面对我们头疼的几种DDos攻击,有哪些防护措施?

Dos拒绝服务攻击是通过各种手段消耗网络带宽和系统CPU、内存、连接数等资源,直接造成网络带宽耗尽或系统资源耗尽,使得该目标系统无法为正常用户提供业务服务,从而导致拒绝服务。

常规流量型的DDos攻击应急防护方式因其选择的引流技术不同而在实现上有不同的差异性,主要分为以下三种方式,实现分层清洗的效果。

[[279932]]

1. 本地DDos防护设备

一般恶意组织发起DDos攻击时,率先感知并起作用的一般为本地数据中心内的DDos防护设备,金融机构本地防护设备较多采用旁路镜像部署方式。

本地DDos防护设备一般分为DDos检测设备、清洗设备和管理中心。首先,DDos检测设备日常通过流量基线自学习方式,按各种和防御有关的维度:

比如syn报文速率、http访问速率等进行统计,形成流量模型基线,从而生成防御阈值。

[[279933]]

学习结束后继续按基线学习的维度做流量统计,并将每一秒钟的统计结果和防御阈值进行比较,超过则认为有异常,通告管理中心。

由管理中心下发引流策略到清洗设备,启动引流清洗。异常流量清洗通过特征、基线、回复确认等各种方式对攻击流量进行识别、清洗。

经过异常流量清洗之后,为防止流量再次引流至DDos清洗设备,可通过在出口设备回注接口上使用策略路由强制回注的流量去往数据中心内部网络,访问目标系统。

2. 运营商清洗服务

当流量型攻击的攻击流量超出互联网链路带宽或本地DDos清洗设备性能不足以应对DDos流量攻击时,需要通过运营商清洗服务或借助运营商临时增加带宽来完成攻击流量的清洗。

运营商通过各级DDos防护设备以清洗服务的方式帮助用户解决带宽消耗型的DDos攻击行为。实践证明,运营商清洗服务在应对流量型DDos攻击时较为有效。

3. 云清洗服务

[[279934]]

当运营商DDos流量清洗不能实现既定效果的情况下,可以考虑紧急启用运营商云清洗服务来进行最后的对决。

依托运营商骨干网分布式部署的异常流量清洗中心,实现分布式近源清洗技术,在运营商骨干网络上靠近攻击源的地方把流量清洗掉,提升攻击对抗能力。

具备适用场景的可以考虑利用CNAME或域名方式,将源站解析到安全厂商云端域名,实现引流、清洗、回注,提升抗D能力。进行这类清洗需要较大的流量路径改动,牵涉面较大,一般不建议作为日常常规防御手段。

总结

以上三种防御方式存在共同的缺点,由于本地DDos防护设备及运营商均不具备HTTPS加密流量解码能力,导致针对HTTPS流量的防护能力有限;

同时由于运营商清洗服务多是基于Flow的方式检测DDos攻击,且策略的颗粒度往往较粗,因此针对CC或HTTP慢速等应用层特征的DDos攻击类型检测效果往往不够理想。

对比三种方式的不同适用场景,发现单一解决方案不能完成所有DDos攻击清洗,因为大多数真正的DDos攻击都是“混合”攻击(掺杂各种不同的攻击类型)。

比如:以大流量反射做背景,期间混入一些CC和连接耗尽,以及慢速攻击。这时很有可能需要运营商清洗(针对流量型的攻击)先把80%以上的流量清洗掉,把链路带宽清出来;

在剩下的20%里很有可能还有80%是攻击流量(类似CC攻击、HTTP慢速攻击等),那么就需要本地配合进一步进行清洗。

 

文章来源网络,作者:运维,如若转载,请注明出处:https://shuyeidc.com/wp/152251.html<

(0)
运维的头像运维
上一篇2025-03-13 22:18
下一篇 2025-03-13 22:19

相关推荐

  • 格格不入?GDPR、数字身份和区块链

    不可更改的记录和GDPR数据主体权利能共存吗?为什么区块链或许满足不了数据隐私需求? [[251061]] 技术行业里有时候你不得不与矛盾的需求共处。我们经常发现自己处于在平衡“人…

  • 2016年值得瞩目的五个IT安全趋势

    在时尚界,也许有一种说法是潮流不是跟的,而是等的;但到了IT安全圈,无论你是代表正义还是身处邪恶的一方,都需要做到一个政治常用词——与时俱进。关于新的安全技术,你可以不跟,但了解绝…

  • IoT安全噩梦:Skill Squatting

    联网设备快速增殖,物联网(IoT)技术迅速超越了基本联网装置和可穿戴设备的范畴,语音处理等更复杂的互动式功能开始冒头,智能音箱之类声控设备迎来极大增长。 Adobe Analyti…

  • 数据隐私日:六个方面保护你的数据和隐私

    1月28日是数据隐私日,其设立的目的是提醒人们关注数据隐私,并以自身实际行动来保护个人信息安全。网络犯罪分子和数据挖掘者时刻都在觊觎和窃取人们的信息和数据,因此需要了解保护数据隐私…

  • 一条短信干掉谷歌的双因子验证

    上周末,推特上流传的一张截屏图片引起了注意。这次的骗局非常具有教育意义,值得学习借鉴。教训就是:社会工程,只要用得有效,任何安全控制都形同虚设。 [[167376]] 下图是cle…

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注