云計(jì)算服務(wù)
服務(wù)器租用
DDOS 防護(hù)
虛擬主機(jī)
域名服務(wù)
基礎(chǔ)設(shè)施
關(guān)于我們
你有沒(méi)有想過(guò)哪種類(lèi)型的DDoS攻擊最難阻止?有許多不同類(lèi)型的分布式拒絕服務(wù)攻擊，但并非所有這些攻擊都難以阻止，因此我們將DDoS保護(hù)難題的前三名放在一起。一般來(lái)說(shuō)，要有效防御應(yīng)用程序的合法流量遭受DDoS攻擊總是很難，但是有一些攻擊特別難以阻止。
一、直接僵尸網(wǎng)絡(luò)攻擊
僵尸網(wǎng)絡(luò)是受感染的PC和/或服務(wù)器的數(shù)字(范圍從10到100,000+)，可以由攻擊者從所謂的C&C(命令和控制)服務(wù)器控制。根據(jù)僵尸網(wǎng)絡(luò)的類(lèi)型，攻擊者可以使用它來(lái)執(zhí)行各種不同的攻擊。例如，它可用于第7層HTTP攻擊，攻擊者會(huì)使每個(gè)受感染的PC /服務(wù)器向受害者的網(wǎng)站發(fā)送HTTP GET或POST請(qǐng)求，直到Web服務(wù)器的資源耗盡為止。
通常，僵尸網(wǎng)絡(luò)在攻擊期間建立完整的TCP連接，這使得它們很難被阻止。它基本上是第7層DDoS，可以修改為盡可能多地對(duì)任何應(yīng)用程序造成傷害，不僅僅是網(wǎng)站，還有游戲服務(wù)器和任何其他服務(wù)。即使機(jī)器人無(wú)法模仿目標(biāo)應(yīng)用程序的協(xié)議，他們?nèi)匀豢梢越⑦@么多TCP連接，使受害者的TCP / IP堆棧無(wú)法接受更多連接，因此無(wú)法響應(yīng)。
通過(guò)分析來(lái)自機(jī)器人的連接并弄清楚它們發(fā)送的有效載荷如何與合法連接不同，可以減輕直接僵尸網(wǎng)絡(luò)攻擊。連接限制也可以提供幫助，但這一切都取決于僵尸網(wǎng)絡(luò)的行為方式，每次都可能不同。通常是識(shí)別和停止直接僵尸網(wǎng)絡(luò)DDoS的手動(dòng)過(guò)程。
二、第7層 HTTP DDoS
基于HTTP的第7層攻擊(例如HTTP GET或HTTP POST)是一種DDoS攻擊，它通過(guò)向Web服務(wù)器發(fā)送大量HTTP請(qǐng)求來(lái)模仿網(wǎng)站訪問(wèn)者以耗盡其資源。雖然其中一些攻擊具有可用于識(shí)別和阻止它們的模式，但是無(wú)法輕易識(shí)別的HTTP洪水。它們并不罕見(jiàn)，對(duì)網(wǎng)站管理員來(lái)說(shuō)非常苛刻，因?yàn)樗鼈儾粩喟l(fā)展以繞過(guò)常見(jiàn)的檢測(cè)方法。
針對(duì)第7層HTTP攻擊的緩解方法包括HTTP請(qǐng)求限制，HTTP連接限制，阻止惡意用戶代理字符串以及使用Web應(yīng)用程序防火墻(WAF)來(lái)識(shí)別已知模式或源IP的惡意請(qǐng)求。
三、TCP SYN / ACK反射攻擊(DrDoS)
TCP反射DDoS攻擊是指攻擊者向任何類(lèi)型的TCP服務(wù)發(fā)送欺騙數(shù)據(jù)包，使其看起來(lái)源自受害者的IP地址，這使得TCP服務(wù)向受害者的IP地址發(fā)送SYN / ACK數(shù)據(jù)包。例如，攻擊者想要攻擊的IP是1.2.3.4。為了定位它，攻擊者將數(shù)據(jù)包發(fā)送到端口80上的任何隨機(jī)Web服務(wù)器，其中標(biāo)頭是偽造的，因?yàn)閃eb服務(wù)器認(rèn)為該數(shù)據(jù)包來(lái)自1.2.3.4，實(shí)際上它沒(méi)有。這將使Web服務(wù)器將SYN / ACK發(fā)送回1.2.3.4以確認(rèn)它收到了數(shù)據(jù)包。
TCP SYN / ACK反射DDoS很難阻止，因?yàn)樗枰粋€(gè)支持連接跟蹤的狀態(tài)防火墻。連接跟蹤通常需要防火墻設(shè)備上的一些資源，具體取決于它需要跟蹤的合法連接數(shù)。它會(huì)檢查一個(gè)SYN數(shù)據(jù)包是否實(shí)際上已經(jīng)發(fā)送到IP，它首先接收到SYN / ACK數(shù)據(jù)包。
另一種緩解方法是阻止攻擊期間使用的源端口。在我們的示例案例中，所有SYN / ACK數(shù)據(jù)包都有源端口80，合法數(shù)據(jù)包通常沒(méi)有(除非在受害者的計(jì)算機(jī)上運(yùn)行代理)，因此通過(guò)阻止所有數(shù)據(jù)來(lái)阻止這種攻擊是安全的。源端口為80的TCP數(shù)據(jù)包。
攻擊者模仿他所針對(duì)的應(yīng)用程序用戶的實(shí)際協(xié)議和行為越好，防護(hù)DDoS攻擊就越難。有時(shí)很難發(fā)現(xiàn)合法和不良流量之間的差異，這使得安全專(zhuān)家很難制定過(guò)濾這些DDoS攻擊的方法，尤其是在不影響任何合法流量的情況下。恒創(chuàng)科技香港高防服務(wù)器，結(jié)合的流量監(jiān)測(cè)平臺(tái)，可以最精準(zhǔn)地識(shí)別全類(lèi)型的DDoS攻擊，并自動(dòng)觸發(fā)流量清洗過(guò)濾，并將正常流量返注回源站。恒創(chuàng)高防服務(wù)器可有效防護(hù)高達(dá)600Gbps以上規(guī)模的大型DDoS攻擊，并提供免費(fèi)壓力測(cè)試，以及防御無(wú)效退款承諾。
.png)
.png)
