ddos如何防御(ddos防御方法)

目录：

• 1、有哪些防护措施可以解决DDOS攻击？
• 2、网站被ddos攻击了 怎么防御?
• 3、DDoS 攻击与防御
• 4、DDOS如何防御?

有哪些防护措施可以解决DDOS攻击？

Dos拒绝服务攻击是通过各种手段消耗网络带宽和系统CPU、内存、连接数等资源，直接造成网络带宽耗尽或系统资源耗尽，使得该目标系统无法为正常用户提供业务服务，从而导致拒绝服务。

常规流量型的DDos攻击应急防护方式因其选择的引流技术不同而在实现上有不同的差异性，主要分为以下三种方式，实现分层清洗的效果。

1. 本地DDos防护设备

一般恶意组织发起DDos攻击时，率先感知并起作用的一般为本地数据中心内的DDos防护设备，金融机构本地防护设备较多采用旁路镜像部署方式。

本地DDos防护设备一般分为DDos检测设备、清洗设备和管理中心。首先，DDos检测设备日常通过流量基线自学习方式，按各种和防御有关的维度：

比如syn报文速率、http访问速率等进行统计，形成流量模型基线，从而生成防御阈值。

学习结束后继续按基线学习的维度做流量统计，并将每一秒钟的统计结果和防御阈值进行比较，超过则认为有异常，通告管理中心。

由管理中心下发引流策略到清洗设备，启动引流清洗。异常流量清洗通过特征、基线、回复确认等各种方式对攻击流量进行识别、清洗。

经过异常流量清洗之后，为防止流量再次引流至DDos清洗设备，可通过在出口设备回注接口上使用策略路由强制回注的流量去往数据中心内部网络，访问目标系统。

2. 运营商清洗服务

当流量型攻击的攻击流量超出互联网链路带宽或本地DDos清洗设备性能不足以应对DDos流量攻击时，需要通过运营商清洗服务或借助运营商临时增加带宽来完成攻击流量的清洗。

运营商通过各级DDos防护设备以清洗服务的方式帮助用户解决带宽消耗型的DDos攻击行为。实践证明，运营商清洗服务在应对流量型DDos攻击时较为有效。

3. 云清洗服务

当运营商DDos流量清洗不能实现既定效果的情况下，可以考虑紧急启用运营商云清洗服务来进行最后的对决。

依托运营商骨干网分布式部署的异常流量清洗中心，实现分布式近源清洗技术，在运营商骨干网络上靠近攻击源的地方把流量清洗掉，提升攻击对抗能力。

具备适用场景的可以考虑利用CNAME或域名方式，将源站解析到安全厂商云端域名，实现引流、清洗、回注，提升抗D能力。进行这类清洗需要较大的流量路径改动，牵涉面较大，一般不建议作为日常常规防御手段。

总结

以上三种防御方式存在共同的缺点，由于本地DDos防护设备及运营商均不具备HTTPS加密流量解码能力，导致针对HTTPS流量的防护能力有限;

同时由于运营商清洗服务多是基于Flow的方式检测DDos攻击，且策略的颗粒度往往较粗，因此针对CC或HTTP慢速等应用层特征的DDos攻击类型检测效果往往不够理想。

对比三种方式的不同适用场景，发现单一解决方案不能完成所有DDos攻击清洗，因为大多数真正的DDos攻击都是“混合”攻击(掺杂各种不同的攻击类型)。

比如：以大流量反射做背景，期间混入一些CC和连接耗尽，以及慢速攻击。这时很有可能需要运营商清洗(针对流量型的攻击)先把80%以上的流量清洗掉，把链路带宽清出来;

在剩下的20%里很有可能还有80%是攻击流量(类似CC攻击、HTTP慢速攻击等)，那么就需要本地配合进一步进行清洗。

网站被ddos攻击了 怎么防御?

随着DDOS攻击的成本越来越低，很多人就通过DDOS来实现对某个网站或某篇文章的“下线”功能，某篇文章可能因为内容质量好，在搜索引擎有较高的排名，但如果因为DDOS导致网站长时间无法访问，搜索引擎则会将这篇文章从索引中删除，网站的权重也会降低，因为达到了“下线”文章的目的。

对付DDOS不太容易，首先要找一个靠谱的主机供应商，我之前有个主机供应商，一发现某个IP被DDOS，就主动屏蔽这个IP好几天，实际上就是硬件和技术能力不足的表现。

国外的主机供应商也未必靠谱，比如之前有次被DDOS，我就把博客转到Dreamhost的空间，事实表明Dreamhost的防DDOS的能力不敢恭维，DDOS来了之后，Dreamhost对付DDOS倒是不客气，直接把中国地区的IP全给屏蔽了。

一般来说，DDOS是需要花钱和带宽的，解决DDOS也需要花钱和带宽，那么，如果服务器被DDOS了，我们应该怎么办呢？

1、保证服务器系统的安全

首先要确保服务器软件没有任何漏洞，防止攻击者入侵。确保服务器采用最新系统，并打上安全补丁。在服务器上删除未使用的服务，关闭未使用的端口。对于服务器上运行的网站，确保其打了最新的补丁，没有安全漏洞。

2、隐藏服务器的真实IP地址

不要把域名直接解析到服务器的真实IP地址，不能让服务器真实IP泄漏，服务器前端加CDN中转（免费的CDN一般能防止5G左右的DDOS），如果资金充裕的话，可以购买高防的盾机，用于隐藏服务器真实IP，域名解析使用CDN的IP，所有解析的子域名都使用CDN的IP地址。此外，服务器上部署的其他域名也不能使用真实IP解析，全部都使用CDN来解析。

总之，只要服务器的真实IP不泄露，5G以下小流量DDOS的预防花不了多少钱，免费的CDN就可以应付得了。如果攻击流量超过10G，那么免费的CDN可能就顶不住了，需要购买一个高防的盾机来应付了，而服务器的真实IP同样需要隐藏。

DDoS 攻击与防御

分布式拒绝服务攻击（Distributed Denial of Service），是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击。由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击。

DDoS 是一种基于 DoS 的特殊形式的拒绝服务攻击。单一的 DoS 攻击一般是采用一对一方式，利用网络协议和操作系统的缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。与 DoS 相比，DDos 借助数百上千台攻击机形成集群，发起的规模更大，更难防御的一种进攻行为。

ICMP 用于在 IP 主机，路由器之间传递控制消息（网络是否连通，主机是否可达，路由是否可用等）。ICMP 虽然不传递用户数据，但是对于用户数据的传递起着重要的作用。ICMP Flood 通过对目标系统发送海量的数据报，就可以令目标主机瘫痪，形成洪泛攻击。

UDP 协议是一种无连接的协议，在 UDP Flood 中，攻击者通常发送大量伪造 IP 地址的 UDP 报去冲击 DNS 服务器，Radius 认证服务器，流媒体视频服务器等，造成服务不可用。 上述的两种是比较传统的流量型攻击，技术含量较低，以占满网络带宽使得正常用户无法得到服务为攻击方式，攻击效果通常依赖于攻击者本身的网络性能，而且容易被查找攻击源头。

NTP 是标准的基于 UDP 协议的网络时间同步协议。由于 UDP 无连接的特性，NTP 服务器并不能保证收到报文的源 IP 的正确性。所以，攻击者通过将 IP 报文的源 IP 地址换为靶机的 IP 地址，并向 NTP 服务器发送大量的时间同步报文，这样，NTP 服务器的响应报文就会达到靶机上，沾满靶机网络段的带宽资源，同时也很难去追溯攻击源头。

SYN Flood 是一种利用 TCP 协议缺陷，发送大量伪造的 TCP 连接请求，从而使目标服务器资源耗尽的攻击方式。如果客户端只发起第一次握手，而不响应服务端的第二次握手，那么这条连接就处于半连接状态，服务端会维持这条连接一段时间（SYN Timeout）并不断地重试。但攻击者大量的模拟这种情况，就会沾满整个服务端的连接符号表，并消耗大量的 CPU 资源进行重试操作。而对于 SNY Flood 的防御目前有两种常见的方式，一种是算短 SYN Timeout，另一种是设置 SYN Cookie，并开辟一个数组存放 Cookie，单连接没有真正建立时，不去占用连接符号表。

DNS Query Flood 通过操纵大量的傀儡机，向本网段的域名服务器发送大量域名解析请求，通常这些请求解析的域名是随机生成或网络上根本不存在的域名，由于本地域名服务器无法找到对应的结果，就会通过层层上次给更高级的域名服务器，引起连锁反应，导致本网段内的域名解析服务瘫痪，但一般最多只会瘫痪一小段网络。

HashDos 是一种新型的，基于 Hash 碰撞形成的攻击。随着现在 RESTful 风格的不断普及，json 格式作为数据传输的格式愈发成为主流。但是 json 反序列化为对象时，底层是通过 hash 算法来将字段与属性，属性值进行一一匹配。所以，一旦攻击者知道了我们序列化方式，构造出一段具有严重哈希碰撞的 json 数据，就会使我们服务端序列化的复杂度从 O(1) 暴增到 O(n)。

DDos 的防御主要有两种，一种是针对流量带宽，一种是针对服务端资源。流量带宽一般需要通过运营商采用 ISP 黑洞，近源清洗等策略，在源头（即攻击者所在的网段）进行拦截，而不是等到所有的细流汇聚成猛水时才进行拦截。

而对于服务端的资源，则是当下 DDos 的重灾区，本文以攻防对抗的方式讲述 DDos 的发展历程。

参考文献：

DDOS如何防御?

分类: 电脑/网络 互联网

问题描述:

我的机房经常会死机或掉线,他们说是受到了DDOS攻击,请问他的详细攻击资料以及该如何防御呢?

解析:

对于DDOS攻击的详细分解

⒈TCP的工作原理

对于TCP的工作原理，最著名莫过于TCP的三次握手。图示，客户端A发送连接的请求数据报文，标识为SYN，并设定一个初始值得Seq=X，若服务器B答应连接，则返回相应数据报文确认为Ack=X+1，并同时发送逆向连接请求Y。A答应逆向连接返回确认Ack=y+1。

发送SYN，Seq=X

发送SYN，Seq=Y

ACK，Ack=X+1

发送ACK，Ack=Y+1

连接成功！

⒉SYN_FLOOD及ACK_FLOOD攻击

DDoS，也就是分布式拒绝服务攻击的缩写(Distributed denial of service )。

简单的说，拒绝服务就是用超出被攻击目标处理能力x的海量数据包消耗可用系统，带宽资源， 致使目标网络服务瘫痪的一种攻击手段。而分布拒绝服务攻击,就是发起攻击的源地址是分布的,而不是单一的或有规律的。

发送SYN

发送SYN

和ACK对方SYN

不发送ACK包对A确认

并继续发送SYN

不断循环

攻击成功！

简要分析：主机A在短时间内大量的发送该SYN请求连接包，服务器B会大量开辟空间以准备一个又一个的新连接，而A却不发送与服务器B第三次握手的确认数据包。导致B空间无法释放，最终B因为空间耗尽而无法响应其他合法主机的正常连接而导致“拒绝服务”。

在这个过程中，A还可以将发送给B的SYN请求连接包的源地址不断的更改，导致攻击难以追查，并且A还可以控制很多其他的“肉机”D，C等等同时发动攻击，加大攻击力度和攻击效果。

⒊CC攻击

对于大多数的WEB服务器和游戏服务器而言，CC攻击恐怕是最具危险性的了。他的具体工作过程如下图：

同时发送页面请求 对C发送页

面请求

攻击成功 ！

简要分析：在CC攻击中，对于A而言，获取大量的代理服务器并非难事，发送页面请求后，会有很多代理服务器同时对C请求页面，由于所申请的页面开销较大，很容易导致C的流量超载和资源耗尽，最终走向“拒绝服务”的道路。而该攻击中，代理服务器其实是合法的，很多服务器都需要和他有相关的服务，所以很难屏蔽由他带来的“骚扰”，同时也导致了这种攻击的难以防范。

⒋UDP，ICMP和DRDOS攻击及其变种

控制肉机 发送请求

或连接

攻击成功!

简要分析：很多时候我们会听到有人说PING死某某。其实是用了ICMP的工作原理。他有如下功能：

0 响应应答（ECHO-REPLY）

3 不可到达

4 源抑制

5 重定向

8 响应请求（ECHO-REQUEST）

11 超时

12 参数失灵

13 时间戳请求

14 时间戳应答

15 信息请求（*已作废）

16 信息应答（*已作废）

17 地址掩码请求

18 地址掩码应答

左边的数字表示ICMP的类型值，后面是对该类型的简要理解，PING死某某，其实是发送了8号响应请求报文，在没有关闭0号响应应答的服务器会返回一个0号响应应答报文。这样一来，如果带宽或资源处理能力B+D+…C的话，那么C就无法响应正常其他主机的请求而“拒绝服务”。这是最典型的一种ICMP_FLOOD而已。

如果从这种”比带宽,比资源”的角度来说，那么UDP_FLOOD和DRDOS_FLOOD就算是ICMP_FLOOD的一个变种了吧。所不同的是UDP是利用端口的应答回复。

然而更有趣的是DRDOS_FLOOD攻击，因为以上那些都是通过控制肉机来攻击C的话，DRDOS_FLOOD则是通过“欺骗”很多机器（可以不是肉机）去攻击C，这就好像一个“骗子”A告诉大家说C很有钱，然后大家都一起去C那“打劫”，攻击他。这看上去很玄乎，其实很简单，A发送大量的数据包（比如SYN请求包）给很多机器B，D，…，并伪造源地址为C，当B，D等机器收到报文后误以为是C发来的信息，就都不约而同的给C返回信息。这样就很容易达到“拒绝服务”的效果了！正因为A对各种肉机或机器发送的报文不一样，产生的攻击手段也可以不一样，但是最终效果都是“拒绝服务”，所以就有了很多DDOS攻击的变种。这里就不一一介绍了。

详情点击sharesec或QQ***********