攻击者使用大量傀儡机同时发起攻击时，即完成了一次分布式反射拒绝服务攻击。
分布式反射拒绝服务攻击最典型的攻击是Smurf攻击：/br
第一步：攻击者向被利用网络A的 广播地址 发送一个ICMP协议的“echo”请求数据报，该数据报源地址被伪造成10.254.8.9。/br
第二步：网络A上的所有主机都向该伪造的源地址返回一个“echo”响应，造成该主机服务中断。/br
现在的拒绝服务攻击很多都是利用工具自动化完成的。/br
攻击者控制某些主机不停地发送大量数据包给某服务器，造成服务器资源耗尽，一直到主机崩溃。CC主要是用来消耗服务器资源的。每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，模拟多个用户（多少线程就是多少用户）不停地访问那些需要大量数据操作（就是需要大量CPU时间）的页面，造成服务器资源的浪费，CPU负荷长时间处于100%，永远都有处理不完的连接，直至网络拥塞，正常的访问被中止。
拒绝服务攻击通常是很难防范的，不过也有一些防护措施：/br
1.加强用户的安全防范意识，关闭不必要的网络接口，降低因个人疏忽造成的不安全因素，安装防范功能较强的软件，对计算机做定时的安全扫描工作；/br
2.增加安全防范手段，了解和掌握可以有效地防治安全漏洞的软件，使用一些专门的漏洞检查工具进行问题的检测，如网络测试仪、流量测试仪等，及时地找出修复漏洞的方法和措施，减少不必要的损失。/br
3.正确运用安全防范工具，及时地使用网络检测软件对不安全因素进行检测，使用那些专门检测网络安全隐患的软件，定期进行检测。/br
拒绝服务攻击的防范措施包括
1. 安装入侵检测系统，检测拒绝服务攻击行为
2 . 安装安全评估系统，先于入侵者进行模拟攻击，以便及早发现问题并解决
3 . 安装防火墙，禁止访问不该访问的服务端口，过滤不正常的畸形数据包
如何防范“拒绝服务(DoS)”攻击
DoS攻击使用相对简单的攻击方法，可以使目标系统完全瘫痪，甚至破坏整个网络。因此Extreme Networks认为，只有从网络的全局着眼，在网间基础设施的各个层面上采取应对措施，包括在局域网层面上采用特殊措施，及在网络传输层面上进行必要的安全设置，并安装专门的DoS识别和预防工具，才能最大限度地减少DoS攻击所造成的损失。建立这样一个全面系统的网络安全体系，网络的基础架构必须是以三层交换和路由为核心的智能型网络，并在此基础上，提供完善的三层以上的安全策略管理工具，并提供对专业的安全管理软件支持的能力。Extreme Networks 一直是三层及多层交换技术的领导者，在为用户提供强大的带宽和速度的同时，也具备一套非常完善的网络管理工具，特别是针对DoS最难以解决的流量型攻击，Extreme Ware管理套件提供了有效的识别机制和强硬的控制手段。将最先进的三层交换技术和多层安全防范体系结合起来，是认真考虑抵抗DoS攻击的用户的最佳选择。而且在进行网络的设计阶段，就应该从局域网层面和网络传输层面进行合理的布置。 局域网层面问题：在局域网层面上，系统管理员可以采取大量的预防措施，防止DoS攻击带来的服务不能效应。这些预防措施包括：保持坚实的整体管理和安全程序，针对各类DoS攻击，实施特定的防卫措施等等。与特定DoS攻击类型有关的其它方法可以包括：关闭或限制可能被损坏或暗中破坏的特定服务。遗憾的是，这些限制措施还必须与其可能给合法应用(如采用UDP作为传输机制的 Real Audio) 带来的影响进行权衡。如果攻击者能够胁迫受害人不使用有益的IP服务或合法应用，那么在一定程度上，这些黑客已经达到了自己的目标。 网络传输层问题：尽管局域网管理员采取的措施在防止和抗击DoS攻击的基础工作中发挥着关键作用，但它们还必须在网络传输层实现某些完善的措施，以对基础工作进行有效补充。
保护网络数据流量：有效地保护网络数据流量涉及大量的互补战略，包括采用多层交换，实现独立于层的访问控制；利用可定制的过滤和信任邻居标准；控制非授权用户的网络登录访问。
0条大神的评论