网络流量攻击带来的危害

从以前网络流量攻击在闲鱼的发布数来看，网络流量攻击造成的破坏远远不止服务瘫痪这么简单。

1.经济损失

电商、信贷、游戏行业等网站一旦网站被攻击，就会造成客户无法打开网站的情况，一旦客户打不开就会造成流量损失，流量损失会直接造成这些企业的经济损失，相关数据显示有很多的损失合同和运营终止都跟DDOS攻击有关，在一系列被攻击过的相关企业里，26％的企业都将DDOS攻击视为最大风险。

2.信誉损失

服务器宕机造成的业务系统崩溃会让企业的信誉扫地，糟糕的客户体验会让**户流失，企业声誉，品牌形象大受打击。

3.信息安全受到危害

在遭受网络流量攻击时企业安全人员都会将维护中心转移到防护流量攻击上，这时不法分子就有机会钻空子，窃取数据、感染病毒、恶意欺骗等犯罪活动将更容易得手。

那么如此危险的网络攻击，我们该如何防护呢？

(1)网络层攻击防御

1.针对TCP类型，syn_fllod可利用协议规范，采用syn_cookie，syn_reset的认证方式。其他类型的tcp报文可通过tcp绘画机制过滤。

2.针对UDP类型的攻击，通常为反射攻击，将一些常被用于反射攻击的udp端口的保统统丢弃，通常可以防御大多数攻击。

(2)应用层攻击

通常可以针对特定IP进行限速，比如可以Nginx上配置，针对http采用js反射校验等机制。

流量往往采取合法的数据请求技术，再加上傀儡机器，成为目前最难防御的网络攻击之一。据美国最新的安全损失调查报告，流量攻击所造成的经济损失已经跃居第一。

流量攻击分为两种：

1.要么大数据，大流量来压垮网络设备和服务器

2.要么有意制造大量无法完成的不完全请求来快速耗尽服务器资源。

有效防止DDoS攻击的关键困难是无法将攻击包从合法包中区分出来：IDS进行的典型“签名”模式匹配起不到有效的作用；许多攻击使用源IP地址欺骗来逃脱源识别，很难搜寻特定的攻击源头。

有两类最基本的流量攻击：

带宽攻击：这种攻击消耗网络带宽或使用大量数据包淹没一个或多个路由器、服务器和防火墙；带宽攻击的普遍形式是大量表面看合法的TCP、UDP或ICMP数据包被传送到特定目的地；为了使检测更加困难，这种攻击也常常使用源地址欺骗，并不停地变化。

应用攻击：利用TCP和HTTP等协议定义的行为来不断占用计算资源以阻止它们处理正常事务和请求。HTTP半开和HTTP错误就是应用攻击的两个典型例子。

DDoS流量攻击全称：Distributed denial of service attack，中文翻译为分布式拒绝服务攻击，根据首字母简称为DDoS，因为DDoS流量攻击来势凶猛，持续不断，连绵不绝，因此在中国又叫洪水攻击。DDoS流量攻击是目前网络上最常见的手段，主要是公共分布式合理服务请求来昂被攻击者的服务器资源消耗殆尽，导致服务器服务提供正常的服务，这种方式说白了就是增大服务器的访问量，使其过载而导致服务器崩溃或者瘫痪。好比双十一期间大量的用户使用淘宝，使用的人数过多导致淘宝无法快速运转，并且出现页面瘫痪的情况。

DDoS流量攻击，可以分为，带宽消耗型和资源消耗型两种大的层次，从网络占用到目标硬件性能占用，以达到目标服务器网络瘫痪、系统崩溃的最终目的。下面为大家列举一些比较常用的DDoS流量攻击的方式。

死亡之PING：

死亡之PING即是ping of death，或者叫做死亡之平，也被翻译为死亡天平，这种攻击方式主要以通过TCP/IP协议进行DDoS流量攻击，这种类型的攻击方式主要是通过向服务器发送数据包片段大小超过TCP/IP协议的规定大小的数据包，让服务器系统无法正常进行处理从而导致崩溃，而这些数据包最大字节为6,5535字节。

CC攻击：

CC(Challenge Collapsar)，意为挑战黑洞，利用大量的肉鸡(免费代理服务器)向目标服务器发送大量看似合法的的请求，从而不断利用被攻击服务器的资源进行重来这边请求，让其资源不断被消耗，当服务器的资源被消耗殆尽用户就无法正常访问服务器获取服务器的响应，在cc攻击过程中，能够感觉到服务器的稳定性在不断的变差直至服务器瘫痪。应。

UDP洪水攻击：

UDP：用户数据包协议(User Datagram Protocol floods)，一种无连接协议，主要是通过信息交换过程中的握手原则来实现攻击，当通通过UDP发送数据时，三次的数据握手验证无法正常进行，导致大量数据包发送给目标系统时无法进行正常的握手验证，从而导致带宽被占满而无法让正常用户进行访问，导致服务器瘫痪或者崩溃。

而目前市场上常用来对付这些DDoS流量攻击的防护方式有以下几种：

目前常见的DDoS流量攻击防护是利用多重验证。入侵检测以及流量过滤等方式对因为攻击造成堵塞的带宽进行流量过滤让正常的流量能够正常的访问到目标服务器，从而维持服务器的正常运行。

流量清洗也就是让服务器所有的访问流量通过高防DDoS攻击流量清洗中心，通过高防的各种防护策略对正常流量和恶意流量被区分清洗过滤，将恶意流量阻挡住在服务器之外，让正常流量能够正常的访问，恶意流量则被禁止从而实现过滤。

防火墙是最常见DDoS流量攻击防护装置，防火墙的访问规则能够灵活定义，通过修改规则以实现允许或拒绝特定的通讯协议进入服务器，无论是端口还是IP地址，发现目标IP出现异常，那么直接阻断IP源的一切通信，即便是较为复杂的端口遭受到攻击，依旧能够有效的进行DDoS流量攻击防护。

锐速云告诉大家虽然近些年DDoS流量攻击呈现下降的趋势，但是不可否认目前仍是一个非常大的网络安全威胁，并且随着技术的发展，一些新型的DDoS流量攻击，仍在网络安全的战场上活跃着，如认为是一种Mirai变体的0x-booter。随着新的互联网技术和设备的变革和投入，不少黑客仍不断的更新完善DDoS流量攻击，因此在这个DDoS流量攻击防护的战场上，作为网络安全防护人员技术仍需要不断的更新变革。

---