DDOS攻击(流量攻击)防御步骤

DDoS攻击简介:

　　DDoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使服务器无法处理合法用户的指令。

　　单一的DoS攻击一般是采用一对一方式的，当被攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高,它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了 - 目标对恶意攻击包的"消化能力"加强了不少，例如你的攻击软件每秒钟可以发送3,000个攻击包，但我的主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。

　　这时候分布式的拒绝服务攻击手段（DDoS）就应运而生了。你理解了DoS攻击的话，它的原理就很简单。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。

　　高速广泛连接的网络给大家带来了方便，也为DDoS攻击创造了极为有利的条件。在低速网络时代时，黑客占领攻击用的傀儡机时，总是会优先考虑离目标网络距离近的机器，因为经过路由器的跳数少，效果好。而现在电信骨干节点之间的连接都是以G为级别的，大城市之间更可以达到2.5G的连接，这使得攻击可以从更远的地方或者其他城市发起，攻击者的傀儡机位置可以在分布在更大的范围，选择起来更灵活了。

DDoS攻击原理:

　　通过使网络过载来干扰甚至阻断正常的网络通讯。通过向服务器提交大量请求，使服务器超负荷。阻断某一用户访问服务器阻断某服务与特定系统或个人的通讯。

DDOS攻击(流量攻击)防御步骤:

其实说到最让站长头疼的事情,莫过于DDOS[分布式拒绝服务攻击].无法访问网站但当攻击者进行DDOS攻击时,很多站长都会说“随他玩吧,等玩够了就不会攻击了” 这样的思路是对的.但又是致命的.不进行任何的补救.坐以待毙.是最大的忌讳

但是对于真实中的DDOS攻击.数量是庞大的.处理方法如下:

1、使用工具:DDoS deflate . 自动查封IP.

2、解析域名到127.0.0.1 让攻击方自己攻击自己[代价.网站不可访问].

3、关闭网站的nginx 或者IIS 阿帕奇.等攻击过后再打开.

4、换高防服务器(首页使用静态页提高处理器速度).

5、随他玩吧,等玩够了就不会攻击了.

6、有条件的朋友,可以考虑做cdn加速.

对于DDOS防御的理解
　　对付DDOS是一个系统工程，想仅仅依靠某种系统或产品防住DDOS是不现实的，可以肯定的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御90%的DDOS攻击是可以做到的，基于攻击和防御都有成本开销的缘故，若通过适当的办法增强了抵御DDOS的能力，也就意味着加大了攻击者的攻击成本，那么绝大多数攻击者将无法继续下去而放弃，也就相当于成功的抵御了DDOS攻击。

　　DDoS防御的方法：

　　1、采用高性能的网络设备

　　首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的DDOS攻击是非常有效的。

　　2、尽量避免NAT的使用

　　无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为NAT需要对地址来回转换，转换过程中需要对网络包的校验和进行计算，因此浪费了很多CPU的时间，但有些时候必须使用NAT，那就没有好办法了。

　　3、充足的网络带宽保证

　　网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗现在的SYNFlood攻击，当前至少要选择100M的共享带宽，最好的当然是挂在1000M的主干上了。但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的，若把它接在100M的交换机上，它的实际带宽不会超过100M，再就是接在100M的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上限制实际带宽为10M，这点一定要搞清楚。

　　4、升级主机服务器硬件

　　在有网络带宽保证的前提下，请尽量提升硬件配置，要有效对抗每秒10万个SYN攻击包，服务器的配置至少应该为：P4 2.4G/DDR512M/SCSI-HD，起关键作用的主要是CPU和内存，若有志强双CPU的话就用它吧，内存一定要选择DDR的高速内存，硬盘要尽量选择SCSI的，别只贪IDE价格不贵量还足的便宜，否则会付出高昂的性能代价，再就是网卡一定要选用3COM或Intel等名牌的，若是Realtek的还是用在自己的PC上吧。

　　5、把网站做成静态页面

　　大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给黑客入侵带来不少麻烦，至少到现在为止关于HTML的溢出还没出现，看看吧！新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器，当然，适当放一些不做数据库调用脚本还是可以的，此外，最好在需要调用数据库的脚本中拒绝使用代理的访问，因为经验表明使用代理访问你网站的80%属于恶意行为。

　　6、增强操作系统的TCP/IP栈

　　Win2000和Win2003作为服务器操作系统，本身就具备一定的抵抗DDOS攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约10000个SYN攻击包，若没有开启则仅能抵御数百个，具体怎么开启，自己去看微软的文章吧！《强化 TCP/IP 堆栈安全》。

　　也许有的人会问，那我用的是Linux和FreeBSD怎么办？很简单，按照这篇文章去做吧！《SYN Cookies》。

　　7、安装专业抗DDOS防火墙

　　绿盟黑洞: X86架构，Linux内核与自主专利的抗syn-flood算法。对抗单一类型的syn，udp，icmp dos效果很好，但是当多种混合时效果就略差。优点是更新快，技术支持比较好，在100M环境下对syn-flood有绝对优势。 缺点是文档和信息缺乏，同时工作(软硬件两方面)不是很稳定。

　　金盾抗拒绝服务系统：金盾抗拒绝服务系列产品，应用了自主研发的抗拒绝服务攻击算法，对SYN Flood，UDP Flood，ICMP Flood，IGMP Flood，Fragment Flood，HTTP Proxy Flood，CC Proxy Flood，Connection Exhausted等各种常见的攻击行为均可有效识别，并通过集成的机制实时对这些攻击流量进行处理及阻断，保护服务主机免于攻击所造成的损失。内建的WEB保护模式及游戏保护模式，彻底解决针对此两种应用的DOS攻击方式。金盾抗拒绝服务系列产品，除了提供专业的DOS/DDOS攻击检测及防护外，还提供了面向报文的通用规则匹配功能，可设置的域包括地址、端口、标志位，关键字等，极大的提高了通用性及防护力度。同时，内置了若干预定义规则，涉及局域网防护、漏洞检测等多项功能，易于使用。

　　天网防火墙: 最早基于OpenBSD内核，X86架构，现在应该也是Linux内核了。很早就加入了抗syn-flood功能，实际应该是syn-cache/syn-cookie的改进或加强版。实际测试syn流量64B包抵抗极限大概是25M左右。当小于20M是还是可以看到效果的。同时结合良好的防火墙策略应该也可以做到针对udp/icmp等类型的限制。

　　一己拙见: 防火墙一般来说还是让它作为自己的专业用途(访问控制)比较好，当然在网络业务不是很重要的生产类企业来说，买个防火墙同时兼有简单的抗syn功能倒也不错。

　　8、其他防御措施

　　以上几条对抗DDOS建议，适合绝大多数拥有自己主机的用户，但假如采取以上措施后仍然不能解决DDOS问题，就有些麻烦了，可能需要更多投资，增加服务器数量并采用DNS轮巡或负载均衡技术，甚至需要购买七层交换机设备，从而使得抗DDOS攻击能力成倍提高，只要投资足够深入。

预防为主保证安全
DDOS应付方法
　　DdoS攻击是黑客最常用的攻击手段，下面列出了对付它的一些常规方法。

　　（1）定期扫描

　　要定期扫描现有的网络主节点，清查可能存在的安全漏洞，对新出现的漏洞及时进行清理。骨干节点的计算机因为具有较高的带宽，是黑客利用的最佳位置，因此对这些主机本身加强主机安全是非常重要的。而且连接到网络主节点的都是服务器级别的计算机，所以定期扫描漏洞就变得更加重要了。

　　（2）在骨干节点配置防火墙

　　防火墙本身能抵御DdoS攻击和其他一些攻击。在发现受到攻击的时候，可以将攻击导向一些牺牲主机，这样可以保护真正的主机不被攻击。当然导向的这些牺牲主机可以选择不重要的，或者是linux以及unix等漏洞少和天生防范攻击优秀的系统。

　　（3）用足够的机器承受黑客攻击

　　这是一种较为理想的应对策略。如果用户拥有足够的容量和足够的资源给黑客攻击，在它不断访问用户、夺取用户资源之时，自己的能量也在逐渐耗失，或许未等用户被攻死，黑客已无力支招儿了。不过此方法需要投入的资金比较多，平时大多数设备处于空闲状态，和目前中小企业网络实际运行情况不相符。

　　（4）充分利用网络设备保护网络资源

　　所谓网络设备是指路由器、防火墙等负载均衡设备，它们可将网络有效地保护起来。当网络被攻击时最先死掉的是路由器，但其他机器没有死。死掉的路由器经重启后会恢复正常，而且启动起来还很快，没有什么损失。若其他服务器死掉，其中的数据会丢失，而且重启服务器又是一个漫长的过程。特别是一个公司使用了负载均衡设备，这样当一台路由器被攻击死机时，另一台将马上工作。从而最大程度的削减了DdoS的攻击。

　　（5）过滤不必要的服务和端口

　　过滤不必要的服务和端口，即在路由器上过滤假IP……只开放服务端口成为目前很多服务器的流行做法，例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略。

　　（6）检查访问者的来源

　　使用Unicast Reverse Path Forwarding等通过反向路由器查询的方法检查访问者的IP地址是否是真，如果是假的，它将予以屏蔽。许多黑客攻击常采用假IP地址方式迷惑用户，很难查出它来自何处。因此，利用Unicast Reverse Path Forwarding可减少假IP地址的出现，有助于提高网络安全性。

　　（7）过滤所有RFC1918 IP地址

　　RFC1918 IP地址是内部网的IP地址，像10.0.0.0、192.168.0.0 和172.16.0.0，它们不是某个网段的固定的IP地址，而是Internet内部保留的区域性IP地址，应该把它们过滤掉。此方法并不是过滤内部员工的访问，而是将攻击时--的大量虚假内部IP过滤，这样也可以减轻DdoS的攻击。

　　（8）限制SYN/ICMP流量

　　用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽，这样，当出现大量的超过所限定的SYN/ICMP流量时，说明不是正常的网络访问，而是有黑客入侵。早期通过限制SYN/ICMP流量是最好的防范DOS的方法，虽然目前该方法对于DdoS效果不太明显了，不过仍然能够起到一定的作用。

抗DDOS产品主要厂家
绿盟科技
　　绿盟科技从2001年5月开始进行针对DoS攻击的产品研发，次年，该公司完成了抗拒绝服务攻击的克星—“黑洞Collapasar”的全部研发工作，并申请了国家发明专利。

中新金盾
　　安徽中新软件有限公司创立于2002年，是集网络安全产品、软硬件开发的高科技公司。公司针对DDOS 攻击的产品自主研发、生产的金盾系列安全产品包括金盾防火墙、金盾抗拒绝服务系统、流量牵引设备、信息过滤系统。自创立至今一直在市场上获得良好、坚实的口碑。

傲盾
　　傲盾安全网的的知名品牌“傲盾防火墙”是一套全面、创新、高安全性、高性能的网络安全系统。傲盾ddos防火墙具有ddos、dos攻击防御、NAT地址转换功能、特有TCP标志位检测功能，傲盾ddos防火墙具有世界领先的数据流指纹检测技术、独立开发的高效率系统核心等特点，是国内一家可完全抵御ACK、DOS、DDOS、SYN、FLOOD、FATBOY及各种变种如Land，Teardrop，Smurf，Ping of Death，FATBOY等攻击的安全防御安全产品，致力于为个大企业、事业机关及网络服务商提供完整的信息安全的解决方案及全面的技术支持服务。

　　冰盾

　　冰盾抗DDOS防火墙（Bing吨 Anti-DDOS Firewall）来自IT技术世界一流的美国硅谷，由华人留学生Mr.BingleWang和Mr.Buick Zhang设计开发，采用国际领先的生物基因鉴别技术智能识别各种DDOS攻击和黑客入侵行为，防火墙采用MircroKernel微内核和ActiveDefeense主动防御引擎技术实现，工作在系统的最底层，充分发挥CPU的效能，仅耗费少许内存即获得惊人的处理效能。经高强度攻防实验测试表明：在抗DDOS攻击方面，工作于100M网卡冰盾约可抵御每秒25万个SYN包攻击，工作于1000M网卡冰盾约可抵御160万个SYN攻击包；在防黑客入侵方面，冰盾可智能识别Port扫描、Unicode恶意编码、SQL注入攻击、Trojan木马上传、Exploit漏洞利用等2000多种黑客入侵行为并自动阻止，是迄今为止在抗DDOS领域功能最为强大的防火墙产品之一。

　　天鹰

　　天鹰ddos防火墙天鹰抗DDOS防火墙》：是国内目前防御攻击种类最多、运行效率最高的专业抗DDOS防火墙。独有“天鹰网络行为分析”专利技术使得天鹰抗DDOS防火墙完全不同其它同类产品：不仅能够准确防御已知的网络攻击，而且还具备防御未知攻击的能力；出类拔萃的防御能力和运行效率，使得天鹰抗DDOS防火墙成为全球最大华人网站《新浪网》、国内顶级防黑客技术网站《黑客防线》、国际知名社区聊天网站《CamFrog World》等众多有影响力、远见卓识的知名网站的一致选择。