DDOS攻擊不僅是黑客牟利和商業(yè)競(jìng)爭(zhēng)的一種方式，還成為網(wǎng)絡(luò)對(duì)抗的重要手段。且DDoS攻擊很簡(jiǎn)單，任何一個(gè)不懂技術(shù)的人都可以發(fā)起，已經(jīng)成為網(wǎng)站最大的安全威脅，那站長(zhǎng)該如何避免呢？今天小編就為大家做個(gè)簡(jiǎn)單的介紹。
DDOS攻擊概念：
DDoS攻擊，也就是分布式拒絕服務(wù)(Distributed Denial of Service，簡(jiǎn)稱DDoS)，攻擊者想辦法讓目標(biāo)服務(wù)器的磁盤空間、內(nèi)存、進(jìn)程、網(wǎng)絡(luò)帶寬等資源被占滿，從而導(dǎo)致正常用戶無(wú)法訪問(wèn)，好比是一個(gè)正常的商店，有人惡意找大量人去排隊(duì)但是不買東西，導(dǎo)致其他顧客也無(wú)法買到東西。
攻擊者進(jìn)行拒絕服務(wù)攻擊，實(shí)際上讓服務(wù)器實(shí)現(xiàn)兩種效果：一是迫使服務(wù)器的緩沖區(qū)滿，無(wú)法接收新的請(qǐng)求;二是使用IP欺騙，迫使服務(wù)器把合法用戶的連接復(fù)位，影響合法用戶的連接。攻擊者是使用傀儡機(jī)(俗稱“肉雞”，受病毒木馬操控的計(jì)算機(jī)或服務(wù)器)作為攻擊平臺(tái)，通過(guò)大量偽裝合法的請(qǐng)求占用大量網(wǎng)絡(luò)資源，以達(dá)到使指定目標(biāo)的網(wǎng)絡(luò)或服務(wù)癱瘓中斷。隨著網(wǎng)絡(luò)攻擊手法的進(jìn)步，攻擊者操控的“傀儡機(jī)”不只是計(jì)算機(jī)電腦，還有高性能服務(wù)器，甚至還有自愿加入的僵尸網(wǎng)絡(luò)。
DDOS攻擊方式：
SYN/ACK Flood 攻擊：這種攻擊方法是經(jīng)典最有效的DDoS方法，主要是通過(guò)向受害主機(jī)發(fā)送大量偽造源 IP 和源端口的 SYN 或 ACK 包，導(dǎo)致主機(jī)的緩存資源被耗盡或忙于發(fā)送回應(yīng)包而造成拒絕服務(wù)，可通殺各種系統(tǒng)的網(wǎng)絡(luò)服務(wù)。這種攻擊由于源頭都是偽造的，所以追蹤起來(lái)比較困難。但是，該攻擊實(shí)施起來(lái)有一定難度，需要大量高帶寬的僵尸主機(jī)。
TCP 全連接攻擊：這種攻擊是為了繞過(guò)常規(guī)防火墻的檢查而設(shè)計(jì)的。一般情況下，常規(guī)防火墻大多對(duì)于正常的 TCP 連接是放過(guò)的，但是很多網(wǎng)絡(luò)服務(wù)程序能接受的 TCP 連接數(shù)是有限的。TCP全連接攻擊就是通過(guò)許多僵尸主機(jī)不斷地與受害服務(wù)器建立大量的 TCP 連接，直到服務(wù)器的內(nèi)存等資源被耗盡而被拖跨， 從而造成拒絕服務(wù)。種攻擊的特點(diǎn)是可繞過(guò)一般防火墻的防護(hù)而達(dá)到攻擊;缺點(diǎn)是需要找很多僵尸主機(jī)，且僵尸主機(jī)的IP 是暴露，易被追蹤。
刷 t 腳本攻擊：這種攻擊是跟服務(wù)器建立正常的TCP連接， 并不斷的向腳本程序提交查詢、 列表等大量耗費(fèi)數(shù)據(jù)庫(kù)資源的調(diào)用。一般來(lái)說(shuō)， 提交一個(gè)指令對(duì)客戶端的耗費(fèi)和帶寬的占用是幾乎可以忽略的，而服務(wù)器為處理此請(qǐng)求卻可能要從上萬(wàn)條記錄中去查出某個(gè)記錄，這種處理過(guò)程對(duì)資源的耗費(fèi)是非常大。攻擊者只需通過(guò)代理向目標(biāo)服務(wù)器大量遞交查詢指令，只需數(shù)分鐘就會(huì)把服務(wù)器資源消耗掉而導(dǎo)致拒絕服務(wù)。這種攻擊的特點(diǎn)是可以完全繞過(guò)普通的防火墻防護(hù)， 輕松找一些代理就可實(shí)施攻擊;缺點(diǎn)是對(duì)付只有靜態(tài)頁(yè)面的網(wǎng)站效果會(huì)大打折扣，并且會(huì)暴露攻擊者的IP地址。
DDOS防御措施：
1、及早發(fā)現(xiàn)系統(tǒng)存在的攻擊漏洞，及時(shí)安裝系統(tǒng)補(bǔ)丁程序。對(duì)一些重要的信息（例如系統(tǒng)配置信息）建立和完善備份機(jī)制。對(duì)一些特權(quán)帳號(hào)（例如管理員帳號(hào)）的密碼設(shè)置要謹(jǐn)慎。通過(guò)這樣一系列的舉措可以把攻擊者的可乘之機(jī)降低到最小。
2、在網(wǎng)絡(luò)管理方面，要經(jīng)常檢查系統(tǒng)的物理環(huán)境，禁止那些不必要的網(wǎng)絡(luò)服務(wù)。建立邊界安全界限，確保輸出的包受到正確限制。經(jīng)常檢測(cè)系統(tǒng)配置信息，并注意查看每天的安全日志。
3、利用網(wǎng)絡(luò)安全設(shè)備（例如：防火墻）來(lái)加固網(wǎng)絡(luò)的安全性，配置好它們的安全規(guī)則，過(guò)濾掉所有的可能的偽造數(shù)據(jù)包。
4、比較好的防御措施就是和你的網(wǎng)絡(luò)服務(wù)提供商協(xié)調(diào)工作，讓他們幫助你實(shí)現(xiàn)路由的訪問(wèn)控制和對(duì)帶寬總量的限制。
5、當(dāng)你發(fā)現(xiàn)自己正在遭受DDoS攻擊時(shí)，你應(yīng)當(dāng)啟動(dòng)您的應(yīng)付策略，盡可能快的追蹤攻擊包，并且要及時(shí)聯(lián)系ISP和有關(guān)應(yīng)急組織，分析受影響的系統(tǒng)，確定涉及的其他節(jié)點(diǎn)，從而阻擋從已知攻擊節(jié)點(diǎn)的流量。
6、當(dāng)你是潛在的DDoS攻擊受害者，你發(fā)現(xiàn)你的計(jì)算機(jī)被攻擊者用做主控端和代理端時(shí)，你不能因?yàn)槟愕南到y(tǒng)暫時(shí)沒(méi)有受到損害而掉以輕心，攻擊者已發(fā)現(xiàn)你系統(tǒng)的漏洞，這對(duì)你的系統(tǒng)是一個(gè)很大的威脅。所以一旦發(fā)現(xiàn)系統(tǒng)中存在DDoS攻擊的工具軟件要及時(shí)把它清除，以免留下后患。
?2002-2019 Oriental Century All Rights Reserved. 版權(quán)所有：成都世紀(jì)東方網(wǎng)絡(luò)通信有限公司
《中華人民共和國(guó)增值電信業(yè)務(wù)經(jīng)營(yíng)許可證》ISP證編號(hào)：B1-20181050 蜀ICP備07500933號(hào) 營(yíng)業(yè)執(zhí)照 公安備案：51019001000101
