什么是DDoS流量攻击，主要的防御方式方法有哪些？
DDoS流量攻击全称：Distributed denial of service attack，中文翻译为分布式拒绝服务攻击，根据首字母简称为DDoS，因为DDoS流量攻击来势凶猛，持续不断，连绵不绝，因此在中国又叫洪水攻击。DDoS流量攻击是目前网络上最常见的手段，主要是公共分布式合理服务请求来昂被攻击者的服务器资源消耗殆尽，导致服务器服务提供正常的服务，这种方式说白了就是增大服务器的访问量，使其过载而导致服务器崩溃或者瘫痪。好比双十一期间大量的用户使用淘宝，使用的人数过多导致淘宝无法快速运转，并且出现页面瘫痪的情况。
DDoS流量攻击，可以分为，带宽消耗型和资源消耗型两种大的层次，从网络占用到目标硬件性能占用，以达到目标服务器网络瘫痪、系统崩溃的最终目的。下面为大家列举一些比较常用的DDoS流量攻击的方式。
死亡之PING：
死亡之PING即是ping of death，或者叫做死亡之平，也被翻译为死亡天平，这种攻击方式主要以通过TCP/IP协议进行DDoS流量攻击，这种类型的攻击方式主要是通过向服务器发送数据包片段大小超过TCP/IP协议的规定大小的数据包，让服务器系统无法正常进行处理从而导致崩溃，而这些数据包最大字节为6,5535字节。
CC攻击：
CC(Challenge Collapsar)，意为挑战黑洞，利用大量的肉鸡(免费代理服务器)向目标服务器发送大量看似合法的的请求，从而不断利用被攻击服务器的资源进行重来这边请求，让其资源不断被消耗，当服务器的资源被消耗殆尽用户就无法正常访问服务器获取服务器的响应，在cc攻击过程中，能够感觉到服务器的稳定性在不断的变差直至服务器瘫痪。应。
UDP洪水攻击：
UDP：用户数据包协议(User Datagram Protocol floods)，一种无连接协议，主要是通过信息交换过程中的握手原则来实现攻击，当通通过UDP发送数据时，三次的数据握手验证无法正常进行，导致大量数据包发送给目标系统时无法进行正常的握手验证，从而导致带宽被占满而无法让正常用户进行访问，导致服务器瘫痪或者崩溃。
而目前市场上常用来对付这些DDoS流量攻击的防护方式有以下几种：
目前常见的DDoS流量攻击防护是利用多重验证。入侵检测以及流量过滤等方式对因为攻击造成堵塞的带宽进行流量过滤让正常的流量能够正常的访问到目标服务器，从而维持服务器的正常运行。
流量清洗也就是让服务器所有的访问流量通过高防DDoS攻击流量清洗中心，通过高防的各种防护策略对正常流量和恶意流量被区分清洗过滤，将恶意流量阻挡住在服务器之外，让正常流量能够正常的访问，恶意流量则被禁止从而实现过滤。
防火墙是最常见DDoS流量攻击防护装置，防火墙的访问规则能够灵活定义，通过修改规则以实现允许或拒绝特定的通讯协议进入服务器，无论是端口还是IP地址，发现目标IP出现异常，那么直接阻断IP源的一切通信，即便是较为复杂的端口遭受到攻击，依旧能够有效的进行DDoS流量攻击防护。
锐速云告诉大家虽然近些年DDoS流量攻击呈现下降的趋势，但是不可否认目前仍是一个非常大的网络安全威胁，并且随着技术的发展，一些新型的DDoS流量攻击，仍在网络安全的战场上活跃着，如认为是一种Mirai变体的0x-booter。随着新的互联网技术和设备的变革和投入，不少黑客仍不断的更新完善DDoS流量攻击，因此在这个DDoS流量攻击防护的战场上，作为网络安全防护人员技术仍需要不断的更新变革。
DDOS攻击的方法有哪几种？
DDOS的主要几个攻击
SYN变种攻击
发送伪造源IP的SYN数据包但是数据包不是64字节而是上千字节这种攻击会造成一些防火墙处理错误锁死，消耗服务器CPU内存的同时还会堵塞带宽。
TCP混乱数据包攻击
发送伪造源IP的 TCP数据包，TCP头的TCP Flags 部分是混乱的可能是syn ,ack ,syn+ack ,syn+rst等等，会造成一些防火墙处理错误锁死，消耗服务器CPU内存的同时还会堵塞带宽。
针对用UDP协议的攻击
很多聊天室，视频音频软件，都是通过UDP数据包传输的，攻击者针对分析要攻击的网络软件协议，发送和正常数据一样的数据包，这种攻击非常难防护，一般防护墙通过拦截攻击数据包的特征码防护，但是这样会造成正常的数据包也会被拦截，
针对WEB Server的多连接攻击
通过控制大量肉鸡同时连接访问网站，造成网站无法处理瘫痪，这种攻击和正常访问网站是一样的，只是瞬间访问量增加几十倍甚至上百倍，有些防火墙可以通过限制每个连接过来的IP连接数来防护，但是这样会造成正常用户稍微多打开几次网站也会被封，
针对WEB Server的变种攻击
通过控制大量肉鸡同时连接访问网站，一点连接建立就不断开，一直发送发送一些特殊的GET访问请求造成网站数据库或者某些页面耗费大量的CPU,这样通过限制每个连接过来的IP连接数就失效了，因为每个肉鸡可能只建立一个或者只建立少量的连接。这种攻击非常难防护，后面给大家介绍防火墙的解决方案
针对WEB Server的变种攻击
通过控制大量肉鸡同时连接网站端口，但是不发送GET请求而是乱七八糟的字符，大部分防火墙分析攻击数据包前三个字节是GET字符然后来进行http协议的分析，这种攻击，不发送GET请求就可以绕过防火墙到达服务器，一般服务器都是共享带宽的，带宽不会超过10M 所以大量的肉鸡攻击数据包就会把这台服务器的共享带宽堵塞造成服务器瘫痪，这种攻击也非常难防护，因为如果只简单的拦截客户端发送过来没有GET字符的数据包，会错误的封锁很多正常的数据包造成正常用户无法访问，后面给大家介绍防火墙的解决方案
针对游戏服务器的攻击
因为游戏服务器非常多，这里介绍最早也是影响最大的传奇游戏，传奇游戏分为登陆注册端口7000,人物选择端口7100，以及游戏运行端口7200,7300,7400等,因为游戏自己的协议设计的非常复杂，所以攻击的种类也花样倍出，大概有几十种之多，而且还在不断的发现新的攻击种类，这里介绍目前最普遍的假人攻击，假人攻击是通过肉鸡模拟游戏客户端进行自动注册、登陆、建立人物、进入游戏活动从数据协议层面模拟正常的游戏玩家，很难从游戏数据包来分析出哪些是攻击哪些是正常玩家。
以上介绍的几种最常见的攻击也是比较难防护的攻击。一般基于包过滤的防火墙只能分析每个数据包，或者有限的分析数据连接建立的状态，防护SYN,或者变种的SYN,ACK攻击效果不错,但是不能从根本上来分析tcp，udp协议，和针对应用层的协议,比如http,游戏协议，软件视频音频协议，现在的新的攻击越来越多的都是针对应用层协议漏洞,或者分析协议然后发送和正常数据包一样的数据，或者干脆模拟正常的数据流，单从数据包层面，分析每个数据包里面有什么数据，根本没办法很好的防护新型的攻击。
编辑本段
SYN攻击解析
SYN攻击属于DOS攻击的一种，它利用TCP协议缺陷，通过发送大量的半连接请求，耗费CPU和内存资源。TCP协议建立连接的时候需要双方相互确认信息,来防止连接被伪造和精确控制整个数据传输过程数据完整有效。所以TCP协议采用三次握手建立一个连接。
第一次握手：建立连接时，客户端发送syn包到服务器，并进入SYN_SEND状态，等待服务器确认；
第二次握手：服务器收到syn包，必须确认客户的SYN 同时自己也发送一个SYN包 即SYN+ACK包，此时服务器进入SYN_RECV状态；
第三次握手：客户端收到服务器的SYN＋ACK包，向服务器发送确认包ACK此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。
SYN攻击利用TCP协议三次握手的原理，大量发送伪造源IP的SYN包也就是伪造第一次握手数据包，服务器每接收到一个SYN包就会为这个连接信息分配核心内存并放入半连接队列，如果短时间内接收到的SYN太多，半连接队列就会溢出，操作系统会把这个连接信息丢弃造成不能连接，当攻击的SYN包超过半连接队列的最大值时，正常的客户发送SYN数据包请求连接就会被服务器丢弃, 每种操作系统半连接队列大小不一样所以抵御SYN攻击的能力也不一样。那么能不能把半连接队列增加到足够大来保证不会溢出呢，答案是不能，每种操作系统都有方法来调整TCP模块的半连接队列最大数，例如Win2000操作系统在注册表 HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters里 TcpMaxHalfOpen，TcpMaxHalfOpenRetried ，Linux操作系统用变量tcp_max_syn_backlog来定义半连接队列的最大数。但是每建立一个半连接资源就会耗费系统的核心内存，操作系统的核心内存是专门提供给系统内核使用的内存不能进行虚拟内存转换是非常紧缺的资源windows2000 系统当物理内存是4g的时候 核心内存只有不到300M，系统所有核心模块都要使用核心内存所以能给半连接队列用的核心内存非常少。Windows 2003 默认安装情况下，WEB SERVER的80端口每秒钟接收5000个SYN数据包一分钟后网站就打不开了。标准SYN数据包64字节 5000个等于 5000*64 *8(换算成bit)/1024=2500K也就是 2.5M带宽 ，如此小的带宽就可以让服务器的端口瘫痪，由于攻击包的源IP是伪造的很难追查到攻击源,，所以这种攻击非常多。
编辑本段
如何防止和减少DDOS攻击的危害
拒绝服务攻击的发展
从拒绝服务攻击诞生到现在已经有了很多的发展，从最初的简单Dos到现在的DdoS。那么什么是Dos和DdoS呢？DoS是一种利用单台计算机的攻击方式。而DdoS（Distributed Denial of Service，分布式拒绝服务）是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，比如一些商业公司、搜索引擎和政府部门的站点。DdoS攻击是利用一批受控制的机器向一台机器发起攻击，这样来势迅猛的攻击令人难以防备，因此具有较大的破坏性。如果说以前网络管理员对抗Dos可以采取过滤IP地址方法的话，那么面对当前DdoS众多伪造出来的地址则显得没有办法。所以说防范DdoS攻击变得更加困难，如何采取措施有效的应对呢？下面我们从两个方面进行介绍。
如何有效缓解DDoS攻击？主要的手段有哪些？
他人发起DDoS攻击你，那是外因，我们改变不了。但是我们可以从内做防御，缓解DDoS攻击。一般是从减少暴漏、优化架构、服务器加固、业务监控、商业解决方案等几方面着手。
减少暴漏
攻击之前，对方会扫描你的开放端口，针对你所提供的服务，让僵尸网络合法侵占你的资源。所以我们尽量避免将服务器的端口暴漏在公网上。阿里云的安全组可以有效防止系统被扫描或者意外暴露。
优化业务架构
运营前期，技术团队都会对业务架构进行压力测试，但很多时候，企业处于成本考虑，没有做好弹性和冗余，这导致我们在面对攻击时，变得不堪一击。
部署弹性伸缩+负载均衡：负载均衡能够降低单台ECS的压力，可以有效缓解一定流量范围内的连接层DDoS攻击;负载均衡可以有效的缓解会话层和应用层攻击，在遭受攻击时自动增加服务器，提升处理性能，避免业务遭受严重影响。
余量带宽：利用TCP三次握手可以发起DDoS攻击，占用你的宽带资源，所以在购买带宽时确保有一定的余量带宽，可以避免遭受攻击时带宽大于正常使用量而影响正常用户的情况。
服务安全加固
对服务器上的操作系统、软件服务进行安全加固，减少可被攻击的点，增大攻击方的攻击成本：
确保服务器的系统文件是最新的版本，并及时更新系统补丁。
对所有服务器主机进行检查，清楚访问者的来源。
过滤不必要的服务和端口。例如，对于WWW服务器，只开放80端口，将其他所有端口关闭，或在防火墙上设置阻止策略。
限制同时打开的SYN半连接数目，缩短SYN半连接的timeout时间，限制SYN/ICMP流量。
仔细检查网络设备和服务器系统的日志。一旦出现漏洞或是时间变更，则说明服务器可能遭到了攻击。
限制在防火墙外进行网络文件共享。降低黑客截取系统文件的机会，若黑客以特洛伊木马替换它，文件传输功能将会陷入瘫痪。
充分利用网络设备保护网络资源。在配置路由器时应考虑针对流控、包过滤、半连接超时、垃圾包丢弃、来源伪造的数据包丢弃、SYN阀值、禁用ICMP和UDP广播的策略配置。
通过iptable之类的软件防火墙限制疑似恶意IP的TCP新建连接，限制疑似恶意IP的连接、传输速率。
业务监控
阿里云的云监控服务可用于收集、获取阿里云资源的监控指标或用户自定义的监控指标，探测服务的可用性，并支持针对指标设置警报。
商用安全方案
事实上，当企业一直遭受大规模的DDoS攻击时，以上几种防御方法，显得很渺小，分分钟几十G上百G的攻击流量，只能通过寻求商业安全解决方案来解决。
什么是DDOS攻击？如何防御攻击？
DDoS攻击就是分布式拒绝服务攻击，指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，可使目标服务器进入瘫痪状态。
简单点说，就是你家摆摊卖咸鸭蛋呢，我找一堆二流子围着你家的咸鸭蛋摊问东问西，就是不买东西，或者买了东西，又说咸鸭蛋不好得退货。让真正想买咸鸭蛋的人买不到，让你家正常的业务没法进行。
防御：
1、尽可能对系统加载最新补丁，并采取有效的合规性配置，降低漏洞利用风险；
2、采取合适的安全域划分，配置防火墙、入侵检测和防范系统，减缓攻击。
3、采用分布式组网、负载均衡、提升系统容量等可靠性措施，增强总体服务能力。通俗的说就是，我找保安帮我维持鸭蛋摊的秩序，长得就不像是好人，举止怪异的根本不让靠近，并且在鸭蛋摊前面画条线排队，每个人只能有半分钟的买鸭蛋的时间，并且多开几个窗口卖鸭蛋。
DDoS攻击有哪些防御方法？怎么做好防御工作
DDoS攻击防御方法
1. 过滤不必要的服务和端口：可以使用Inexpress、Express、Forwarding等工具来过滤不必要的服务和端口，即在路由器上过滤假IP。比如Cisco公司的CEF(Cisco Express Forwarding)可以针对封包Source IP和Routing Table做比较，并加以过滤。只开放服务端口成为目前很多服务器的流行做法，例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略。
2. 异常流量的清洗过滤：通过DDOS硬件防火墙对异常流量的清洗过滤，通过数据包的规则过滤、数据流指纹检测过滤、及数据包内容定制过滤等顶尖技术能准确判断外来访问流量是否正常，进一步将异常流量禁止过滤。单台负载每秒可防御800-927万个syn攻击包。
3. 分布式集群防御：这是目前网络安全界防御大规模DDOS攻击的最有效办法。分布式集群防御的特点是在每个节点服务器配置多个IP地址（负载均衡），并且每个节点能承受不低于10G的DDOS攻击，如一个节点受攻击无法提供服务，系统将会根据优先级设置自动切换另一个节点，并将攻击者的数据包全部返回发送点，使攻击源成为瘫痪状态，从更为深度的安全防护角度去影响企业的安全执行决策,目前百度云加速就使用这种方式，提供四到七层的DDoS攻击防护，包括CC、SYN flood、UDP flood等所有DDoS攻击方式， 通过分布式高性能防火墙+精准流量清洗+CC防御+WEB攻击拦截，组合过滤精确识别，有效防御各种类型攻击。相关链接
4. 高防智能DNS解析：高智能DNS解析系统与DDOS防御系统的完美结合，为企业提供对抗新兴安全威胁的超级检测功能。它颠覆了传统一个域名对应一个镜像的做法，智能根据用户的上网路线将DNS解析请求解析到用户所属网络的服务器。同时智能DNS解析系统还有宕机检测功能，随时可将瘫痪的服务器IP智能更换成正常服务器IP，为企业的网络保持一个永不宕机的服务状态。
DDoS攻击的网络流量清洗
当发生DDOS攻击时，网络监控系统会侦测到网络流量的异常变化并发出报警。在系统自动检测或人工判断之后，可以识别出被攻击的虚拟机公网IP地址。这时，可调用系统的防DDOS攻击功能接口，启动对相关被攻击IP的流量清洗。流量清洗设备会立即接管对该IP地址的所有数据包，并将攻击数据包清洗掉，仅将正常的数据包转发给随后的网络设备。这样，就能保证整个网络正常的流量通行，而将DDOS流量拒之门外。
采用云DDoS清洗方式，可以为企业用户带来诸多好处。其表现在不仅可以提升综合防护能力，用户能够按需付费，可弹性扩展，而且还能够基于大数据来分析预测攻击，同时能够免费升级。对于企业用户来说，则可实现零运维、零改造。
0条大神的评论