搜索

[11200] 2017-04-03_浅谈拒绝服务攻击的原理与防御（6）：拒绝服务攻击的防御

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2017-04-03_浅谈拒绝服务攻击的原理与防御（6）：拒绝服务攻击的防御 浅 谈 拒 绝 服 务 攻 击 的 原 理 与 防 御 （ 6 ） ： 拒 绝 服 务 攻 击 的 防 御 原 创   黑 戈 爾   F r e e B u f   2 0 1 7 - 0 4 - 0 3 * 原 创 作 者 ： 黑 戈 爾 ， 本 文 属 原 创 作 者 ： 黑 戈 爾 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 × 0 1 前 言 前 言 系 列 回 顾 D D O S 攻 击 是 每 个 需 要 对 外 提 供 服 务 的 公 司 最 大 的 威 胁 之 一 ， 尤 其 是 新 兴 的 互 联 网 公 司 与 电 信 运 行 商 对 此 尤 其 看 重 ， 每 个 攻 击 是 每 个 需 要 对 外 提 供 服 务 的 公 司 最 大 的 威 胁 之 一 ， 尤 其 是 新 兴 的 互 联 网 公 司 与 电 信 运 行 商 对 此 尤 其 看 重 ， 每 个 公 司 的 网 络 安 全 组 都 必 须 具 备 一 定 的 防 御 公 司 的 网 络 安 全 组 都 必 须 具 备 一 定 的 防 御 D D O S 攻 击 的 能 力 ， 不 仅 仅 是 会 使 用 各 个 品 牌 的 安 全 设 备 ， 更 重 要 的 是 要 有 防 御 攻 击 的 能 力 ， 不 仅 仅 是 会 使 用 各 个 品 牌 的 安 全 设 备 ， 更 重 要 的 是 要 有 防 御 D D O S 攻 击 的 明 确 思 路 以 及 正 确 的 方 法 ， 这 样 才 能 保 证 自 己 的 公 司 不 被 黑 客 破 坏 、 勒 索 。 攻 击 的 明 确 思 路 以 及 正 确 的 方 法 ， 这 样 才 能 保 证 自 己 的 公 司 不 被 黑 客 破 坏 、 勒 索 。 任 何 需 要 通 过 网 络 提 供 服 务 的 业 务 系 统 ， 不 论 是 处 于 经 济 原 因 还 是 其 他 方 面 ， 都 应 该 对 D D o S 攻 击 防 护 的 投 资 进 行 考 虑 。 大 型 企 业 、 政 府 组 织 以 及 服 务 提 供 商 都 需 要 保 护 其 基 础 业 务 系 统 （ 包 括 W e b 、 D N S 、 M a i l 、 交 换 机 、 路 由 器 或 是 防 火 墙 ） 免 受 D D o S 攻 击 的 侵 害 ， 保 证 其 业 务 系 统 运 行 的 连 续 性 。 虽 然 D D o S 防 护 需 要 增 加 运 营 成 本 ， 但 是 从 投 资 回 报 率 上 进 行 分 析 ， 可 以 发 现 这 部 分 的 投 资 是 值 得 的 。 接 下 来 我 将 详 细 讲 解 一 下 在 企 业 层 面 和 运 营 商 层 面 防 御 主 流 D D O S 攻 击 的 思 路 。 0 × 0 2   企 业 层 面 的 防 御 企 业 层 面 的 防 御 在 企 业 层 面 上 防 御 D D O S 攻 击 目 的 比 较 明 确 ， 就 是 保 障 自 身 的 服 务 在 攻 击 过 程 中 不 受 明 显 的 破 坏 ， 但 由 于 企 业 自 身 能 力 有 限 ， 有 时 候 必 须 求 助 电 信 运 营 商 帮 助 才 能 清 洗 较 大 流 量 。 S Y N   F L O O D 的 防 御 的 防 御 R a n d o m   D r o p ： 随 机 丢 包 的 方 式 ， 这 种 是 最 简 单 但 是 效 果 也 最 不 理 想 的 方 法 ， 会 对 用 户 的 体 验 造 成 很 大 影 响 ， 如 果 在 垃 圾 流 量 比 例 较 高 时 ， 会 使 大 量 用 户 无 法 获 得 服 务 ， 这 种 方 法 不 推 荐 只 有 在 万 不 得 已 情 况 下 （ 例 如 服 务 器 濒 临 死 机 ） 才 能 使 用 。 首 报 文 丢 弃 ： 对 所 有 首 次 发 来 的 s y n 包 丢 弃 ， 如 果 是 真 是 由 用 户 会 刷 新 再 次 连 接 ， 第 二 次 就 可 以 成 功 通 过 ， 如 果 是 软 件 随 机 生 成 的 就 不 会 再 次         重 试 ， 但 是 如 果 对 于 那 种 一 次 发 两 个 到 多 个 报 文 的 攻 击 就 会 失 去 效 果 ， 可 以 改 进 算 法 使 用 首 秒 丢 弃 ， 一 秒 对 于 用 户 来 说 不 算 长 ， 但 是 对 于 攻 击 的 软 件 来 说 一 秒 很 久 。 特 征 匹 配 ： 在 攻 击 发 生 时 统 计 攻 击 报 文 的 特 征 ， 例 如 源 I P 、 I D 、 T T L 、 f l a g 标 志 位 、 s e q 等 字 段 ， 然 后 丢 弃 与 攻 击 报 文 有 相 同 特 征 的 报 文 ， 但 是 对 于 完 全 随 机 的 攻 击 报 文 则 无 法 防 御 。 反 向 探 测 ： 企 业 服 务 器 前 的 安 全 设 备 A D S 或 者 W A F 对 每 一 个 s y n 请 求 的 地 址 发 起 反 向 探 测 ， 探 测 s y n 请 求 的 源 地 址 是 否 真 实 存 在 ， 如 果 不 存 在 即 可 断 开         半 开 连 接 。 但 是 如 果 每 个 s y n 包 再 配 一 个 a c k 包 会 使 反 向 探 测 难 度 增 大 ， 使 得 效 果 降 低 。 c o o k i e 验 证 ： 清 洗 设 备 收 到 s y n 报 文 时 不 向 服 务 器 端 转 发 ， 而 是 由 清 洗 设 备 直 接 给 客 户 端 回 复 s y n   a c k 报 文 ， 同 时 在 回 复 s y n   a c k 报 文 的 序 列 号 中 携 带 随 机 变 化 的 c o o k i e 值 ， 在 收 到 客 户 端 的 回 复 报 文 中 检 查 c o o k i e 值 ， 如 果 检 查 通 过 则 是 合 法 客 户 端 ， 允 许 访 问 服 务 器 ； 而 通 常 仿 冒 攻 击 的 客 户 端 没 有 完 整 的 T C P 状 态 机 制 ， 无 法 回 复 携 带 正 确 c o o k i e 的 报 文 ， 因 此 无 法 通 过 清 洗 设 备 的 c o o k i e 验 证 ， 最 终 无 法 对 服 务 器 形 成 攻 击 ， 可 以 有 效 用 于 s y n   f l o o d 的 防 护 T C P   代 理 ： 这 种 方 法 能 完 美 的 解 决 s y n   f l o o d 攻 击 ， 方 法         就 是 在 服 务 器 前 增 加 一 个 代 理 机 制 ， 访 问 服 务 器 的 T C P 连 接 先 与 代 理 进 行 三 次 握 手 ， 握 手 成 功 后 代 理 再 与 服 务 器 进 行 三 次 握 手 ， 如 果 收 到 只 有 一 个 s y n 的 半 开 连 接 ， 代 理 将 不 会 与 服 务 器 进 行 连 接 ， 从 而 保 护 服 务 器   不 受 到 s y n   f l o o d 的 攻 击 ， 但 是 这 种 方 法 比 较 耗 费 T C P 代 理 的 资 源 ， 需 要 用 专 业 的 设 备 才 行 。 如 下 图 ：
S a f e R e s e t 算 法 算 法 所 有 的 S Y N 包 均 主 动 回 应 ， 回 应 包 特 意 构 造 错 误 的 字 段 ， 真 实 存 在 的 I P 地 址 会 发 送 r e s e t 包 给 防 护 设 备 ， 然 后 发 起 第 2 次 连 接 ， 从 而 建 立 T C P 连 接 。 缺 点 是 如 果 攻 击 者 的 源 I P 可 以 伪 造 成 互 联 网 上 真 实 存 在 的 I P ， 同 样 也 会 回 复 r e s e t ， 进 而 通 过 验 证 。 原 理 如 下 ：
A C K   F L O O D 防 御 防 御 a c k 的 防 御 于 s y n 防 御 有 很 多 的 共 通 之 处 ， 再 此 我 就 不 过 多 赘 述 。 特 征 匹 配 ： 同 s y n 的 特 征 匹 配 ， 计 算 攻 击 包 的         指 纹 对 符 合 的 包 直 接 丢 弃 。 T C P 代 理 ： T C P 代 理 既 能 完 美 防 御 s y n 攻 击 也 能 防 御         a c k 攻 击 ， 但 是 a c k 攻 击 也 会 消 耗 T C P 代 理 的 大 量 资 源 。 带 宽 限 制 ： 限 制 a c k 数 据 包 的 传 入 带 宽 ， 使 数 量 不 足 以 瘫 痪 服 务 器 。 c o o k i e 验 证 ： 同 s y n   c o o k i e 验 证 。 C C 攻 击 的 防 御 攻 击 的 防 御 防 御 c c 攻 击 的 重 点 在 于 反 欺 骗 ， 在 海 量 的 连 接 中 需 要 分 辨 出 攻 击 流 量 与 正 常 流 量   ， 如 何 分 辨 出 攻 击 流 量 与 正 常 流 量 正 是 防   C C 攻 击 的 难 点 。 协 议 栈 行 为 分 析 ： 检 查 数 据 流 中 的 各 标 志 位 是 否 符 合 R F C   规 范 ， 攻 击 流 量 一 般 由 黑 客 自 定 义 随 机 生 成 有 可 能 会 产 生 一 些 不 符 合 规 定   的 报 文 ， 但 是 正 常 的 应 用 程 序 产 生 的 报 文 一 般 都 会 完 全 符 合 R F C 的 标 准 ， 所 以 一 般 违 规 的 报 文 都 是 攻 击 报 文 。 限 制 代 理 ： c c 攻 击 一 般 都 是 通 过 代 理 服 务 器 发 动 的 ， 借 助   代 理 服 务 器 可 以 轻 易 产 生 高 并 发 数 ， 在 收 到 c c 攻 击 时 可 以 临 时 的 禁 止 代 理 服 务 器 的 访 问 ， 检 查 H T T P 头 中 是 否 包 含 X _ F O R W A R D E D _ F O R ， V I A ， C L I E N T _ I P ， X O N N E C T I O N ， X R O X Y _ C O N N E C T I O N 等 等 P r o x y 服 务 加 入 的 特 征 字 符 ，   如 果 有 则 丢 弃 该 请 求 。 验 证 码 ： 在 登 录 时 使 用 随 机 验 证 码   ， 使 得 机 器 无 法 正 常 登 录 。 I P 连 接 限 制 ： 有 时 黑 客 会 控 制 少 量 的 主 机 模 拟 出 大 量 的 访 问 ， 这 时 只 需 限 制 每 个 I P 地 址 的 连 接 数 量 就 可 大 大 减 轻 攻 击 效 果 。
h t t p   c o o k i e ： 在 h t t p   r e s p o n s e 包 里 设 置 c o o k i e   值 ， 如 果 下 次 客 户 端 发 出 的 数 据 包 中 携 带 此 c o o k i e 值 则 为 真 实 用 户 ， 否 则 为 假 。 B o t n e t 攻 击 ： 目 前 没 有 可 行 的 办 法 针 对 这 种 攻 击 ， 因 为 攻 击 方 都 是 大 量 的 真 是 存 在 的 主 机 ， 只 是 受 到 黑 客 的 控 制 同 时 访 问 服 务 器 ， 不 过 这 种 b o t n e t 攻 击 如 果 受 控 主 机 数 量 不 太 大 那 么 攻 击 效 果 也 不 会 太 明 显 。 U D P   F L O O D 防 御 防 御 这 里 说 的 U D P 是 指 小 U D P 包 ， 这 中 U D P 攻 击 不 是 以 大 流 量 的 形 式 攻 击 目 标 ， 而 是 通 过 p p s 数 量 沾 满 防 火 墙 等 设 备 的 新 生 会 话 数 以 及 路 由 设 备 的 转 发 数 。 正 常 情 况 下 ， U D P 包 的 数 量 在 双 向 基 本 相 等 ， U D P 包 的 大 小 及 内 容 是 随 机 的 ， 如 果 出 现 U D P   F L O O D 攻 击 ， 会 使 同 一 目 标   I P   的   U D P 包 在 一 侧 大 量 突 现 ， U D P 包 的 大 小 及 内 容 相 对 固 定 。 U D P 攻 击 特 征 明 显 ， 只 要 发 现 攻 击 就 让 流 量 清 洗 设 备 A D S 开 始 清 洗 符 合 特 征 的 U D P 流 量 ， 避 免 大 量 U D P 包 直 接 冲 击 服 务 器 。 反 射 型 攻 击 的 防 御 反 射 型 攻 击 的 防 御 反 射 性 攻 击 或 者 说 所 有 的 以 大 流 量 为 手 段 的 攻 击 方 式 在 用 户 端 基 本 都 是 无 法 防 御 的 ， 因 为 这 些 攻 击 报 文 到 达 用 户 的 设 备 的 时 候 ， 攻 击 的 目 的 已 经 达 到 了 ， 阻 塞 和 丢 包 是 在 运 营 商 路 由 器 接 口 处 就 发 生 了 ， 抵 御 这 种 攻 击 最 简 单 的 方 法 就 是 拔 掉 网 线 ， 动 态 路 由 协 议 快 速 收 敛 后 失 去 目 标 路 由 使 得 攻 击 流 量 路 由 不 可 达 ， 不 过 这 让 攻 击 者 达 到 了 目 的 ， 但 是 却 使 得 同 一 I D C 的 其 他 用 户 免 受 波 及 ， 一 般 I D C 处 理 攻 击 事 件 时 也 会 采 取 这 种 方 法 。 防 御 反 射 攻 击 最 有 效 的 方 法 就 是 购 买 运 营 商 的 清 洗 服 务 ， 比 如 电 信 的 “ 云 堤 ” 和 阿 里 云 的 “ 云 盾 ” ， 不 过 价 格 应 该 是 不 便 宜 啊 。 企 业 安 全 整 体 防 御 企 业 安 全 整 体 防 御 如 今 的 D D O S 攻 击 不 会 由 单 一 种 类 的 进 攻 ， 当 然 企 业 也 不 能 单 一 的 防 御 ， 企 业 安 全 应 该 从 整 体 考 量 ， 建 立 一 个 系 统 的 全 面 的 防 御 体 系 。 分 层 次 的 进 行 防 御 。 定 期 扫 描 加 固 自 身 设 备 定 期 扫 描 加 固 自 身 设 备 尽 量 避 免 因 为 软 件 漏 洞 而 引 起 的 拒 绝 服 务 ， 有 时 一 个 报 文 就 能 导 致 服 务 器 的 宕 机 ， 定 期 扫 描 现 有 的 主 机 和 网 络 节 点 ， 对 安 全 漏 洞 和 不 规 范 的 安 全 配 置 进 行 及 时 整 改 ， 对 先 的 漏 洞 及 时 打 补 丁 。 确 保 资 源 冗 余 提 高 抵 抗 力 确 保 资 源 冗 余 提 高 抵 抗 力 建 立 多 节 点 的 负 载 均 衡 ， 配 备 高 于 业 务 需 求 的 带 宽 ， 多 个 网 络 出 口 ， 提 高 服 务 器 的 运 算 能 力 。 服 务 最 小 化 服 务 最 小 化 关 闭 不 需 要 的 服 务 和 端 口 ， 实 现 服 务 最 小 化 ， 让 服 务 器 专 一 提 供 服 务 。 明 确 并 执 行 应 急 流 程 明 确 并 执 行 应 急 流 程 提 前 演 练 被 攻 击 时 的 状 况 ， 除 人 工 处 理 外 还 应 该 包 涵 一 定 的 自 动 化 、 半 自 动 化 的 处 理 能 力 。 建 立 建 立 A D S 流 量 清 洗 站 流 量 清 洗 站 来 自 互 联 网 的 攻 击 混 合 流 量 试 图 进 入 城 域 网 内 企 业 用 户 端 ， 而 我 们 的 清 洗 中 心 部 署 在 城 域 网 边 界 。 整 个 工 作 原 理 的 核 心 就 是 这 个 智 能 识 别 净 化 矩 阵 。
反 欺 骗 ： 通 过 基 于 行 为 的 智 能 反 向 探 测 ， 检 验 访 问 的 合 法 性 ； 然 后 是 协 议 栈 行 为 分 析 ： 检 查 数 据 流 中 各 标 志 位 是 否 符 合 R F C 规 范 ， 不 符 合 则 直 接 阻 断 ； 特 定 应 用 防 护 ： 比 如 后 端 只 为 D N S 或 者 W E B 这 些 特 定 应 用 ， 那 么 特 定 应 用 防 护 功 能 即 只 放 行 特 定 应 用 而 阻 断 干 扰 流 量 ； 用 户 行 为 模 式 分 析 ： 互 联 网 上 应 用 流 量 呈 现 随 机 特 点 ， 而 在 一 次 攻 击 中 ， 攻 击 者 如 果 采 用 固 定 模 式 、 固 定 带 宽 攻 击 ， 在 分 析 到 这 类 攻 击 后 可 实 施 阻 断 ； 动 态 指 纹 识 别 ： 根 据 检 查 和 生 产 攻 击 指 纹 ， 匹 配 后 期 攻 击 数 据 ； 最 后 的 流 量 限 速 ： 丢 车 保 帅 的 策 略 ， 经 过 前 期 过 滤 发 现 流 量 都 为 正 常 访 问 ， 但 是 仍 然 超 出 应 用 所 能 承 受 范 围 ， 不 得 已 丢 弃 部 分 流 量 ， 保 全 服 务 器 。 经 过 矩 阵 后 ， 保 障 交 付 给 客 户 的 都 是 纯 净 流 量 。   企 业 安 全 防 护 思 想 的 演 进 企 业 安 全 防 护 思 想 的 演 进 D D o S 防 护 的 设 计 思 想 从 最 早 的 “ 堵 塞 ” 攻 击 流 量 发 展 到 现 在 的 “ 疏 导 ” 。 而 部 署 方 式 也 从 单 一 的 串 联 模 式 ， 发 展 为 旁 路 和 串 联 相 结 合 的 方 式 ， 针 对 不 同 的 用 户 、 不 同 的 环 境 ， 采 用 不 同 的 部 署 方 式 。 串 联 模 式 适 用 于 非 运 营 商 的 用 户 ， 在 出 口 带 宽 一 般 小 于 1 - 2 G 的 情 况 下 ， 采 用 专 业 抗 D D o S 串 联 部 署 ， 提 供 精 细 化 的 小 流 量 检 测 能 力 ， 可 以 实 时 在 线 对 D D o S 进 行 清 洗 。 对 于 运 营 商 或 者 大 型 网 络 ， 利 用 旁 路 部 署 技 术 ， 抗 拒 绝 服 务 产 品 可 以 不 必 串 联 在 原 有 网 络 中 ， 除 了 减 少 故 障 点 ， 而 且 由 于 大 多 数 带 宽 不 必 实 时 通 过 抗 拒 绝 服 务 产 品 ， 因 此 一 个 较 小 的 抗 D D o S 清 洗 容 量 就 可 以 适 用 于 一 个 大 带 宽 的 网 络 中 ， 有 效 的 降 低 投 入 成 本 。 旁 路 工 作 原 理 如 下 ： 1 . 攻 击 检 测 ： 通 过 配 置 镜 像 接 口 或 N e t f l o w 方 式   感 知 到 有 攻 击 流 量 ， 判 断 是 否 有 拒 绝 服 务 攻 击 发 生 。 2 . 流 量 牵 引 ： 确 定 发 生 拒 绝 服 务 攻 击 后 ， 利 用 路 由   交 换 技 术 ， 将 原 本 要 去 往 受 害 I P 的 流 量 牵 引 至 旁 路   A D S 设 备 。 被 牵 引 的 流 量 为 正 常 流 量 与 攻 击 流 量 的 混 合 流 量 ； 3 . 攻 击 防 护 / 流 量 净 化 ： A D S 设 备 通 过 多 层 次   的 垃 圾 流 量 识 别 与 净 化 功 能 ， 将 拒 绝 服 务 攻 击   的 流 量 从 混 合 流 量 中 分 离 、 过 滤 ； 4 . 流 量 注 入 ： 经 过 A D S 净 化 之 后 的 正 常 流 量 被 重 新 注 入 回 网 络 ， 到 达 目 的 I P 。
采 用 旁 路 部 署 ， 具 有 以 下 优 势 ： 1 . 仅 在 I P S 等 安 全 设 备 报 警 时 与 之 联 动 ， 开 始 自 动 注 入 混 合 流 量 ， 平 时 正 常 情 况 下 并 不 工 作 。 2 . 设 备 旁 路 部 署 即 使 A D S 出 现 故 障 也 不 会 影 响 网 络 连 通 性 。 4 . 多 机 并 用 成 倍 提 升 清 洗 能 力 。 5 . 支 持 手 动 / 自 动 牵 引 流 量 ， 让 安 全 工 程 师 与 安 全 设 备 互 补 。 0 × 0 3   运 营 商 层 面 的 防 御 运 营 商 层 面 的 防 御 一 级 运 营 商 管 理 运 营 丰 富 的 骨 干 网 带 宽 资 源 ， 对 于 大 流 量 及 超 大 流 量 D D o S 攻 击 具 有 先 天 性 的 压 制 优 势 ， 运 营 商 是 整 个 网 络 的 支 撑 者 ， 所 有 的 攻 击 流 量 都 必 须 通 过 运 营 商 ，   如 果 在 运 营 商 层 面 全 面 的 打 击 D D O S 攻 击 行 为 ， 将 能 起 到 一 劳 永 逸 的 效 果 ， 所 以 我 认 为 运 营 商 应 该 扛 起 这 份 重 任 ， 打 造   抗 D D O S 的 堡 垒 。 对 于 运 营 商 而 言 ， 保 证 其 网 络 可 用 性 是 影 响 R O I 的 决 定 因 素 。 如 果 运 营 商 的 基 础 网 络 遭 受 攻 击 ， 那 么 所 有 承 载 的 业 务 都 会 瘫 痪 ， 这 必 然 导 致 服 务 质 量 的 下 降 甚 至 失 效 。 同 时 ， 在 目 前 竞 争 激 烈 的 运 营 商 市 场 ， 服 务 质 量 的 下 降 意 味 着 客 户 资 源 的 流 失 ， 尤 其 是 那 些 高 A R P U 值 的 大 客 户 ， 会 转 投 其 他 的 运 营 商 ， 这 对 于 运 营 商 而 言 是 致 命 的 打 击 。 所 以 ， 有 效 的 D D o S 防 护 措 施 对 于 保 证 网 络 服 务 质 量 有 着 重 要 意 义 。 另 一 方 面 ， 对 运 营 商 或 是 I D C 而 言 ， D D o S 防 护 不 仅 仅 可 以 避 免 业 务 损 失 ， 还 能 够 作 为 一 种 增 值 服 务 提 供 给 最 终 用 户 ， 这 给 运 营 商 带 来 了 新 的 利 益 增 长 点 ， 也 增 强 了 其 行 业 竞 争 能 力 。 源 源 I P 验 证 验 证 ： 目 前 大 部 分 的 D D O S 攻 击 都 会 使 用 伪 造 的 I P 地 址 ， 尤 其 是 反 射 型 的 D D O S 攻 击 ， 如 果 不 使 用 伪 造 的 I P 将 无 法 攻 击 ， 如 果 运 营 商 在 全 网 开 启 源 I P 的 校 验 ， 是 不 伪 造 的 I P 无 法 进 入 互 联 网 则 可 以 从 源 头 上 制 止 D D O S 攻 击 。 比 如 目 前 电 信 已 经 全 面 开 启 了 松 散 u R P F ， 这 有 效 的 防 止 了 伪 造 源 地 址 的 攻 击 行 为 。 使 用 溯 源 技 术 使 用 溯 源 技 术 ： ： 因 为 在 全 网 开 展 源 地 址 验 证 可 能 会 难 度 很 大 ， 但 是 防 D D O S 的 关 键 又 在 源 地 址 上 ， 所 以 应 该 使 用 各 种 溯 源 技 术 ， 在 攻 击 发 生 时 迅 速 找 到 攻 击 源 ， 取 证 并 切 断 攻 击 源 的 网 络 ， 使 攻 击 止 于 源 头 。 我 认 为 对 于 普 通 用 户 的 网 络 接 入 应 尽 量 给 与 私 网 I P 地 址 ， 然 后 通 过 N A T 多 个 用 户 公 用 同 一 I P ， 这 样 第 一 节 省 了 I P 地 址 ， 第 二 ， 普 通 用 户 发 出 的 各 种 报 文 的 源 地 址 都 会 被 N A T 替 换 成 真 实 的 地 址 ， 防 止 源 地 址 伪 造 。 第 三 ， 也 有 利 于 普 通 用 户 的 安 全 ， 这 相 当 于 多 了 一 道 防 火 墙 ， 能 够 阻 挡 大 部 分 来 自 公 网 的 主 动 连 接 ， 比 如 扫 描 等 行 为 。 或 者 把 i p 报 文 头 中 未 实 际 使 用 的 部 分 ， 比 如 八 位 的 Q O S 标 志 、 I P 选 项 字 段 ， 加 入 对 来 源 标 识 功 能 ， 每 个 接 入 层 的 路 由 交 换 设 备 带 有 不 同 的 标 致 ， 可 以 通 过 报 文 携 带 的 不 同 标 志 找 到 它 的 大 体 发 送 源 。 加 固 自 身 基 础 设 备 的 安 全 性 加 固 自 身 基 础 设 备 的 安 全 性 ： ： 运 营 商 一 定 要 高 度 重 视 自 身 网 络 设 备 的 安 全 性 ， 不 要 让 网 络 设 备 成 为 反 射 放 大 器 甚 至 被 黑 客 控 制 ， 因 为 运 营 商 在 网 络 中 起 到 只 管 重 要 的 作 用 ， 如 果 黑 客 远 程 关 闭 一 台 核 心 交 换 机 将 比 任 何 D D O S 攻 击 危 害 更 大 效 果 更 明 显 。 在 全 国 建 立 流 量 清 洗 站 为 企 业 提 供 清 洗 服 务 在 全 国 建 立 流 量 清 洗 站 为 企 业 提 供 清 洗 服 务 ： ： 在 全 国 各 个 地 区 建 立 流 量 清 洗 站 ， 清 洗 D D O S 流 量 ， 并 且 为 企 业 提 供 清 洗 服 务 ， 将 D D O S 流 量 转 入 清 洗 站 清 洗 ， 如 遇 特 大 型 的 D D O S 攻 击 ， 让 全 国 的 清 洗 站 共 同 分 担 清 洗 流 量 。 与 大 型 云 计 算 公 司 合 作 与 大 型 云 计 算 公 司 合 作 ： ： 云 计 算 公 司 有 很 大 的 计 算 能 力 ， 运 营 商 有 很 大 的 带 宽 资 源 ， 强 强 联 合 能 极 大 提 升 抗 D D O S 能 力 。   0 × 0 4   结 语 结 语 在 D D O S 攻 击 中 ， 攻 击 方 和 防 御 方 就 像 两 名 棋 局 上 的 棋 手 ， 见 招 拆 招 ， 根 据 对 方 的 改 变 而 改 变 自 己 的 攻 击 / 防 御 方 法 ， 仅 仅 通 过 一 种 方 式 就 打 瘫 一 个 目 标 是 很 难 实 现 的 ， 仅 仅 靠 A D S 设 备 去 自 动 的 防 御 所 有 的 攻 击 也 是 不 现 实 呢 ， 我 认 为 不 论 实 在 攻 击 还 是 防 御 中 ， 人 都 应 该 处 在 主 导 地 位 ， 通 过 安 全 人 员 的 专 业 知 识 与 经 验 ， 合 理 的 使 用 和 配 置 防 御 设 备 才 能 更 好 的 防 御 住 来 自 于 各 方 的 各 种 D D O S 攻 击 。
备 注 ： 这 篇 文 章 是 在 我 去 年 的 毕 业 论 文 中 截 取 的 一 段 ， 现 在 我 做 了 些 简 单 的 修 改 ， 言 语 有 些 死 板 ， 专 业 知 识 也 有 些 不 足 ， 还 望 各 位 莫 要 嫌 弃 ， 对 文 中 的 错 误 多 多 指 正 。 * 原 创 作 者 ： 黑 戈 爾 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理