怎样应对DDoS攻击

怎样应对DDoS攻击 浏览 次 字体[大 中 小]

（3）产品部署之道
在产品部署方面，东软网络安全产品营销中心产品经理姚伟栋认为，用户可以从三个方面防范和抵御DDoS攻击：（1）路由器访问控制：采用ACL（Access Control List）过滤能够灵活实现针对源目的IP地址、协议类型、端口号等各种形式的过滤，但同时也存在控制手段粗暴的缺陷，比如可能会为了过滤蠕虫病毒（SQL Slammer）而同时也阻挡了针对SQL Server的正常访问。这就需要有一种可以根据攻击数据包特征提供更细化过滤策略的技术。（2）网关类安全设备过滤：通过防火墙等安全设备所内置的防DDoS功能，对过往流量进行全文查询和特征匹配，对于命中的DDoS流量进行实时过滤。这种技术的缺陷在于，一是检测手段较为机械，只能针对已知DDoS行为进行识别控制，二是处理性能较低，通常不超过1G bps。（3）Flow检测和流量清洗技术：通过Flow技术，利用动态基线和固定阀值两种方式提供异常流量检测服务，其中动态基线和固定阀值分别描述了链路流量分布的“正常”和“异常”。
（4）联合防御策略
防范DDoS攻击不能仅依靠在单个节点部署产品，企业用户和为其提供Internet连接的电信运营商必须密切配合，采取联合防御的策略。作为企业用户需要重点考虑防御针对其关键服务的DDoS攻击，如SYN Flood、UDP DNS Query Flood，此外要特别注意对HTTP Get Flood，CC（Challenge Collapsar，一种专门规避黑洞DDoS防护器的服务层面DDoS方式）等应用层面DDoS攻击的防护，这些攻击仅需要利用自己极少的资源就能够造成对方较大的资源消耗，所以企业用户需要部署如IPS等设备来确保自己服务器，特别是Web和数据库服务器的资源不被这些DDoS攻击耗尽。防御上述攻击，需要采用专用硬件架构，比如基于NP+ASIC+CPU的混合架构，而不是基于Intel的开放架构，因为如果采用X86架构可以防御此类DDoS攻击，则理论上被攻击的服务器也采用了同样的架构，也应该能够防御此类DDoS攻击才对，而事实证明这种设计是失败的。
企业用户可以采取上述措施来保护自己数据中心的服务器免遭攻击，但是却无法有效地防御带宽耗尽型的海量DDOS攻击，如UDP Flood、(M)Stream Flood、ICMP Flood，以及某些Bonet发起的攻击，因为企业用户处于攻击的最下游，这也就是为什么需要企业和运营商采取联合防御策略的原因，理论上如果运营商的在其接入、或者汇聚以及网间互联层面部署了相应的DDoS系统，则到达企业用户数据中心的流量基本都是干净的，因为运营商在源头遏制了DDoS攻击。运营商检测带宽耗尽型的DDoS主要依靠全网流量分析和监测系统来识别异常的流量，然后采用流量监测系统和路由交换、防火墙设备协同工作的方式将异常流量牵引至路由黑洞，使其无法到达攻击目标，运营商在全网部署此类系统需要较大的投入。

                                                                                                                                                             已被阅读： 次

　

重庆电脑维修上门电脑维护电脑外包 公司包月维护

　

【讯闪科技 pc3721电脑维修中心】 正规公司运营 技术实力优秀 服务有保障!

　

热线电话： 023-62607382 下一篇：[从异常系统进程检查企业网络安全] 上一篇：[教你认清网络特殊用途IP地址] 服务承诺

★ Pc3721电脑维修中心承诺修不好不收费：

Pc3721电脑维修中心专业提供电脑维护服务，如果由于是我们技术的问题而导致无法解决你的电脑故障，我们将不收取如何费用。

★ Pc3721电脑维修中心提供全方位电脑故障解决方案：

Pc3721电脑维修中心专业提供电脑维护服务，不限品牌、组装、软件、 硬件、网络，全方位一体化解决任何电脑故障问题。

★ Pc3721电脑维修中心提供快速、即时的上门维修服务：

Pc3721电脑维修中心即时响应，主城6区内2小时上门 （渝中区,南坪区,江北区,沙坪坝,杨家坪,渝北区），免除您的一切奔波。

★ Pc3721电脑维修中心提供专业、全面的免费咨询服务：

Pc3721电脑维修中心提供免费咨询业务，任何用户任何电脑故障或疑问，提供无条件免费电话指导。