由于DDoS攻擊往往采取合法的數(shù)據(jù)請求技術(shù)，再加上傀儡機(jī)器，造成DDoS攻擊成為目前最難防御的網(wǎng)絡(luò)攻擊之一。

怎么防止服務(wù)器被大流量攻擊？
據(jù)美國最新的安全損失調(diào)查報告，DDoS攻擊所造成的經(jīng)濟(jì)損失已經(jīng)躍居第一。傳統(tǒng)的網(wǎng)絡(luò)設(shè)備和周邊安全技術(shù)，例如防火墻和IDSs(Intrusion Detection Systems)，速率限制，接入限制等均無法提供非常有效的針對DDoS攻擊的保護(hù)，需要一個新的體系結(jié)構(gòu)和技術(shù)來抵御復(fù)雜的DDoS拒絕服務(wù)攻擊。

DDoS攻擊揭秘
DDoS攻擊主要是利用了internet協(xié)議和internet基本優(yōu)點——無偏差地從任何的源頭傳送數(shù)據(jù)包到任意目的地。

DDoS攻擊分為兩種：要么大數(shù)據(jù)，大流量來壓垮網(wǎng)絡(luò)設(shè)備和服務(wù)器，要么有意制造大量無法完成的不完全請求來快速耗盡服務(wù)器資源。有效防止DDoS攻擊的關(guān)鍵困難是無法將攻擊包從合法包中區(qū)分出來：IDS進(jìn)行的典型“簽名”模式匹配起不到有效的作用；許多攻擊使用源IP地址欺騙來逃脫源識別，很難搜尋特定的攻擊源頭。

有兩類最基本的DDoS攻擊：

●帶寬攻擊：這種攻擊消耗網(wǎng)絡(luò)帶寬或使用大量數(shù)據(jù)包淹沒一個或多個路由器、服務(wù)器和防火墻；帶寬攻擊的普遍形式是大量表面看合法的TCP、UDP或ICMP數(shù)據(jù)包被傳送到特定目的地；為了使檢測更加困難，這種攻擊也常常使用源地址欺騙，并不停地變化。

●應(yīng)用攻擊：利用TCP和HTTP等協(xié)議定義的行為來不斷占用計算資源以阻止它們處理正常事務(wù)和請求。HTTP半開和HTTP錯誤就是應(yīng)用攻擊的兩個典型例子。

DDoS威脅日益致命
DDoS攻擊的一個致命趨勢是使用復(fù)雜的欺騙技術(shù)和基本協(xié)議，如HTTP，Email等協(xié)議，而不是采用可被阻斷的非基本協(xié)議或高端口協(xié)議，非常難識別和防御，通常采用的包過濾或限制速率的措施只是通過停止服務(wù)來簡單停止攻擊任務(wù)，但同時合法用戶的請求也被拒絕，造成業(yè)務(wù)的中斷或服務(wù)質(zhì)量的下降；DDoS事件的突發(fā)性，往往在很短的時間內(nèi)，大量的DDoS攻擊數(shù)據(jù)就可是網(wǎng)絡(luò)資源和服務(wù)資源消耗殆盡。

現(xiàn)在的DDoS防御手段不夠完善
不管哪種DDoS攻擊，，當(dāng)前的技術(shù)都不足以很好的抵御?，F(xiàn)在流行的DDoS防御手段——例如黑洞技術(shù)和路由器過濾，限速等手段，不僅慢，消耗大，而且同時也阻斷有效業(yè)務(wù)。如IDS入侵監(jiān)測可以提供一些檢測性能但不能緩解DDoS攻擊，防火墻提供的保護(hù)也受到其技術(shù)弱點的限制。其它策略，例如大量部署服務(wù)器，冗余設(shè)備，保證足夠的響應(yīng)能力來提供攻擊防護(hù)，代價過于高昂。

黑洞技術(shù)
黑洞技術(shù)描述了一個服務(wù)提供商將指向某一目標(biāo)企業(yè)的包盡量阻截在上游的過程，將改向的包引進(jìn)“黑洞”并丟棄，以保全運營商的基礎(chǔ)網(wǎng)絡(luò)和其它的客戶業(yè)務(wù)。但是合法數(shù)據(jù)包和惡意攻擊業(yè)務(wù)一起被丟棄，所以黑洞技術(shù)不能算是一種好的解決方案。被攻擊者失去了所有的業(yè)務(wù)服務(wù)，攻擊者因而獲得勝利。

路由器
許多人運用路由器的過濾功能提供對DDoS攻擊的防御，但對于現(xiàn)在復(fù)雜的DDoS攻擊不能提供完善的防御。

路由器只能通過過濾非基本的不需要的協(xié)議來停止一些簡單的DDoS攻擊，例如ping攻擊。這需要一個手動的反應(yīng)措施，并且往往是在攻擊致使服務(wù)失敗之后。另外，現(xiàn)在的DDoS攻擊使用互聯(lián)網(wǎng)必要的有效協(xié)議，很難有效的濾除。路由器也能防止無效的或私有的IP地址空間，但DDoS攻擊可以很容易的偽造成有效IP地址。

基于路由器的DDoS預(yù)防策略——在出口側(cè)使用uRPF來停止IP地址欺騙攻擊——這同樣不能有效防御現(xiàn)在的DDoS攻擊，因為uRPF的基本原理是如果IP地址不屬于應(yīng)該來自的子網(wǎng)網(wǎng)絡(luò)阻斷出口業(yè)務(wù)。然而，DDoS攻擊能很容易偽造來自同一子網(wǎng)的IP地址，致使這種解決法案無效。

本質(zhì)上，對于種類繁多的使用有效協(xié)議的欺騙攻擊，路由器ACLs是無效的。包括：

●SYN、SYN-ACK、FIN等洪流。

●服務(wù)代理。因為一個ACL不能辨別來自于同一源IP或代理的正當(dāng)SYN和惡意SYN，所以會通過阻斷受害者所有來自于某一源IP或代理的用戶來嘗試停止這一集中欺騙攻擊。

●DNS或BGP。當(dāng)發(fā)起這類隨機(jī)欺騙DNS服務(wù)器或BGP路由器攻擊時，ACLs——類似于SYN洪流——無法驗證哪些地址是合法的，哪些是欺騙的。

ACLs在防御應(yīng)用層（客戶端）攻擊時也是無效的，無論欺騙與否，ACLs理論上能阻斷客戶端攻擊——例如HTTP錯誤和HTTP半開連接攻擊，假如攻擊和單獨的非欺騙源能被精確的監(jiān)測——將要求用戶對每一受害者配置數(shù)百甚至數(shù)千ACLs，這其實是無法實際實施的。

防火墻
首先防火墻的位置處于數(shù)據(jù)路徑下游遠(yuǎn)端，不能為從提供商到企業(yè)邊緣路由器的訪問鏈路提供足夠的保護(hù)，從而將那些易受攻擊的組件留給了DDoS 攻擊。此外，因為防火墻總是串聯(lián)的而成為潛在性能瓶頸，因為可以通過消耗它們的會話處理能力來對它們自身進(jìn)行DDoS攻擊。

其次是反常事件檢測缺乏的限制，防火墻首要任務(wù)是要控制私有網(wǎng)絡(luò)的訪問。一種實現(xiàn)的方法是通過追蹤從內(nèi)側(cè)向外側(cè)服務(wù)發(fā)起的會話，然后只接收“不干凈”一側(cè)期望源頭發(fā)來的特定響應(yīng)。然而，這對于一些開放給公眾來接收請求的服務(wù)是不起作用的，比如Web、DNS和其它服務(wù)，因為黑客可以使用“被認(rèn)可的”協(xié)議（如HTTP）。

第三種限制，雖然防火墻能檢測反常行為，但幾乎沒有反欺騙能力——其結(jié)構(gòu)仍然是攻擊者達(dá)到其目的。當(dāng)一個DDoS攻擊被檢測到，防火墻能停止與攻擊相聯(lián)系的某一特定數(shù)據(jù)流，但它們無法逐個包檢測，將好的或合法業(yè)務(wù)從惡意業(yè)務(wù)中分出，使得它們在事實上對IP地址欺騙攻擊無效。

IDS入侵監(jiān)測
IDS解決方案將不得不提供的行為或基于反常事務(wù)的算法來檢測現(xiàn)在的DDoS攻擊。但是一些基于反常事務(wù)的性能要求有專家進(jìn)行手動的調(diào)整，而且經(jīng)常誤報，并且不能識別特定的攻擊流。同時IDS本身也很容易成為DDoS攻擊的犧牲者。

作為DDoS防御平臺的IDS大的缺點是它只能檢測到攻擊，但對于緩和攻擊的影響卻毫無作為。IDS解決方案也許能托付給路由器和防火墻的過濾器，但正如前面敘述的，這對于緩解DDoS攻擊效率很低，即便是用類似于靜態(tài)過濾串聯(lián)部署的IDS也做不到。

DDoS攻擊的手動響應(yīng)
作為DDoS防御一部份的手動處理太微小并且太緩慢。受害者對DDoS攻擊的典型第一反應(yīng)是詢問最近的上游連接提供者——ISP、宿主提供商或骨干網(wǎng)承載商——嘗試識別該消息來源。對于地址欺騙的情況，嘗試識別消息來源是一個長期和冗長的過程，需要許多提供商合作和追蹤的過程。即使來源可被識別，但阻斷它也意味同時阻斷所有業(yè)務(wù)——好的和壞的。

其他策略
為了忍受DDoS攻擊，可能考慮了這樣的策略，例如過量供應(yīng)，就是購買超量帶寬或超量的網(wǎng)絡(luò)設(shè)備來處理任何請求。這種方法成本效益比較低，尤其是因為它要求附加冗余接口和設(shè)備。不考慮最初的作用，攻擊者僅僅通過增加攻擊容量就可擊敗額外的硬件，互聯(lián)網(wǎng)上上千萬臺的機(jī)器是他們?nèi)≈粌舻墓羧萘抠Y源。

有效抵御DDoS攻擊
從事于DDoS攻擊防御需要一種全新的方法，不僅能檢測復(fù)雜性和欺騙性日益增加的攻擊，而且要有效抵御攻擊的影響。

完整的DDoS保護(hù)圍繞四個關(guān)鍵主題建立：

1. 要緩解攻擊，而不只是檢測

2.從惡意業(yè)務(wù)中精確辨認(rèn)出好的業(yè)務(wù)，維持業(yè)務(wù)繼續(xù)進(jìn)行，而不只是檢測攻擊的存在

3.內(nèi)含性能和體系結(jié)構(gòu)能對上游進(jìn)行配置，保護(hù)所有易受損點

4.維持可靠性和成本效益可升級性

建立在這些構(gòu)想上的DDoS防御具有以下保護(hù)性質(zhì)：

通過完整的檢測和阻斷機(jī)制立即響應(yīng)DDoS攻擊，即使在攻擊者的身份和輪廓不斷變化的情況下。

與現(xiàn)有的靜態(tài)路由過濾器或IDS簽名相比，能提供更完整的驗證性能。

提供基于行為的反常事件識別來檢測含有惡意意圖的有效包。

識別和阻斷個別的欺騙包，保護(hù)合法商務(wù)交易。

提供能處理大量DDoS攻擊但不影響被保護(hù)資源的機(jī)制。

攻擊期間能按需求布署保護(hù)，不會引進(jìn)故障點或增加串聯(lián)策略的瓶頸點。

內(nèi)置智能只處理被感染的業(yè)務(wù)流，確?？煽啃源蠡突ㄤN比例最小化。

避免依賴網(wǎng)絡(luò)設(shè)備或配置轉(zhuǎn)換。

所有通信使用標(biāo)準(zhǔn)協(xié)議，確?；ゲ僮餍院涂煽啃源蠡?br />
完整DDoS保護(hù)解決技術(shù)體系
基于檢測、轉(zhuǎn)移、驗證和轉(zhuǎn)發(fā)的基礎(chǔ)上實施一個完整DDoS保護(hù)解決方案來提供完全保護(hù)，通過下列措施維持業(yè)務(wù)不間斷進(jìn)行：

1. 時實檢測DDoS停止服務(wù)攻擊攻擊。

2. 轉(zhuǎn)移指向目標(biāo)設(shè)備的數(shù)據(jù)業(yè)務(wù)到特定的DDoS攻擊防護(hù)設(shè)備進(jìn)行處理。

3. 從好的數(shù)據(jù)包中分析和過濾出不好的數(shù)據(jù)包，阻止惡意業(yè)務(wù)影響性能，同時允許合法業(yè)務(wù)的處理。

4.轉(zhuǎn)發(fā)正常業(yè)務(wù)來維持商務(wù)持續(xù)進(jìn)行。

本文名稱：怎么防止服務(wù)器被大流量攻擊？
分享地址：http://jinyejixie.com/news48/96598.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供小程序開發(fā)、品牌網(wǎng)站制作、商城網(wǎng)站、自適應(yīng)網(wǎng)站、軟件開發(fā)、動態(tài)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)