如何對(duì)抗Ddos攻擊

如何對(duì)抗Ddos攻擊

　　DdoS攻擊是利用一批受控制的機(jī)器向一臺(tái)機(jī)器發(fā)起攻擊，這樣來勢(shì)迅猛的攻擊令人難以防備，因此具有較大的破壞性，下面學(xué)習(xí)啦小編就教你一些對(duì)抗Ddos攻擊的相關(guān)資料吧!

　　1. 如果只有幾臺(tái)計(jì)算機(jī)是攻擊的來源，并且你已經(jīng)確定了這些來源的 IP 地址, 你就在防火墻服務(wù)器上放置一份 ACL(訪問控制列表) 來阻斷這些來自這些 IP 的訪問。如果可能的話 將 web 服務(wù)器的 IP 地址變更一段時(shí)間，但是如果攻擊者通過查詢你的 DNS 服務(wù)器解析到你新設(shè)定的 IP，那這一措施及不再有效了。

　　2. 如果你確定攻擊來自一個(gè)特定的國家，可以考慮將來自那個(gè)國家的 IP 阻斷，至少要阻斷一段時(shí)間.

　　3、監(jiān)控進(jìn)入的網(wǎng)絡(luò)流量。通過這種方式可以知道誰在訪問你的網(wǎng)絡(luò)，可以監(jiān)控到異常的訪問者，可以在事后分析日志和來源IP。在進(jìn)行大規(guī)模的攻擊之前，攻擊者可能會(huì)使用少量的攻擊來測(cè)試你網(wǎng)絡(luò)的健壯性。

　　4、對(duì)付帶寬消耗型的攻擊來說，最有效(也很昂貴)的解決方案是購買更多的帶寬。

　　5、也可以使用高性能的負(fù)載均衡軟件，使用多臺(tái)服務(wù)器，并部署在不同的數(shù)據(jù)中心。

　　6、對(duì)web和其他資源使用負(fù)載均衡的同時(shí)，也使用相同的策略來保護(hù)DNS。

　　7、優(yōu)化資源使用提高 web server 的負(fù)載能力。例如，使用 apache 可以安裝 apachebooster 插件，該插件與 varnish 和 nginx 集成，可以應(yīng)對(duì)突增的流量和內(nèi)存占用。

　　8、使用高可擴(kuò)展性的 DNS 設(shè)備來保護(hù)針對(duì) DNS 的 DDOS 攻擊。可以考慮購買 Cloudfair 的商業(yè)解決方案，它可以提供針對(duì) DNS 或 TCP/IP3 到7層的 DDOS 攻擊保護(hù)。

　　9、啟用路由器或防火墻的反IP欺騙功能。在 CISCO 的 ASA 防火墻中配置該功能要比在路由器中更方便。在 ASDM(Cisco Adaptive Security Device Manager)中啟用該功能只要點(diǎn)擊“配置”中的“防火墻”，找到“anti-spoofing”然后點(diǎn)擊啟用即可。也可以在路由器中使用 ACL(access control list)來防止 IP 欺騙，先針對(duì)內(nèi)網(wǎng)創(chuàng)建 ACL，然后應(yīng)用到互聯(lián)網(wǎng)的接口上。

　　10、使用第三方的服務(wù)來保護(hù)你的網(wǎng)站。有不少公司有這樣的服務(wù)，提供高性能的基礎(chǔ)網(wǎng)絡(luò)設(shè)施幫你抵御拒絕服務(wù)攻擊。你只需要按月支付幾百美元費(fèi)用就行。

　　11、注意服務(wù)器的安全配置，避免資源耗盡型的 DDOS 攻擊。

　　12、聽從專家的意見，針對(duì)攻擊事先做好應(yīng)對(duì)的應(yīng)急方案。

　　13、監(jiān)控網(wǎng)絡(luò)和 web 的流量。如果有可能可以配置多個(gè)分析工具，例如：Statcounter 和 Google analytics，這樣可以更直觀了解到流量變化的模式，從中獲取更多的信息。

　　14、保護(hù)好 DNS 避免 DNS 放大攻擊。

　　15、在路由器上禁用 ICMP。僅在需要測(cè)試時(shí)開放 ICMP。在配置路由器時(shí)也考慮下面的策略：流控，包過濾，半連接超時(shí)，垃圾包丟棄，來源偽造的數(shù)據(jù)包丟棄，SYN 閥值，禁用 ICMP 和 UDP 廣播。