一文了解如何有效的防护DDoS攻击

一文了解如何有效的防护DDoS攻击

想象一下，有人用不同的电话号码一遍又一遍地给您打电话，而您却无法将他们列入黑名单。 最终您可能会选择关闭手机以避免骚扰。 这种情况就是常见的分布式拒绝服务 (DDoS) 攻击。

在史蒂夫·乔布斯 (Steve Jobs) 提出第一个 DDoS 攻击之前，DDoS 攻击就已经存在。 它们非常受黑客欢迎，因为它们非常有效、易于激活并且几乎不留下任何痕迹。 那么如何防御DDoS攻击呢？ 您能否确保为您的 Web 服务器和应用程序提供高水平的 DDoS 攻击防护？ 在这篇文章中，我们将讨论如何防范DDoS攻击，并介绍一些具体的DDoS防护和防范技术。

DDoS攻击的类型和方法

分布式拒绝服务攻击（简称 DDoS）是一种协调攻击，旨在使受害者的资源无法使用。 它可以由单个黑客组织执行，也可以在连接到互联网的多个受感染设备的帮助下执行。 这些受攻击者控制的设备通常被称为僵尸网络。

执行DDoS攻击的工具有很多种：例如，Shaft等。这些工具的可用性是DDoS攻击如此广泛和流行的原因之一。

DDoS 攻击可持续数百小时

DDoS 攻击可能持续几分钟、几小时甚至几天。 根据卡巴斯基实验室的一份报告，近年来最长的 DDoS 攻击之一发生在 2018 年 1 月，持续了近 300 小时。

发起 DDoS 攻击的常见方式有两种：

· 利用软件漏洞。 黑客可以针对已知和未知的软件漏洞并发送格式错误的数据包，试图破坏受害者的系统。

• 消耗计算或通信资源。 黑客可以发送大量合法数据包，消耗受害者的网络带宽、CPU 或内存，直到目标系统无法再处理来自合法用户的任何请求。

虽然 DDoS 攻击没有标准分类，但我们可以将其分为四大类：

·容量耗尽攻击

· 协议攻击

· 应用程序攻击

0day漏洞DDoS攻击

图 1 显示了 DDoS 攻击最常见的分类之一。

图1. DDoS攻击的分类

让我们仔细看看每种类型的攻击。

体积攻击

容量攻击 ( ) 通常借助僵尸网络和放大技术，通过向端点资源注入大量流量来阻止对端点资源的访问。 最常见的容量攻击类型是：

· UDP洪水攻击。 黑客将伪造受害者源地址的用户数据报协议 (UDP) 数据包发送到随机端口。 主机产生大量回复流量并将其发送回受害者。

·ICMP洪水攻击。 黑客使用大量 控制消息协议 (ICMP) 请求或 ping 来尝试耗尽受害者的服务器带宽。

2018 年报道了迄今为止最大规模的 DDoS 攻击之一：一家美国服务提供商客户面临大规模 1.7 Tbps 反射放大攻击。

协议攻击

根据 2018 年第一季度 DDoS 趋势报告，针对协议工作方式中的漏洞的协议攻击是第二大常见的攻击媒介。 最常见的协议攻击类型是：

· SYN 洪水攻击。 黑客利用了三向握手 TCP 机制中的漏洞。 客户端向服务器发送 SYN 数据包，接收 SYN-ACK 数据包，并且从不向主机发送回 ACK 数据包。 结果，受害者的服务器留下了许多未完成的 SYN-ACK 请求并最终崩溃。

· 死亡之平。 攻击 – 黑客使用简单的 ping 命令发送超大数据包，导致受害者的系统冻结或崩溃。

SYN 洪水攻击是 2014 年用于摧毁在线赌博网站的五种攻击媒介之一。

应用程序攻击

应用程序攻击利用协议栈（6）、协议栈（7）中的漏洞，针对特定应用程序而不是整个服务器。 它们通常针对公共端口和服务，例如 DNS 或 HTTP。 最常见的应用程序攻击是：

· HTTP 洪水攻击。 攻击者用大量标准 GET 和 POST 请求淹没应用程序或 Web 服务器。 由于这些请求通常看起来是合法流量，因此检测 HTTP 洪水攻击是一项相当大的挑战。

·。 顾名思义，它会慢慢地使受害者的服务器崩溃。 攻击者以一定的间隔和分数向受害者的服务器发送 HTTP 请求。 服务器一直等待这些请求完成，但它永远不会发生。 最终，这些未完成的请求耗尽了受害者的带宽，使合法用户无法访问服务器。

2009年总统选举后，黑客专家利用此次攻击关闭了伊朗政府网站。

0day漏洞DDoS攻击

除了众所周知的攻击之外，还有零日漏洞DDoS攻击。 它们利用尚未修补的未知软件漏洞或使用不常见的攻击媒介，使它们更难以检测和防御。 例如，早在2016年，攻击者就利用轻量级目录访问协议（LDAP）发起了放大系数高达55的攻击。

现在我们来谈谈检测DDoS攻击的方法。

检测 DDoS 攻击

虽然不可能完全阻止 DDoS 攻击的发生，但有一些有效的做法可以帮助您检测和阻止正在进行的 DDoS 攻击。

异常检测：统计模型和机器学习算法（例如神经网络、决策树和最近邻居算法）可用于分析网络流量并将流量模式分类为正常攻击或 DDoS 攻击。 您还可以搜索其他网络性能因素的异常情况，例如设备 CPU 利用率或带宽使用情况。

基于知识的方法：使用签名分析、状态转换分析、专家系统、描述脚本和自组织映射等方法，您可以通过将流量与已知攻击的特定模式进行比较来检测 DDoS。

ACL 和防火墙规则：除了入口/出口流量过滤之外，访问控制列表 (ACL) 和防火墙规则还可用于增强流量可见性。 特别是，您可以分析 ACL 日志以了解通过网络运行的流量类型。 您还可以配置 Web 应用程序防火墙，以根据特定规则、签名和模式阻止可疑传入流量。

入侵防御和检测系统警报：入侵防御系统 (IPS) 和入侵检测系统 (IDS) 提供额外的流量可见性。 尽管误报率很高，但 IPS 和 IDS 警报可以作为异常和潜在恶意流量的早期指标。

在早期阶段检测到正在进行的攻击可以帮助您减轻其后果。 但是，您可以采取适当的预防措施来防范 DDoS 攻击，并使攻击者更难淹没或破坏您的网络。

如何编写有效的 DDoS 攻击防护解决方案

无论您是想创建自己有效的 DDoS 防护解决方案，还是正在为 Web 应用程序寻找商业 DDoS 防护系统，请记住以下一些基本系统要求：

· 混合 DDoS 检测方法。 基于签名和基于异常的检测方法的结合是检测不同类型 DDoS 攻击的关键。

· 防御3-4级和6-7级攻击。 如果您的解决方案能够检测并防御所有三种主要类型的 DDoS 攻击：流量攻击、应用程序攻击和协议攻击，那就更好了。

· 有效的流量过滤。 DDoS 防护的最大挑战之一是区分恶意请求和合法请求。 创建有效的过滤规则很困难，因为大多数涉及 DDoS 攻击的请求似乎来自合法用户。 速率限制等流行方法通常会产生许多误报，从而阻止合法用户访问您的服务和应用程序。

· SIEM 集成。 将反 DDoS 解决方案与 SIEM 系统很好地集成非常重要，这样您就可以收集有关攻击的信息，对其进行分析，并使用它来改进 DDoS 防护并防止未来的攻击。

如果满足这些要求对您来说太困难，那么请考虑寻求专家的帮助。 您需要一支经验丰富、对网络安全、云服务和 Web 应用程序有深入了解的开发团队来构建高质量的 DDoS 防御解决方案。 这样的团队很难在内部组织，但你总是可以寻求第三方团队的帮助。

防止 DDoS 攻击

即使您无法阻止 DDoS 攻击的发生，您也有能力让攻击者更难拿下您的网站或应用程序。 这就是 DDoS 防御技术的关键所在。 您可以使用两种类型的 DDoS 预防机制：一般预防措施和过滤技术。

通用 DDoS 防护机制是相对常见的措施，可以帮助您使 Web 应用程序或服务器更能抵御 DDoS 攻击。 这些措施包括：

· 使用防火墙。 虽然防火墙无法保护您的应用程序或服务器免受复杂的 DDoS 攻击，但它们仍然可以有效地处理简单的攻击。

· 安装最新的安全补丁。 大多数攻击针对特定的软件或硬件漏洞，因此及时部署所有补丁可以帮助您降低攻击风险。

· 禁用未使用的服务。 需要破解的应用程序和服务越少越好。 确保禁用所有不必要和未使用的服务和应用程序，以提高网络的安全性。

过滤机制使用不同的方法来过滤流量并阻止潜在危险的请求。 这些机制包括入口/出口过滤、基于历史的IP过滤和基于路由器的数据包过滤。

保护 Web 应用程序免受 DDoS 攻击的最佳实践

除了特定的 DDoS 防护机制之外，还有多种做法可以为您的 Web 应用程序提供额外的 DDoS 防护：

· 限制漏洞数量。 除非绝对必要，否则不要公开您的应用程序和资源。 通过这种方式，您可以限制攻击者可以针对的基础设施中的漏洞数量。 您还可以禁止将互联网流量直接发送到数据库服务器和基础设施的其他关键部分。

· 扩展负载。 考虑使用负载平衡器和内容交付网络 (CDN) 通过平衡资源负载来减轻攻击的影响，以便资源即使在攻击期间也可以保持在线状态。

· 仔细选择您的云提供商。 寻找具有自己的 DDoS 缓解策略的值得信赖的云服务提供商。 确保他们的策略能够检测并缓解基于协议、基于数据量和应用程序级的攻击。 例如，一些云提供商使用网络将大量请求分配给具有相同IP地址的多台机器。

使用第三方 DDoS 缓解服务？ – 考虑将 Web 应用程序的保护委托给第三方提供商。 DDoS 缓解服务可以在有问题的流量到达受害者网络之前将其清除。 您可以从基于 DNS 的网关服务或基于协议的解决方案中查找有问题的外围攻击。

综上所述

黑客不断使用和改进 DDoS 攻击来破坏特定服务、大大小小的企业、甚至公共和非营利组织的工作。 这些攻击的主要目的是耗尽受害者的资源，从而使其服务、应用程序或网站崩溃。

虽然不可能完全阻止 DDoS 攻击的发生，但有一些有效的 DDoS 攻击防护技术和方法可用于强化基础设施以抵御 DDoS 攻击并减轻其后果。