DDOS攻擊(流量攻擊)防禦步驟

標籤：

DDOS全名是Distributed Denial of service (分散式阻斷服務攻擊),很多DOS攻擊源一起攻擊某台伺服器就組成了DDOS攻擊,DDOS 最早可追溯到1996年最初,在中國2002年開始頻繁出現,2003年已經初具規模.

DDoS攻擊簡介:

　　DDoS的攻擊方式有很多種，最基本的DoS攻擊就是利用合理的服務要求來佔用過多的服務資源，從而使伺服器無法處理合法使用者的指令。 

　　單一的DoS攻擊一般是採用一對一方式的，當被攻擊目標CPU速度低、記憶體小或者網路頻寬小等等各項效能指標不高,它的效果是明顯的。隨著計算 機與網路技術的發展，電腦的處理能力迅速增長，記憶體大大增加，同時也出現了千兆層級的網路，這使得DoS攻擊的困難程度加大了 - 目標對惡意攻擊包 的"消化能力"加強了不少，例如你的攻擊軟體每秒鐘可以發送3,000個攻擊包，但我的主機與網路頻寬每秒鐘可以處理10,000個攻擊包，這樣一來攻擊 就不會產生什麼效果。 

　　這時候分布式的拒絕服務的攻擊手段（DDoS）就應運而生了。你理解了DoS攻擊的話，它的原理就很簡單。如果說電腦與網路的處理能力加大了 10倍，用一台攻擊機來攻擊不再能起作用的話，攻擊者使用10台攻擊機同時攻擊呢？用100台呢？DDoS就是利用更多的傀儡機來發起進攻，以比從前更大 的規模來進攻受害者。 

　　高速廣泛串連的網路給大家帶來了方便，也為DDoS攻擊創造了極為有利的條件。在低速網路時代時，駭客佔領攻擊用的傀儡機時，總是會優先考慮離 目標網路距離近的機器，因為經過路由器的跳數少，效果好。而現在電信骨幹節點之間的串連都是以G為層級的，大城市之間更可以達到2.5G的串連，這使得攻 擊可以從更遠的地方或者其他城市發起，攻擊者的傀儡機位置可以在分布在更大的範圍，選擇起來更靈活了。

DDoS攻擊原理:

　　通過使網路過載來幹擾甚至阻斷正常的網路通訊。通過向伺服器提交大量請求，使伺服器超負荷。阻斷某一使用者訪問伺服器阻斷某服務與特定系統或個人的通訊。 

DDOS攻擊(流量攻擊)防禦步驟:

其實說到最讓站長頭疼的事情,莫過於DDOS[分散式阻斷服務攻擊].無法訪問網站但當攻擊者進行DDOS攻擊時,很多站長都會說“隨他玩吧,等玩夠了就不會攻擊了” 這樣的思路是對的.但又是致命的.不進行任何的補救.坐以待斃.是最大的忌諱

但是對於真實中的DDOS攻擊.數量是龐大的.處理方法如下:

1、使用工具:DDoS deflate . 自動查封IP.

2、解析網域名稱到127.0.0.1 讓攻擊方自己攻擊自己[代價.網站不可訪問].

3、關閉網站的nginx 或者IIS 阿帕奇.等攻擊過後再開啟.

4、換高防伺服器(首頁使用靜態頁提高處理器速度).

5、隨他玩吧,等玩夠了就不會攻擊了.

6、有條件的朋友,可以考慮做cdn加速.

對於DDOS防禦的理解
　　對付DDOS是一個系統工程，想僅僅依靠某種系統或產品防住DDOS是不現實的，可以肯定的是，完全杜絕DDOS目前是不可能的，但通過適當的措施抵禦90%的DDOS攻擊是可以做到的，基於攻擊和防禦都有成本開銷的緣故，若通過適當的辦法增強了抵禦DDOS的能力，也就意味著加大了攻擊者的攻擊成本，那麼絕大多數攻擊者將無法繼續下去而放棄，也就相當於成功的抵禦了DDOS攻擊。 

　　DDoS防禦的方法： 

　　1、採用高效能的網路裝置 

　　首先要保證網路裝置不能成為瓶頸，因此選擇路由器、交換器、硬體防火牆等裝置的時候要盡量選用知名度高、口碑好的產品。再就是假如和網路供應商有特殊關係或協議的話就更好了，當大量攻擊發生的時候請他們在網路接點處做一下流量限制來對抗某些種類的DDOS攻擊是非常有效。 

　　2、盡量避免NAT的使用 

　　無論是路由器還是硬體防護牆裝置要盡量避免採用網路位址轉譯NAT的使用，因為採用此技術會較大降低網路通訊能力，其實原因很簡單，因為NAT需要對地址來迴轉換，轉換過程中需要對網路包的校正和進行計算，因此浪費了很多CPU的時間，但有些時候必須使用NAT，那就沒有好辦法了。 

　　3、充足的網路頻寬保證 

　　網路頻寬直接決定了能抗受攻擊的能力，假若僅僅有10M頻寬的話，無論採取什麼措施都很難對抗現在的SYNFlood攻擊，當前至少要選擇100M的共用頻寬，最好的當然是掛在1000M的主幹上了。但需要注意的是，主機上的網卡是1000M的並不意味著它的網路頻寬就是千兆的，若把它接在100M的交換器上，它的實際頻寬不會超過100M，再就是接在100M的頻寬上也不等於就有了百兆的頻寬，因為網路服務商很可能會在交換器上限制實際頻寬為10M，這點一定要搞清楚。 

　　4、升級主機伺服器硬體 

　　在有網路頻寬保證的前提下，請盡量提升硬體設定，要有效對抗每秒10萬個SYN攻擊包，伺服器的配置至少應該為：P4 2.4G/DDR512M/SCSI-HD，起關鍵作用的主要是CPU和記憶體，若有志強雙CPU的話就用它吧，記憶體一定要選擇DDR的高速記憶體，硬碟要盡量選擇SCSI的，別只貪IDE價格不貴量還足的便宜，否則會付出高昂的效能代價，再就是網卡一定要選用3COM或Intel等名牌的，若是Realtek的還是用在自己的PC上吧。 

　　5、把網站做成靜態頁面 

　　大量事實證明，把網站儘可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給駭客入侵帶來不少麻煩，至少到現在為止關於HTML的溢出還沒出現，看看吧！新浪、搜狐、網易等門戶網站主要都是靜態頁面，若你非需要動態指令碼調用，那就把它弄到另外一台單獨主機去，免的遭受攻擊時連累主伺服器，當然，適當放一些不做資料庫呼叫指令碼還是可以的，此外，最好在需要調用資料庫的指令碼中拒絕使用代理的訪問，因為經驗表明使用代理訪問你網站的80%屬於惡意行為。 

　　6、增強作業系統的TCP/IP棧 

　　Win2000和Win2003作為伺服器作業系統，本身就具備一定的抵抗DDOS攻擊的能力，只是預設狀態下沒有開啟而已，若開啟的話可抵擋約10000個SYN攻擊包，若沒有開啟則僅能抵禦數百個，具體怎麼開啟，自己去看微軟的文章吧！《強化 TCP/IP 堆棧安全》。 

　　也許有的人會問，那我用的是Linux和FreeBSD怎麼辦？很簡單，按照這篇文章去做吧！《SYN Cookies》。 

　　7、安裝專業抗DDOS防火牆 

　　綠盟黑洞: X86架構，Linux核心與自主專利的抗syn-flood演算法。對抗單一類型的syn，udp，icmp dos效果很好，但是當多種混合時效果就略差。優點是更新快，支援人員比較好，在100M環境下對syn-flood有絕對優勢。 缺點是文檔和資訊缺乏，同時工作(軟硬體兩方面)不是很穩定。 

　　金盾抗拒絕服務系統：金盾抗拒絕服務系列產品，應用了自主研發的抗拒絕服務的攻擊演算法，對SYN Flood，UDP Flood，ICMP Flood，IGMP Flood，Fragment Flood，HTTP Proxy Flood，CC Proxy Flood，Connection Exhausted等各種常見的攻擊行為均可有效識別，並通過整合的機制即時對這些攻擊流量進行處理及阻斷，保護服務主機免於攻擊所造成的損失。內建的WEB保護模式及遊戲保護模式，徹底解決針對此兩種應用的DOS攻擊方式。金盾抗拒絕服務系列產品，除了提供專業的DOS/DDOS攻擊檢測及防護外，還提供了面向報文的通用規則匹配功能，可設定的域包括地址、連接埠、標誌位，關鍵字等，極大的提高了通用性及防護力度。同時，內建了若干預定義規則，涉及區域網路防護、漏洞檢測等多項功能，便於使用。 

　　天網防火牆: 最早基於OpenBSD核心，X86架構，現在應該也是Linux核心了。很早就加入了抗syn-flood功能，實際應該是syn-cache/syn-cookie的改進或加強版。實際測試syn流量64B包抵抗極限大概是25M左右。當小於20M是還是可以看到效果的。同時結合良好的防火牆策略應該也可以做到針對udp/icmp等類型的限制。 

　　一己拙見: 防火牆一般來說還是讓它作為自己的專業用途(存取控制)比較好，當然在網路業務不是很重要的生產類企業來說，買個防火牆同時兼有簡單的抗syn功能倒也不錯。 

　　8、其他防禦措施 

　　以上幾條對抗DDOS建議，適合絕大多數擁有自己主機的使用者，但假如採取以上措施後仍然不能解決DDOS問題，就有些麻煩了，可能需要更多投資，增加伺服器數量並採用DNS輪巡或負載平衡技術，甚至需要購買七層交換器裝置，從而使得抗DDOS攻擊能力成倍提高，只要投資足夠深入。 

預防為主保證安全
DDOS應付方法
　　DdoS攻擊是駭客最常用的攻擊手段，下面列出了對付它的一些常規方法。 

　　（1）定期掃描 

　　要定期掃描現有的網路主節點，清查可能存在的安全性漏洞，對新出現的漏洞及時進行清理。骨幹節點的電腦因為具有較高的頻寬，是駭客利用的最佳位置，因此對這些主機本身加強主機安全是非常重要的。而且串連到網路主節點的都是伺服器層級的電腦，所以定期掃描漏洞就變得更加重要了。 

　　（2）在骨幹節點配置防火牆 

　　防火牆本身能抵禦DdoS攻擊和其他一些攻擊。在發現受到攻擊的時候，可以將攻擊導向一些犧牲主機，這樣可以保護真正的主機不被攻擊。當然導向的這些犧牲主機可以選擇不重要的，或者是linux以及unix等漏洞少和天生防範攻擊優秀的系統。 

　　（3）用足夠的機器承受駭客攻擊 

　　這是一種較為理想的應對策略。如果使用者擁有足夠的容量和足夠的資源給駭客攻擊，在它不斷訪問使用者、奪取使用者資源之時，自己的能量也在逐漸耗失，或許未等使用者被攻死，駭客已無力支招兒了。不過此方法需要投入的資金比較多，平時大多數裝置處於空閑狀態，和目前中小商業網路實際運行情況不相符。 

　　（4）充分利用網路裝置保護網路資源 

　　所謂網路裝置是指路由器、防火牆等負載平衡裝置，它們可將網路有效地保護起來。當網路被攻擊時最先死掉的是路由器，但其他機器沒有死。死掉的路由器經重啟後會恢複正常，而且啟動起來還很快，沒有什麼損失。若其他伺服器死掉，其中的資料會丟失，而且重啟伺服器又是一個漫長的過程。特別是一個公司使用了負載平衡裝置，這樣當一台路由器被攻擊死機時，另一台將馬上工作。從而最大程度的削減了DdoS的攻擊。 

　　（5）過濾不必要的服務和連接埠 

　　過濾不必要的服務和連接埠，即在路由器上過濾假IP……只開放服務連接埠成為目前很多伺服器的流行做法，例如WWW伺服器那麼只開放80而將其他所有連接埠關閉或在防火牆上做阻止策略。 

　　（6）檢查訪問者的來源 

　　使用Unicast Reverse Path Forwarding等通過反向路由器查詢的方法檢查訪問者的IP地址是否是真，如果是假的，它將予以屏蔽。許多駭客攻擊常採用假IP地址方式迷惑使用者，很難查出它來自何處。因此，利用Unicast Reverse Path Forwarding可減少假IP地址的出現，有助於提高網路安全性。 

　　（7）過濾所有RFC1918 IP地址 

　　RFC1918 IP地址是內部網的IP地址，像10.0.0.0、192.168.0.0 和172.16.0.0，它們不是某個網段的固定的IP地址，而是Internet內部保留的地區性IP地址，應該把它們過濾掉。此方法並不是過濾內部員工的訪問，而是將攻擊時偽造的大量虛假內部IP過濾，這樣也可以減輕DdoS的攻擊。 

　　（8）限制SYN/ICMP流量 

　　使用者應在路由器上配置SYN/ICMP的最大流量來限制SYN/ICMP封包所能佔有的最高頻寬，這樣，當出現大量的超過所限定的SYN/ICMP流量時，說明不是正常的網路訪問，而是有駭客入侵。早期通過限制SYN/ICMP流量是最好的防範DOS的方法，雖然目前該方法對於DdoS效果不太明顯了，不過仍然能夠起到一定的作用。 

抗DDOS產品主要廠家
綠盟科技
　　綠盟科技從2001年5月開始進行針對DoS攻擊的產品研發，次年，該公司完成了抗拒絕服務的攻擊的剋星—“黑洞Collapasar”的全部研發工作，並申請了國家發明專利。 

中新金盾
　　安徽中新軟體有限公司創立於2002年，是集網路安全產品、軟硬體開發的高科技公司。公司針對DDOS 攻擊的產品自主研發、生產的金盾系列安全產品包括金盾防火牆、金盾抗拒絕服務系統、流量牽引裝置、資訊過濾系統。自創立至今一直在市場上獲得良好、堅實的口碑。 

傲盾
　　傲盾安全網的的知名品牌“傲盾防火牆”是一套全面、創新、高安全性、高效能的網路安全系統。傲盾ddos防火牆具有ddos、dos攻擊防禦、NAT地址轉換功能、特有TCP標誌位檢測功能，傲盾ddos防火牆具有世界領先的資料流指紋檢測技術、獨立開發的高效率系統核心等特點，是國內一家可完全抵禦ACK、DOS、DDOS、SYN、FLOOD、FATBOY及各種變種如Land，Teardrop，Smurf，Ping of Death，FATBOY等攻擊的安全防禦安全產品，致力於為個大企業、事業機關及網路服務商提供完整的資訊安全的解決方案及全面的支援人員服務。 

　　冰盾 

　　冰盾抗DDOS防火牆（Bing噸 Anti-DDOS Firewall）來自IT技術世界一流的美國矽谷，由華人留學生Mr.BingleWang和Mr.Buick Zhang設計開發，採用國際領先的生物基因鑒別技術智能識別各種DDOS攻擊和駭客入侵行為，防火牆採用MircroKernel微核心和ActiveDefeense主動防禦引擎技術實現，工作在系統的最底層，充分發揮CPU的效能，僅耗費少許記憶體即獲得驚人的處理效能。經高強度攻防實驗測試表明：在抗DDOS攻擊方面，工作於100M網卡冰盾約可抵禦每秒25萬個SYN包攻擊，工作於1000M網卡冰盾約可抵禦160萬個SYN攻擊包；在防駭客入侵方面，冰盾可智能識別Port掃描、Unicode惡意編碼、SQL注入攻擊、Trojan木馬上傳、Exploit漏洞利用等2000多種駭客入侵行為並自動阻止，是迄今為止在抗DDOS領域功能最為強大的防火牆產品之一。 

　　天鷹 

　　天鷹ddos防火牆天鷹抗DDOS防火牆》：是國內目前防禦攻擊種類最多、運行效率最高的專業抗DDOS防火牆。專屬“天鷹網路行為分析”專利技術使得天鷹抗DDOS防火牆完全不同其它同類產品：不僅能夠準確防禦已知的網路攻擊，而且還具備防禦未知攻擊的能力；出類拔萃的防禦能力和運行效率，使得天鷹抗DDOS防火牆成為全球最大華人網站《新浪網》、國內頂級防駭客技術網站《駭客防線》、國際知名社區聊天網站《CamFrog World》等眾多有影響力、遠見卓識的知名網站的一致選擇。

DDOS攻擊(流量攻擊)防禦步驟