防御DDoS：如何應對大規模DDoS攻擊
發布時間：2020-03-31 點擊數：1208
分布式拒絕服務（DDoS）攻擊的規模越來越大。根據供應商Arbor Networks和Akamai Technologies的研究，2012年DDoS攻擊的平均大小約為1.77Gbps。來自Prolexic的DDoS攻擊數據顯示，攻擊的平均帶寬高達48Gbps，比上一季度增長了700％以上。
大多數組織都有近10Gbps的互聯網連接。因此，1.77Gbps DDoS攻擊的影響不小，但仍處于控制之中。現在，DDoS攻擊的平均范圍已大大增加。如果組織完全沒有準備，當緊急人員遭受攻擊時，他們甚至根本無法使用Internet連接。
DDoS攻擊機制
傳統的拒絕服務攻擊通常是指使信息系統無法提供正常服務。這可能包括從停電到數據包泛洪的所有內容。 DDoS變得越來越難以防御的原因主要是由于其名稱中包含的固有功能：分布式。 DDoS攻擊可以針對多個系統資源，在一個位置具有多個目標，從而使這些目標系統被完全擊敗。
啟動DDoS的方法有很多，但是最基本的方法是（也是Spamhaus遇到的一種）。攻擊者欺騙的IP地址與攻擊目標相同。然后，攻擊者將偽造的DNS請求發送到某些預先選擇的DNS服務器。當DNS服務器接收到DNS請求時，該服務器將檢查其數據庫，然后以一條響應消息進行響應，該消息指示該服務器沒有包含欺騙性IP地址的DNS記錄。由于DNS響應發送到欺騙IP地址，即攻擊者設置的攻擊目標將收到DNS響應，因此無法跟蹤攻擊者的來源。專業DDoS會將此類請求同時發送到不同位置的大量NDS服務器，這將對目標網絡產生嚴重影響，大多數網絡對傳入流量的處理能力有一定的上限。
防御數百萬DDoS攻擊
企業一旦企業了解了DDoS攻擊方法，就必須決定如何應對這種攻擊，這幾乎是不可避免的。第一種方法是與Arbor，CloudFlare，Akamai，Prolexic等DDoS防御供應商合作。這是應對最嚴重攻擊的可行方法。這些公司專門研究如何防御和處理可能的惡意流量。但是，如果組織沒有足夠的資源來購買第三方產品和服務，那么精明的安全管理員也將采取這些步驟以最大程度地降低DDoS攻擊的危害。首先，安全管理員應了解其組織的Internet連接。如前提條件中所述，每個組織的平均連接帶寬為10Gbps，因此管理員必須小心確保至少讓其產品和服務使用大部分可用吞吐量。另外，安全人員必須向更高級別的管理人員報告安全需求。即使資源緊張，也必須定期向他們報告上述統計信息，以使他們了解當前DDoS攻擊的普遍性和潛在危害。
此外，無論網絡管理員是否遇到攻擊，他們都應部署某種防御機制來檢查所有傳入的DNS響應。如果到達的一系列請求以前從未在本地服務器上記錄過，請丟棄這些數據包，而不要向外部DNS服務器發送不必要的響應，以免加劇問題。
最后，有一種方法，有時可以直接用于解決上述資源不足的問題。管理員應考慮將其基礎架構更多地部署到云中。最初，出于節省空間的考慮，許多企業不想運行自己的獨立數據中心，但是出于安全考慮，云解決方案現在受到了更多關注。
在Spamhaus遇到的攻擊中，Spamhaus使用CloudFlare的云服務來減輕DDoS攻擊的影響。 CloudFlare和Neustar等云服務提供商將宣布全球數據中心中指定客戶的IP地址。這種分散的方法會將DDoS流量傳播到不同的地理位置，從而減輕了攻擊的影響。當像Spamhaus一樣發生數百萬次DDoS攻擊時，許多組織本身無法處理如此大的流量，因此他們必須向云提供商尋求幫助。
防御在防御和響應DDoS攻擊時保持警惕至關重要。安全管理員必須了解針對Internet系統的最新攻擊趨勢，策略和過程。各種統計數據表明，百萬級DDoS攻擊的規模和頻率將繼續增加，因此有必要采取防御措施以應對最壞的情況，例如Spamhaus所遭受的攻擊。提前準備是減少DDoS攻擊范圍和增強潛在攻擊目標的防御能力的重要一步。
全網數據為大家提供專業化深圳服務器托管，深圳服務器租用，深圳主機托管，云服務器租用等服務器資源，詳情可咨詢客服了解。
上一篇：智能將成為5G網絡運維趨勢
下一篇：DDOS攻擊對企業有多有害？
