如何正确的防范恶意攻击

一、一般网络恶意攻击分为3类

分别为ARP欺骗攻击、CC攻击、DDoS流量攻击。

（ 1 ） ARP欺骗攻击

         地址解析协议（ARP）是TCP/IP栈中的一个网络层，它将一个IP地址解析为MAC地址。ARP协议的基本功能是通过目标设备的IP地址查询目标设备的MAC地址，保证通信的进行。ARP攻击只能在以太网(LAN，如:机房、内部网、企业网络等)中进行，无法攻击外部网络(Internet、非本地局域网)。

（ 2 ） CC攻击

        相对而言，这种攻击比较有害。主机空间中有一个参数IIS连接数。当所访问的网站超过IIS连接数时，网站将出现不可用的服务。攻击者使用受控制的机器不断地向被攻击的网站发送访问请求，迫使IIS超过其连接限制数，当CPU或带宽资源耗尽时，网站将被攻击至关闭。对于高达100兆字节的攻击，防火墙是相当费力的，有时甚至会导致防火墙CPU资源耗尽而导致防火墙崩溃。高达100兆以上，在上层路由时操作员通常会阻止攻击的IP。CC攻击对动态网站造成的破坏最大，通常几台的电脑就可以搞垮一个网站。

（3）DDoS攻击

       这是一种DDoS攻击，而且这种攻击是最有害的。其原理是向目标服务器发送大量数据包，占用其带宽。对于流量攻击，简单地添加防火墙是无用的，必须有足够的带宽与防火墙配合进行防御。

二、 解决办法

（1） ARP欺骗

       1）ARP欺骗是通过重复应答实现的，那么只需要在本机添加一条静态的ARP映射，这样就不需要询问网关MAC地址了，这种方法只对主机欺骗有效。对于网关欺骗还需要在网关中也添加一条到主机的静态ARP映射。1.用管理身份运行命令提示符；输入netsh i i show in，查看一下本机有哪些网络连接；

      2）查看一下网关的MAC地址。注意如果正遭受ARP欺骗攻击，通过此方法查处的可能是虚假的MAC地址。输入arp -a命令查询本机的arp映射表，如果找不到网关的信息，可以先ping一下网关；

      3）输入：netsh -c “i i” add neighbors 连接的Idx号 网关IP 网关MAC 添加一条静态映射,我已经添加过了，所以会显示 对象已存在。

（2） CC攻击防御策略

      1）取消域名绑定

        一般来说，cc攻击的目标是网站的域名。例如，如果我们的网站域名是“mj007.cn”，攻击者会在攻击工具中将目标设置为域名，然后进行攻击。我们对这种攻击的反应是在IIS上解绑定域名，使CC攻击没有目标。具体步骤如下：打开“IIS管理器”来定位特定网站点击右键“属性”打开网站属性面板中，单击“高级”按钮右边的IP地址，选择域名条目进行编辑，删除“主机头值”或改变到另一个值(域名)。

        经过模拟测试，取消域名绑定后，Web服务器的CPU立即恢复正常状态，通过IP接入连接一切正常。然而，同样明显的是，取消域名或更改域名不会改变其他人的访问权限。此外，针对IP的CC攻击是无效的，即使更改域名攻击者发现后，他也会攻击新域名。

      2）域名欺骗解析

       如果发现针对域名的CC攻击，我们可以把被攻击的域名解析到127.0.0.1这个地址上。我们知道127.0.0.1是本地回环IP是用来进行网络测试的，如果把被攻击的域名解析到这个IP上，就可以实现攻击者自己攻击自己的目的，这样他再多的肉鸡或者代理也会宕机，让其自作自受。

        另外，当我们的Web服务器遭受CC攻击时把被攻击的域名解析到国家有权威的政府网站或者是网警的网站，让其网警来收拾他们。现在一般的Web站点都是利用类似"新网"这样的服务商提供的动态域名解析服务，大家可以登录进去之后进行设置。

       3）更改Web端口

        一般情况下Web服务器通过80端口对外提供服务，因此攻击者实施攻击就以默认的80端口进行攻击，所以，我们可以修改Web端口达到防CC攻击的目的。运行IIS管理器，定位到相应站点，打开站点"属性"面板，在"网站标识"下有个TCP端口默认为80，我们修改为其他的端口就可以了。

        4）IIS屏蔽IP

        我们通过命令或在查看日志发现了CC攻击的源IP，就可以在IIS中设置屏蔽该IP对Web站点的访问，从而达到防范IIS攻击的目的。在相应站点的"属性"面板中，点击"目录安全性"选项卡，点击"IP地址和域名现在"下的"编辑"按钮打开设置对话框。在此窗口中我们可以设置"授权访问"也就是"白名单"，也可以设置"拒绝访问"即"黑名单"。比如我们可以将攻击者的IP添加到"拒绝访问"列表中，就屏蔽了该IP对于Web的访问。

        5）采用防护CDN

        前4种方法都是对网站访问有很大的伤害的，而采用CDN话是可以智能识别别并拦截CC攻击，有效减少了误杀率，让网站可以达到正常访问的效果，国内以阿里云WAF防火墙、蔓捷信息高防最为出名，其中蔓捷信息高防物伤力高，防御能力强，推荐使用。

（3） DDoS攻击防御方法

      1）选择带有DDoS硬件防火墙的机房

         目前大部分的硬防机房对100G以内的DDoS流量攻击都能做到有效防护。选择硬防主要是针对DDoS流量攻击这一块的，如果你的企业网站一直遭受流量攻击的困扰，那你可以考虑将你的网站服务器放到DDoS防御机房。但是有的企业网站流量攻击超出了硬防的防护范围了，那就得考虑下面第二种了。

       2）CDN流量清洗防御

        目前，大多数的CDN服务提供商是普通的CDN，不具有保护功能，购买CDN应注意检查，购买可以防止600 Gbps的 DDoS攻击，可以说应对当前绝大多数的DDoS攻击是没问题的。同时，CDN技术不仅对企业网站流量攻击具有保护功能，也可以加快企业的网站的速度（前提应该基于CDN节点的位置），解决某些地方的缓慢网站打开。

       3）负载均衡技术

         这种类型主要针对DDoS攻击中的CC攻击进行防护，它使web服务器或其他类型的服务器超载，这些服务器具有大量的网络流量，通常由页面或链接生成。当然，这种现象也可能发生在访问量很大的网站上，但我们必须将这些正常的现象与分布式拒绝服务攻击区分开来。将负载均衡方案添加到企业网站后，不仅可以保护网站不受CC攻击，还可以平衡用户对各个web服务器的访问，减轻单个web服务器的负担，加快网站访问速度。

互联网化的时代，我们可以从很多渠道了解作为网络安全毒瘤的DDoS攻击和CC攻击，即使如此，我们依旧要知晓他们攻击时发病的症状，方可对症下药。防御攻击。

DDoS攻击症状

症状一：网络带宽被大量占用

DDoS攻击最常用的手段，对很多小型企业或者个人 网站 来说，带宽资源原本就不多，网络的带宽被大量无效数据包给占据时，可以说是要凉凉了。

症状二：服务器CPU负荷运行，响应缓慢

DDoS攻击其实是一种恶意性的资源占用攻击，攻击者利用肉鸡或者攻击软件对目标服务器发送大量的无效请求，导致服务器的资源被大量的占用，因而正常的进程没有得到有效的处理，这样网站就会出现打开缓慢的情况。

症状三：阻断用户访问服务器

如果网站服务器被大量DDoS攻击时，有可能会造成服务器蓝屏或者死机，这时就意味着服务器已经连接不上了， 网站 出现连接错误的情况，用户也就访问不了服务器了。

症状四：域名ping不出IP

可能这种情况站长们可能会比较少考虑到，这其实也是DDoS攻击的一种表现，主要针对网站的DNS域名服务器。

CC攻击症状

CC攻击症状就更容易通俗易懂了，服务器能正常连接到，但是 网站 打不开，服务器连接不到，网站也打不开，就是你发病时，你不是在服务器连接不到的路上，就是在网站打不开的路上，呜呼悲哉。

总之，DDoS攻击打的是网站的服务器，而CC攻击是针对网站的页面攻击的，用术语来说就是，前者是WEB网络层拒绝服务攻击，后者是WEB应用层拒绝服务攻击。

DDoS攻击之解毒秘方

根据DDoS攻击原理，我们主要从三个地方配制药方：硬件，服务器系统，自身状况

药方一：硬件

[if !supportLists]1．[endif] 增加带宽

带宽直接决定了承受攻击的能力，当带宽大于攻击流量就不用畏惧DDoS，但成本高。

[if !supportLists]2．[endif] 提升硬件配置

在有 网络 带宽保证的前提下，尽量提升CPU、内存、硬盘、网卡、路由器、交换机等硬件设施的配置，选用知名度高、口碑好的产品。

[if !supportLists]3．[endif] 硬件防火墙

专业级防火墙通常具有对异常流量的清洗过滤功能，可对抗SYN/ACK攻击、TCP全连接攻击、刷脚本攻击等等流量型DDoS攻击。

药方二：服务器系统

[if !supportLists]1．[endif] 负载均衡

使用负载均衡将请求被均衡分配到各个服务器上，减少单个服务器的负担。

[if !supportLists]2．[endif] CDN

云漫网络 TTCDN，简称CDN，是建立并覆盖在承载网之上、由分布在不同区域的边缘节点服务器群组成的分布式网络，替代传统以WEB Server为中心的数据传输模式，防御攻击。TTCDN将源内容发布到边缘节点，配合精准的调度系统；将用户的请求分配至最适合他的节点，使用户可以以最快的速度取得他所需的内容，有效解决Internet网络拥塞状况，提高用户访问的响应速度。因此CDN加速也用到了负载均衡技术。相比高防硬件防火墙不可能扛下无限流量的限制，TTCDN则更加理智，海内外多节点分布，节点分担渗透流量，目前大部分的CDN节点都有200G 的流量防护功能， TTCDN 较之更是突破了T级流量防御，可以说能应付多种类型的DDoS攻击了。

药方三：自身状况

[if !supportLists]1．[endif]及时修复系统漏洞，升级安全补丁

[if !supportLists]2．[endif]关闭不必要的服务和端口，减少不必要的系统加载项及自启动项

[if !supportLists]3．[endif]禁止root登录

CC攻击之解毒秘方

面对正在或者曾经遭受CC攻击时，那如何进行有效的急救呢?

药方一：取消域名绑定

一般cc攻击都是针对网站的域名进行攻击，比如我们的 网站 域名是“www.yunman.com”，那么攻击者就在攻击工具中设定攻击对象为该域名然后实施攻击。

经过取消域名绑定后，Web服务器的CPU马上恢复正常状态，通过IP进行访问连接一切正常。

但是不好的地方就是取消或者更改域名后，用户可能访问不了。

药方二：域名欺骗解析

如果发现针对域名的CC攻击，我们可以把被攻击的域名解析到127.0.0.1这个地址上。

我们知道127.0.0.1是本地回环IP是用来进行网络测试的，如果把被攻击的域名解析到这个IP上，就可以实现攻击者自己攻击自己的目的，这样他再多的肉鸡或者代理也会宕机，让其自作自受。

另外，当我们的Web服务器遭受CC攻击时把被攻击的域名解析到国家有权威的政府网站或者是网警的 网站 ，让网警来惩戒他们的不法行为。

药方三：更改Web端口

一般的Web服务器都是通过80端口对外提供服务，因此攻击者实施攻击就以默认的80端口进行攻击，所以，我们可以修改Web端口达到防CC攻击的目的。

药方四：IIS屏蔽IP

我们通过命令或在查看日志发现了CC攻击的源IP，就可以在IIS中设置屏蔽该IP对Web站点的访问，从而达到防范IIS攻击的目的。

如果想要病愈不留后根，可以找下”民间街坊“流传的 云漫网络 。

---