防御DDoS：如何應(yīng)對(duì)大規(guī)模DDoS攻擊
發(fā)布時(shí)間：2020-03-31 點(diǎn)擊數(shù)：1426
分布式拒絕服務(wù)（DDoS）攻擊的規(guī)模越來越大。根據(jù)供應(yīng)商Arbor Networks和Akamai Technologies的研究，2012年DDoS攻擊的平均大小約為1.77Gbps。來自Prolexic的DDoS攻擊數(shù)據(jù)顯示，攻擊的平均帶寬高達(dá)48Gbps，比上一季度增長了700％以上。
大多數(shù)組織都有近10Gbps的互聯(lián)網(wǎng)連接。因此，1.77Gbps DDoS攻擊的影響不小，但仍處于控制之中。現(xiàn)在，DDoS攻擊的平均范圍已大大增加。如果組織完全沒有準(zhǔn)備，當(dāng)緊急人員遭受攻擊時(shí)，他們甚至根本無法使用Internet連接。
DDoS攻擊機(jī)制
傳統(tǒng)的拒絕服務(wù)攻擊通常是指使信息系統(tǒng)無法提供正常服務(wù)。這可能包括從停電到數(shù)據(jù)包泛洪的所有內(nèi)容。 DDoS變得越來越難以防御的原因主要是由于其名稱中包含的固有功能：分布式。 DDoS攻擊可以針對(duì)多個(gè)系統(tǒng)資源，在一個(gè)位置具有多個(gè)目標(biāo)，從而使這些目標(biāo)系統(tǒng)被完全擊敗。
啟動(dòng)DDoS的方法有很多，但是最基本的方法是（也是Spamhaus遇到的一種）。攻擊者欺騙的IP地址與攻擊目標(biāo)相同。然后，攻擊者將偽造的DNS請(qǐng)求發(fā)送到某些預(yù)先選擇的DNS服務(wù)器。當(dāng)DNS服務(wù)器接收到DNS請(qǐng)求時(shí)，該服務(wù)器將檢查其數(shù)據(jù)庫，然后以一條響應(yīng)消息進(jìn)行響應(yīng)，該消息指示該服務(wù)器沒有包含欺騙性IP地址的DNS記錄。由于DNS響應(yīng)發(fā)送到欺騙IP地址，即攻擊者設(shè)置的攻擊目標(biāo)將收到DNS響應(yīng)，因此無法跟蹤攻擊者的來源。專業(yè)DDoS會(huì)將此類請(qǐng)求同時(shí)發(fā)送到不同位置的大量NDS服務(wù)器，這將對(duì)目標(biāo)網(wǎng)絡(luò)產(chǎn)生嚴(yán)重影響，大多數(shù)網(wǎng)絡(luò)對(duì)傳入流量的處理能力有一定的上限。
防御數(shù)百萬DDoS攻擊
企業(yè)一旦企業(yè)了解了DDoS攻擊方法，就必須決定如何應(yīng)對(duì)這種攻擊，這幾乎是不可避免的。第一種方法是與Arbor，CloudFlare，Akamai，Prolexic等DDoS防御供應(yīng)商合作。這是應(yīng)對(duì)最嚴(yán)重攻擊的可行方法。這些公司專門研究如何防御和處理可能的惡意流量。但是，如果組織沒有足夠的資源來購買第三方產(chǎn)品和服務(wù)，那么精明的安全管理員也將采取這些步驟以最大程度地降低DDoS攻擊的危害。首先，安全管理員應(yīng)了解其組織的Internet連接。如前提條件中所述，每個(gè)組織的平均連接帶寬為10Gbps，因此管理員必須小心確保至少讓其產(chǎn)品和服務(wù)使用大部分可用吞吐量。另外，安全人員必須向更高級(jí)別的管理人員報(bào)告安全需求。即使資源緊張，也必須定期向他們報(bào)告上述統(tǒng)計(jì)信息，以使他們了解當(dāng)前DDoS攻擊的普遍性和潛在危害。
此外，無論網(wǎng)絡(luò)管理員是否遇到攻擊，他們都應(yīng)部署某種防御機(jī)制來檢查所有傳入的DNS響應(yīng)。如果到達(dá)的一系列請(qǐng)求以前從未在本地服務(wù)器上記錄過，請(qǐng)丟棄這些數(shù)據(jù)包，而不要向外部DNS服務(wù)器發(fā)送不必要的響應(yīng)，以免加劇問題。
最后，有一種方法，有時(shí)可以直接用于解決上述資源不足的問題。管理員應(yīng)考慮將其基礎(chǔ)架構(gòu)更多地部署到云中。最初，出于節(jié)省空間的考慮，許多企業(yè)不想運(yùn)行自己的獨(dú)立數(shù)據(jù)中心，但是出于安全考慮，云解決方案現(xiàn)在受到了更多關(guān)注。
在Spamhaus遇到的攻擊中，Spamhaus使用CloudFlare的云服務(wù)來減輕DDoS攻擊的影響。 CloudFlare和Neustar等云服務(wù)提供商將宣布全球數(shù)據(jù)中心中指定客戶的IP地址。這種分散的方法會(huì)將DDoS流量傳播到不同的地理位置，從而減輕了攻擊的影響。當(dāng)像Spamhaus一樣發(fā)生數(shù)百萬次DDoS攻擊時(shí)，許多組織本身無法處理如此大的流量，因此他們必須向云提供商尋求幫助。
防御在防御和響應(yīng)DDoS攻擊時(shí)保持警惕至關(guān)重要。安全管理員必須了解針對(duì)Internet系統(tǒng)的最新攻擊趨勢(shì)，策略和過程。各種統(tǒng)計(jì)數(shù)據(jù)表明，百萬級(jí)DDoS攻擊的規(guī)模和頻率將繼續(xù)增加，因此有必要采取防御措施以應(yīng)對(duì)最壞的情況，例如Spamhaus所遭受的攻擊。提前準(zhǔn)備是減少DDoS攻擊范圍和增強(qiáng)潛在攻擊目標(biāo)的防御能力的重要一步。
全網(wǎng)數(shù)據(jù)為大家提供專業(yè)化深圳服務(wù)器托管，深圳服務(wù)器租用，深圳主機(jī)托管，云服務(wù)器租用等服務(wù)器資源，詳情可咨詢客服了解。
