防御DDoS：如何應對大規(guī)模DDoS攻擊
發(fā)布時間：2020-03-31 點擊數(shù)：1410
分布式拒絕服務（DDoS）攻擊的規(guī)模越來越大。根據(jù)供應商Arbor Networks和Akamai Technologies的研究，2012年DDoS攻擊的平均大小約為1.77Gbps。來自Prolexic的DDoS攻擊數(shù)據(jù)顯示，攻擊的平均帶寬高達48Gbps，比上一季度增長了700％以上。
大多數(shù)組織都有近10Gbps的互聯(lián)網(wǎng)連接。因此，1.77Gbps DDoS攻擊的影響不小，但仍處于控制之中?，F(xiàn)在，DDoS攻擊的平均范圍已大大增加。如果組織完全沒有準備，當緊急人員遭受攻擊時，他們甚至根本無法使用Internet連接。
DDoS攻擊機制
傳統(tǒng)的拒絕服務攻擊通常是指使信息系統(tǒng)無法提供正常服務。這可能包括從停電到數(shù)據(jù)包泛洪的所有內(nèi)容。 DDoS變得越來越難以防御的原因主要是由于其名稱中包含的固有功能：分布式。 DDoS攻擊可以針對多個系統(tǒng)資源，在一個位置具有多個目標，從而使這些目標系統(tǒng)被完全擊敗。
啟動DDoS的方法有很多，但是最基本的方法是（也是Spamhaus遇到的一種）。攻擊者欺騙的IP地址與攻擊目標相同。然后，攻擊者將偽造的DNS請求發(fā)送到某些預先選擇的DNS服務器。當DNS服務器接收到DNS請求時，該服務器將檢查其數(shù)據(jù)庫，然后以一條響應消息進行響應，該消息指示該服務器沒有包含欺騙性IP地址的DNS記錄。由于DNS響應發(fā)送到欺騙IP地址，即攻擊者設置的攻擊目標將收到DNS響應，因此無法跟蹤攻擊者的來源。專業(yè)DDoS會將此類請求同時發(fā)送到不同位置的大量NDS服務器，這將對目標網(wǎng)絡產(chǎn)生嚴重影響，大多數(shù)網(wǎng)絡對傳入流量的處理能力有一定的上限。
防御數(shù)百萬DDoS攻擊
企業(yè)一旦企業(yè)了解了DDoS攻擊方法，就必須決定如何應對這種攻擊，這幾乎是不可避免的。第一種方法是與Arbor，CloudFlare，Akamai，Prolexic等DDoS防御供應商合作。這是應對最嚴重攻擊的可行方法。這些公司專門研究如何防御和處理可能的惡意流量。但是，如果組織沒有足夠的資源來購買第三方產(chǎn)品和服務，那么精明的安全管理員也將采取這些步驟以最大程度地降低DDoS攻擊的危害。首先，安全管理員應了解其組織的Internet連接。如前提條件中所述，每個組織的平均連接帶寬為10Gbps，因此管理員必須小心確保至少讓其產(chǎn)品和服務使用大部分可用吞吐量。另外，安全人員必須向更高級別的管理人員報告安全需求。即使資源緊張，也必須定期向他們報告上述統(tǒng)計信息，以使他們了解當前DDoS攻擊的普遍性和潛在危害。
此外，無論網(wǎng)絡管理員是否遇到攻擊，他們都應部署某種防御機制來檢查所有傳入的DNS響應。如果到達的一系列請求以前從未在本地服務器上記錄過，請丟棄這些數(shù)據(jù)包，而不要向外部DNS服務器發(fā)送不必要的響應，以免加劇問題。
最后，有一種方法，有時可以直接用于解決上述資源不足的問題。管理員應考慮將其基礎架構(gòu)更多地部署到云中。最初，出于節(jié)省空間的考慮，許多企業(yè)不想運行自己的獨立數(shù)據(jù)中心，但是出于安全考慮，云解決方案現(xiàn)在受到了更多關注。
在Spamhaus遇到的攻擊中，Spamhaus使用CloudFlare的云服務來減輕DDoS攻擊的影響。 CloudFlare和Neustar等云服務提供商將宣布全球數(shù)據(jù)中心中指定客戶的IP地址。這種分散的方法會將DDoS流量傳播到不同的地理位置，從而減輕了攻擊的影響。當像Spamhaus一樣發(fā)生數(shù)百萬次DDoS攻擊時，許多組織本身無法處理如此大的流量，因此他們必須向云提供商尋求幫助。
防御在防御和響應DDoS攻擊時保持警惕至關重要。安全管理員必須了解針對Internet系統(tǒng)的最新攻擊趨勢，策略和過程。各種統(tǒng)計數(shù)據(jù)表明，百萬級DDoS攻擊的規(guī)模和頻率將繼續(xù)增加，因此有必要采取防御措施以應對最壞的情況，例如Spamhaus所遭受的攻擊。提前準備是減少DDoS攻擊范圍和增強潛在攻擊目標的防御能力的重要一步。
全網(wǎng)數(shù)據(jù)為大家提供專業(yè)化深圳服務器托管，深圳服務器租用，深圳主機托管，云服務器租用等服務器資源，詳情可咨詢客服了解。
