DDoS攻击是指不法分子利用控制由多个肉鸡或服务器组成的僵尸网络向目标发送大量看请求，从而占用大量网络资源使网络瘫痪。一个企业的网上服务很容易遭到拒绝服务的攻击，今天我们就一起来聊一聊DDoS攻击与对策。

　　DDoS攻击与对策

　　从各安全厂商的DDoS分析报告不难看出，DDoS攻击的规模及趋势正在成倍增长。由于攻击的成本不断降低，技术门槛要求越来越低，攻击工具的肆意传播，互联网上随处可见成群的肉鸡，使发动一起DDoS攻击变得轻而易举。

　　DDoS攻击技术包括：常见的流量直接攻击（如SYN/ACK/ICMP/UDP FLOOD），利用特定应用或协议进行反射型的流量攻击（如，NTP/DNS/SSDP反射攻击，2018年2月28日GitHub所遭受的Memcached反射攻击），基于应用的CC、慢速HTTP等。关于这些攻击技术的原理及利用工具网上有大量的资源，不再赘述。

　　抗DDoS设备（业内习惯称ADS设备）一般以盒子的形式部署在网络出口处，可串联也可旁路部署。旁路部署需要在发生攻击时进行流量牵引，其基本部署方案。

　　检测设备对镜像过来的流量进行分析，检测到DDoS攻击后通知清洗设备，清洗设备通过BGP或OSPF协议将发往被攻击目标主机的流量牵引到清洗设备，然后将清洗后的干净流量通过策略路由或者MPLS LSP等方式回注到网络中；当检测设备检测到DDoS攻击停止后，会通知清洗设备停止流量牵引。

　　将ADS设备部署在本地，企业用户可依靠设备内置的一些防御算法和模型有效抵挡一些小规模的常见流量攻击，同时结合盒子提供的可定制化策略和服务，方便有一定经验的企业用户对攻击报文进行分析，定制针对性的防御策略。目前国内市场上，主要以绿盟的黑洞为代表，具体可以访问其官网进一步了解。

　　本地清洗最大的问题是当DDoS攻击流量超出企业出口带宽时，即使ADS设备处理性能够，也无法解决这个问题。一般金融证券等企业用户的出口带宽可能在几百兆到几G，如果遇到十G以上甚至上百G的流量，就真的麻烦了，更别谈T级别的DDoS攻击了。

　　当本地设备清洗解决不了流量超过出口带宽的问题时，往往需要借助运营商的能力了，紧急扩容或者开启清洗服务是一般做法，前提是要采购相应的清洗服务，而且一般需要通过电话或邮件确认，有的可能还要求传真。

　　DDoS的原理及危害

　　DDoS:拒绝服务攻击的目标大多采用包括以SYNFlood和PingFlood为主的技术，其主要方式是通过使关键系统资源过载，如目标网站的通信端口与记忆缓冲区溢出，导致网络或服务器的资源被大量占用，甚至造成网络或服务器的全面瘫痪，而达到阻止合法信息上链接服务要求的接收。形象的解释是，DDoS攻击就好比电话点歌的时候，从各个角落在同一时间有大量的电话挂入点播台，而点播台的服务能力有限，这时出现的现象就是打电话的人只能听到电话忙音，意味着点播台无法为听众提供服务。这种类型的袭击日趋增多，因为实施这种攻击的方法与程序源代码现已在黑客网站上公开。另外，这种袭击方法非常难以追查，因为他们运用了诸如IP地址欺骗法之类所谓网上的“隐身技术”，而且现在互联网服务供应商（ISP）的过剩，也使作恶者很容易得到IP地址。

　　拒绝服务攻击的一个最具代表性的攻击方式是分布式拒绝服务攻击（DistributedDenialofService，DDoS），它是一种令众多的互联网服务提供商和各国政府非常头疼的黑客攻击方法，最早出现于1999年夏天，当时还只是在黑客站点上进行的一种理论上的探讨。从2000年2月开始，这种攻击方法开始大行其道，在2月7日到11日的短短几天内，黑客连续攻击了包括Yahoo，Buy.com，eBay，Amazon，CNN等许多知名网站，致使有的站点停止服务达几个小时甚至几十个小时之久。国内的新浪等站点也遭到同样的攻击，这次的攻击浪潮在媒体上造成了巨大的影响，以至于美国总统都不得不亲自过问。

　　分布式拒绝服务攻击采用了一种比较特别的体系结构，从许多分布的主机同时攻击一个目标。从而导致目标瘫痪。目前所使用的入侵监测和过滤方法对这种类型的入侵都不起作用。所以，对这种攻击还不能做到完全防止。

　　DDoS通常采用一种跳台式三层结构。如图10—7所示：图10—7最下层是攻击的执行者。这一层由许多网络主机构成，其中包括Unix，Linux，Mac等各种各样的操作系统。攻击者通过各种办法获得主机的登录权限，并在上面安装攻击器程序。这些攻击器程序中一般内置了上面一层的某一个或某几个攻击服务器的地址，其攻击行为受到攻击服务器的直接控制。

　　了解DDoS攻击与对策，DDoS攻击目前黑客经常采用而难以防范的攻击手段，所以很多企业都会束手无策。作为可能被攻击的对象要及时做好相应的措施，提高防御的思想，因为一旦遭受到DDoS攻击就很难不造成损失。