常见的流量攻击及其对策

Posted on

随着互联网的加速发展,网络安全问题层出不穷,黑客愈发的猖狂,网络袭击、网络绑架、信息泄密等等越来越多的新闻出现在我们的视野,使得越来越多的企业担惊受怕。那么今天浅默将要和大家分享些什么呢?小伙伴们肯定会觉得是和黑客相关的,对咯,黑客虽说比较容易攻击那些知名的品牌企业,但对于我们中小企业或者是个人来说,我们也是应该关注一下我们的服务器,该怎么应对黑客的攻击。今天浅默将要和大家分享一下服务器常见的攻击有哪些以及它的对策有哪些。

在服务器的正常运作中,常见的流量攻击有两种,分别是DDOS攻击和CC攻击,那么它们到底是什么呢?接下来我就和大家一起聊一聊吧。

首先我们来说一下DDOS攻击,那什么是DDOS攻击呢?

DDOS,全称是Distributed Denial of Service,即分布式拒绝服务。DDOS主要是借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DDoS攻击,从而成倍地提高拒绝服务攻击的威力。通常,攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上,在一个设定的时间主控程序将与大量代理程序通讯,代理程序已经被安装在网络上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术,主控程序能在几秒钟内激活成百上千次代理程序的运行。其实说白了它最主要的形式是在短时间内用大量的流量来占用服务器的带宽,让你的服务器承载不了从而瘫痪。

DDOS攻击的种类有很多,那常见的有哪些呢?浅默就来给大家简单的介绍一下吧。

  • Synflood: 释解为拒绝服务攻击,是当前最流行的DoS(拒绝服务攻击)与DdoS(分布式拒绝服务攻击)的方式之一,这是一种利用TCP协议缺陷,发送大量伪造的TCP连接请求,从而使得被攻击方资源耗尽(CPU满负荷或内存不足)的攻击方式。
  • Smurf:是以攻击的程序来命名的。该攻击向一个子网的广播地址发一个带有特定请求(如ICMP回应请求)的包,并且将源地址伪装成想要攻击的主机地址。子网上所有主机都回应广播包请求而向被攻击主机发包,使该主机受到攻击。
  • Land-based:攻击者将一个包的源地址和目的地址都设置为目标主机的地址,然后将该包通过IP欺骗的方式发送给被攻击主机,这种包可以造成被攻击主机因试图与自己建立连接而陷入死循环,从而很大程度地降低了系统性能。
  • PingofDeath:根据TCP/IP的规范,一个包的长度最大为65536字节。尽管一个包的长度不能超过65536字节,但是一个包分成的多个片段的叠加却能做到。当一个主机收到了长度大于65536字节的包时,就是受到了PingofDeath攻击,该攻击会造成主机的宕机。
  • Teardrop:IP数据包在网络传递时,数据包可以分成更小的片段。攻击者可以通过发送两段(或者更多)数据包来实现TearDrop攻击。第一个包的偏移量为0,长度为N,第二个包的偏移量小于N。为了合并这些数据段,TCP/IP堆栈会分配超乎寻常的巨大资源,从而造成系统资源的缺乏甚至机器的重新启动。
  • PingSweep:使用ICMPEcho轮询多个主机。 Pingflood:该攻击在短时间内向目的主机发送大量ping包,造成网络堵塞或主机资源耗尽。

面对DDOS攻击,我们有哪些有效对策可以应对呢?

1、定期扫描

要定期扫描现有的网络主节点,清查可能存在的安全漏洞,对新出现的漏洞及时进行清理。

2、在骨干节点配置防火墙

防火墙本身能抵御Ddos攻击和其他一些攻击。在发现受到攻击的时候,可以将攻击导向一些牺牲主机,这样可以保护真正的主机不被攻击。

3、用足够的机器承受黑客攻击

这是一种较为理想的应对策略。如果用户拥有足够的容量和足够的资源给黑客攻击,在它不断访问用户、夺取用户资源之时,自己的能量也在逐渐耗失,或许未等用户被攻死,黑客已无力支招儿了。不过此方法需要投入的资金比较多,平时大多数设备处于空闲状态,和目前中小企业网络实际运行情况不相符。

4、充分利用网络设备保护网络资源

所谓网络设备是指路由器、防火墙等负载均衡设备,它们可将网络有效地保护起来。当网络被攻击时最先死掉的是路由器,但其他机器没有死。死掉的路由器经重 启后会恢复正常,而且启动起来还很快,没有什么损失。若其他服务器死掉,其中的数据会丢失,而且重启服务器又是一个漫长的过程。特别是一个公司使用了负载 均衡设备,这样当一台路由器被攻击死机时,另一台将马上工作。从而最大程度的削减了Ddos的攻击。

5、过滤不必要的服务和端口

可以使用Inexpress、Express、Forwarding等工具来过滤不必要的服务和端口,即在路由器上过滤假IP。比如Cisco公司的 CEF(Cisco Express Forwarding)可以针对封包Source IP和Routing Table做比较,并加以过滤。只开放服务端口成为目前很多服务器的流行做法,例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略。

6、检查访问者的来源

使用Unicast ReversePath Forwarding等通过反向路由器查询的方法检查访问者的IP地址是否是真,如果是假的,它将予以屏蔽。许多黑客攻击常采用假IP地址方式迷惑用户, 很难查出它来自何处。因此,利用Unicast Reverse Path Forwarding可减少假IP地址的出现,有助于提高网络安全性。

7、过滤所有RFC1918 IP地址

RFC1918 IP地址是内部网的IP地址,像10.0.0.0、192.168.0.0 和172.16.0.0,它们不是某个网段的固定的IP地址,而是Internet内部保留的区域性IP地址,应该把它们过滤掉。此方法并不是过滤内部员工的访问,而是将攻击时伪造的大量虚假内部IP过滤,这样也可以减轻Ddos的攻击。

8、限制SYN/ICMP流量

用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽,这样,当出现大量的超过所限定的SYN/ICMP流量 时,说明不是正常的网络访问,而是有黑客入侵。早期通过限制SYN/ICMP流量是最好的防范DOS的方法,虽然目前该方法对于Ddos效果不太明显了, 不过仍然能够起到一定的作用。

好,说完DDOS攻击及其对策,接下来我们再来说说另一种流量攻击CC攻击吧。那什么是CC攻击呢?

攻击者借助代理服务器生成指向受害主机的合法请求,实现DDOS和伪装就是CC了,CC的全称是ChallengeCollapsar。

CC主要是用来攻击页面的。我想大家都有过这样的经历,就是在访问论坛时,如果这个论坛比较大,访问的人比较多,打开页面的速度会比较慢,访问的人越多,论坛的页面越多,数据库就越大,被访问的频率也越高,占用的系统资源也就相当可观。

CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面,造成服务器资源的浪费,CPU长时间处于100%,永远都有处理不完的连接直至就网络拥塞,正常的访问被中止。

那预防CC攻击的对策有哪些呢?

要防范CC、DDoS攻击,使用硬件防火墙能有效抵挡低密度的攻击。如果没有硬件防火墙,就要建立IP地址和流量监控机制,一旦发现某个IP地址的流量出现异常,路由器就立即断开与该IP地址的联系。

就此,浅默特别为大家推荐江苏三艾网络科技有限公司——一家集域名注册、虚拟主机、云服务器、服务器租用托管、网站建设推广等服务的公司。旗下名牌3A网络致力于为个人、企业提供基于互连网的全套解决方案,从最基本的网页设计及制作和企业网站的策化、建设、维护、推广到域名的注册、虚拟主机的建置。全力为客户缔造个性化的服务,为提高企业影响力提供良好的发展空间。大家有任何的需要,都可以找3A网络,绝对不会让大家失望的哦。

说了这么多,浅默今天和大家的分享就到此为止了,我们这一周的分享之旅也就要画上圆满滴句号了哦,大家如果有任何的问题都可以随时@浅默哦,和浅默一起讨论交流你们的想法,浅默会非常期待的呦。各位亲爱滴小伙伴们,我们下周再见咯。