計算機怎么防范DDoS攻擊

本篇內容主要講解“計算機怎么防范DDoS攻擊”，感興趣的朋友不妨來看看。本文介紹的方法操作簡單快捷，實用性強。下面就讓小編來帶大家學習“計算機怎么防范DDoS攻擊”吧!

什么是容量 DDoS 攻擊？

容量 DDoS 攻擊旨在填滿受害者的帶寬（例如 UDP 反射攻擊）。

UDP 反射攻擊發送的數據包將目標 IP 地址偽裝為源。然后，對欺騙數據包的響應將發送到目標，而不是攻擊者。

通過中間服務器而不是直接攻擊目標的優點是響應數據包通常比發送的數據包大得多。例如，對 DNS 查詢的響應可能比原始請求大 28 到 54 倍。

這樣，攻擊者可以發送許多更小的數據包，而響應數據包將耗盡目標的資源。

什么是協議 DDoS 攻擊？

協議 DDoS 攻擊發現了協議運行方式的弱點（例如 SYN 洪水）。SYN 洪水利用了三向握手的工作方式。

當攻擊者向一臺機器發送大量 SYN 數據包時，服務器將為該請求分配資源并返回一個 SYN ACK 數據包——假設它是連接請求的開始。

通常，另一臺服務器會以 ACK 響應，開始連接。在受到攻擊的情況下，攻擊者在沒有完成連接的情況下繼續發送 SYN 請求，直到服務器資源耗盡且無法接受任何額外的流量。

什么是應用程序 DDoS 攻擊？

應用程序 DDoS 攻擊針對的是應用程序工作方式中的弱點（例如 Slowloris 攻擊）。

Slowloris 攻擊與 SYN 洪水攻擊非常相似，但針對的是網絡服務器。當攻擊者發送 HTTP 請求而沒有完成它們，繼續（緩慢地）發送額外的標頭以保持連接打開時，就會發生這種情況。

由于連接永遠不會完成，它們吸收了服務器的所有可用資源，因此無法處理合法連接。

其他類型的 DDoS 攻擊

或者，DDoS 攻擊可以根據它們影響的 OSI 模型層進行分組。這些通常分為基礎設施攻擊（例如 UDP 反射和 SYN 泛洪）或應用程序攻擊（例如 HTTP 泛洪和緩存破壞）。

當攻擊者向服務器或應用程序發送看似合法的 HTTP 請求的“洪水”，耗盡其資源時，就會發生 HTTP 洪水。

緩存總線攻擊是 HTTP 泛洪攻擊的一個子集，旨在通過改變查詢字符串來避免 CDN 緩存，因此 CDN 必須為每個請求聯系源服務器，從而使其過載。

DDoS 攻擊的緩解措施

防御 DDoS 攻擊最重要的部分是準備工作本身。DDoS 嘗試在開始后很難處理。

擴大帶寬

應對容量攻擊的一種方法是擴大帶寬作為響應。不幸的是，這可能非常困難，具體取決于攻擊的規模，以及攻擊者擴大攻擊規模作為響應的能力。

除非被攻擊的組織是服務提供商或非常大的組織，否則這不太現實。

外包響應

較小的組織可以將他們的響應外包給其他專業公司，或他們的 ISP（或兩者）。

這些類型的關系需要在攻擊發生之前就位，這樣當攻擊發生時，緩解措施就像聯系 ISP 或服務提供商以激活保護（或持續啟用保護）一樣簡單。

DDoS 保護提供商通常會做的是將流量轉移到他們的環境（如果它尚未通過他們的環境）。這可以通過 DNS，通過更新 A 記錄以指向 DDoS 提供商已分配的 IP（盡管您需要較低的 TTL 以使其快速生效），或通過 BGP，通過通告更具體的路由目前正在宣傳中。

制定 DDoS 特定的事件響應計劃

即使組織已將其 DDoS 保護外包，制定特定于 DDoS 的事件響應計劃也是關鍵。

一旦它被各個利益相關者編寫并同意，重要的是至少每年審查一次（最好通過桌面練習）以確保每個人都了解他們在計劃中的角色。

特定于 DDoS 的響應計劃應包括以下內容：

活動前：

• 電路圖：創建盡可能準確的電路圖，包括電信觸點。
  
  還要創建您自己的網絡和任何適當聯系人（包括能夠并有權進行本地更改的人員，以及可以聯系電信公司進行任何更新的人員）的地圖。

• 升級：確定何時（以及如何）讓您的 ISP 或 DDoS 緩解組織（提供最新的聯系人和合同副本）參與進來。

• 溝通：制定應該通知誰和何時通知的列表（安全團隊的聯系信息、適當的網絡團隊聯系人等）。
  
  這應該分為兩組 - 技術響應人員（可以/將實施技術更改以解決攻擊）和其他所有人（通信、法律等）。第二組應該包括可能需要參與的任何人，但他們應該與進行更改的技術人員單獨通話，以便盡可能有效地做出響應。
  
  理想情況下，這應該被打印和分發，這樣即使系統不可用，人們也可以訪問。
  
  確保您的溝通團隊制定了一個計劃，說明在發生導致面向客戶的資產丟失的事件時如何以及如何溝通。

• 審查：應定期（至少每季度）審查這些文件和聯系人名單。

活動期間：

• 將事件歸類為 DDoS 攻擊：需要確認這是一次 DDoS 攻擊，而不僅僅是短暫的高流量爆發或某人在網絡中犯下的錯誤。理想情況下，這還包括確定正在發生的攻擊類型和攻擊量。

• 升級：循環事件指揮官，以便他們可以開始通知必要的人員。

• 采取初始步驟：如果可能，請疏通流量。如果流量高于鏈接的帶寬，請聯系您的運營商（他們可能會在他們的一端造成流量下降）。同時，如果您有 DDoS 緩解服務，也請聯系他們。

• 溝通：為技術人員和非技術人員建立一個鏈接以了解事件的最新情況。
  
  如果公共服務長時間中斷，這一點尤其重要，因為您的通信團隊需要保持最新狀態才能與股東/媒體/客戶進行溝通。

事后：

• 恢復正常：您何時會取消任何緩解措施？誰來簽收？

• 攻擊來源：您可以收集哪些有關攻擊的信息來解釋它以及背后的攻擊者？這是有針對性的攻擊嗎？

• 經驗教訓：它們是什么？如何使用它們來改進事件響應計劃？

構建彈性架構

構建具有彈性的系統需要一個全面的業務連續性計劃，并將 DDoS 作為該計劃的一個組成部分。

在為 DDoS 進行架構設計和為業務連續性進行架構設計時，基本上相同的原則適用于數據中心和網絡。您希望避免任何單點故障或瓶頸，并擁有地理上不同的網絡和供應商的多樣性。

內容分發網絡 (CDN) 是改善您對 DDoS 響應的一種方法，因為它們提供了一個地理分布的代理服務器網絡，可以顯著提高彈性。

云架構提供了對舊模型的顯著改進。它允許任何規模的組織創建完全冗余的系統，該系統可以上下旋轉并單擊按鈕。它還以極低的成本擁有地理上多樣化的基礎設施，以及一種根據需要上下擴展負載容量的廉價、簡單的方法。

專門針對云進行架構可以使組織利用這些新模型并顯著改善您的 DDoS 響應。

升級您的硬件

一些 DDoS 攻擊類型非常古老，可以通過更新的硬件來緩解。例如，您可以使用適當的網絡防火墻和負載均衡器抵御許多協議攻擊（如 SYN 泛洪）和應用程序攻擊（如 Slowloris）。

這些防火墻通常可以監控此類攻擊的跡象，并在連接達到不可持續的水平時關閉連接。安裝正確的硬件可以減輕攻擊可能造成的損害。

到此，相信大家對“計算機怎么防范DDoS攻擊”有了更深的了解，不妨來實際操作一番吧！這里是億速云網站，更多相關內容可以進入相關頻道進行查詢，關注我們，繼續學習！