你理解了DoS攻击的话,它的原理就很简单。如果说计算机与网络的处理能力加大了10倍,用一台攻击机来攻击不再能起作用的话,攻击者使用10台攻击机同时攻击呢?用100台呢?DDoS就是利用更多的傀儡机来发起进攻,以比从前更大的规模来进攻受害者。从拒绝服务攻击诞生到现在已经有了很多的发展,从最初的简单Dos到现在的DdoS。那么什么是Dos和DdoS呢?DoS是一种利用单台计算机的攻击方式。而DdoS(Distributed Denial of Service,分布式拒绝服务)是一种基于DoS的特殊形式的拒绝服务攻击,是一种分布、协作的大规模攻击方式,主要瞄准比较大的站点,比如一些商业公司、搜索引擎和政府部门的站点。DdoS攻击是利用一批受控制的机器向一台机器发起攻击,这样来势迅猛的攻击令人难以防备,因此具有较大的破坏性。如果说以前网络管理员对抗Dos可以采取过滤IP地址方法的话,那么面对当前DdoS众多伪造出来的地址则显得没有办法。所以说防范DdoS攻击变得更加困难,如何采取措施有效的应对呢?
解决方案:
F5公司的BIG-IP是唯一一款被ICSA认证为网络防火墙的ADC
BIG-IP 的最新版本已经被 ICSA 实验室认证为一款网络防火墙,能够帮助客户保护其面向公众的网站免受大规模网络攻击。这款新认证的解决方案,以竞争对手解决方案相同的成本处理其8倍的流量。
F5's BIG IP family of products can be deployed as virtual solutions or on a series of purpose-built application delivery controllers. From network firewall, DDoS protection, SSL offload, DNS security, application security, and access security to traffic management, application acceleration, and much more, the BIG-IP system is a strategic point of control to ensure your applications are always fast, secure, and available.
The modular BIG-IP system is built on F5’s TMOS full proxy architecture, which offers tremendous performance, scalability, and customization. Using F5’s event-driven iRules, application, security, and network teams can quickly build new services that inspect, transform, and direct application traffic.
The BIG-IP family consists of the BIG-IP Local Traffic Manager, BIG-IP Global Traffic Manager, BIG-IP Access Policy Manager, BIG-IP Application Security Manager, BIG-IP WebAccelerator, and BIG-IP WAN Optimization Manager solutions. All can be deployed as standalone or layered solutions.
分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DDoS攻击,从而成倍地提高拒绝服务攻击的威力。DDOS防御方案:
DDOS攻击防御方法一:需要能够进行定期的扫描。
DDOS攻击防御方法二:需要能够在骨干节点配置相关防火墙。
DDOS攻击防御方法三:使用多的计算机以能承受ddos攻击。
DDOS攻击防御方法四:好的利用网络设备来进行保护网络资源。
DDOS攻击防御方法五:需要过滤不必要的服务和端口。
ddos攻击防御:ddos攻击是什么,如何防御?主要通过大量合法的请求占用大量网络资源,从而使合法用户无法得到服务的响应,是目前最强大、最难防御的攻击之一。
ddos攻击最大的难点在于攻击者发起的攻击的成本远低于防御的成本。比如黑客可以轻易的控制大量肉鸡发起10G,100G的攻击。而要防御这样的攻击10G,100G带宽的成本却是100W,1000W….
防御手段:
总体来说,从下面几个方面考虑:
硬件
单个主机
整个服务器系统
硬件:
1.增加带宽
带宽直接决定了承受攻击的能力,增加带宽硬防护是理论最优解,只要带宽大于攻击流量就不怕了,但成本非常高。
2、提升硬件配置
在有网络带宽保证的前提下,尽量提升CPU、内存、硬盘、网卡、路由器、交换机等硬件设施的配置,选用知名度高、口碑好的产品。
3、硬件防火墙
将服务器放到具有DDoS硬件防火墙的机房。专业级防火墙通常具有对异常流量的清洗过滤功能,可对抗SYN/ACK攻击、TCP全连接攻击、刷脚本攻击等等流量型DDoS攻击
单个主机:
1、及时修复系统漏洞,升级安全补丁。
2、关闭不必要的服务和端口,减少不必要的系统加载项及自启动项,尽可能减少服务器中执行较少的进程,更改工作模式
3、iptables
4、严格控制账户权限,禁止root登录,密码登录,修改常用服务的默认端口
整个服务器系统:
1.负载均衡
使用负载均衡将请求被均衡分配到各个服务器上,减少单个服务器的负担。
2、CDN
CDN是构建在网络之上的内容分发网络,依靠部署在各地的边缘服务器,通过中心平台的分发、调度等功能模块,使用户就近获取所需内容,降低网络拥塞,提高用户访问响应速度和命中率,因此CDN加速也用到了负载均衡技术。相比高防硬件防火墙不可能扛下无限流量的限制,CDN则更加理智,多节点分担渗透流量,目前大部分的CDN节点都有200G的流量防护功能,再加上硬防的防护,可以说能应付目绝大多数的DDoS攻击了。
3.分布式集群防御
分布式集群防御的特点是在每个节点服务器配置多个IP地址,并且每个节点能承受不低于10G的DDoS攻击,如一个节点受攻击无法提供服务,系统将会根据优先级设置自动切换另一个节点,并将攻击者的数据包全部返回发送点,使攻击源成为瘫痪状态,从更为深度的安全防护角度去影响企业的安全执行决策。
欢迎分享,转载请注明来源:夏雨云
评论列表(0条)