针对DDOS攻击的误区有哪些
针对DDOS攻击的误区有以下这些:
DDOS攻击都来自PC组成的僵尸网络:随着技术的进步,服务提供商所使用的高性能服务器在处理性能和带宽方面快速提升,而传统的由PC组成的僵尸网络却发展缓慢。除了处理能力方面的因素外,PC通常只有非常有限的带宽资源,而可供利用的时间也很不确定。
DDOS攻击都是消耗网络带宽资源的攻击:事实上,除了网络带宽资源,DDOS攻击还有消耗系统资源和应用资源的攻击方法,而攻击流量的大小只是决定攻击危害程度的一个方面。对于相同种类的攻击,通常攻击流量越大,其危害也越大,而如果在相同攻击流量的情况下,不同的攻击方法造成的危害和影响则不尽相同。
DDOS攻击都是洪水攻击:洪水攻击确实占据了DDOS攻击方法中相当大的比例,但并不是所有的DDOS攻击都是洪水攻击。除了洪水攻击外,还有一些被称为慢速攻击(Low and Slow Attack)的攻击方法。DDOS攻击的精髓是:“消耗和长期占用大量资源,从而达到拒绝服务的目的”,洪水攻击就是通过快速发送大量数据和请求,达到迅速消耗大量资源的目的,而慢速攻击则有所不同,它会缓慢而坚定地发送请求并长期占用,一点一滴地蚕食目标的资源。
普通人不会遭遇DDOS攻击:网络犯罪团伙会为了利益进行敲诈,攻击名气大的站点的确可能获得更高收益,但成本和风险同时也会增加;而规模较小的网站防护能力薄弱,更容易得手。竞争也是DDOS的重要原因之一,新进者可能攻击领先者以抢夺用户,而领先者也可能攻击新进者来消除隐患。至于恶意的报复攻击性,则完全不会考虑规模之类的因素。
只有黑客才能发起DDOS:网络攻击同样如此。当前大部分黑客都专注于特定领域,有的擅长发现漏洞,有的善于开发工具,由的负责入侵过程,有的专门处理账户信息。就DDOS攻击来说,一些黑客会建立和维护所谓的“攻击网络”。他们有的利用僵尸网络,有的控制高性能服务器,形成攻击能力后对外提供租用服务。而最终的租用者很可能只是不具备任何专业知识的普通人。这些服务使用方便,只要输入攻击目标的地址就可以完成整个攻击过程。发起DDOS攻击的可能是本地的网络黑帮,可能是对街的竞争对手,可能是上周被开除的员工,甚至可能是某个老朋友有些过火的玩笑。潜在的攻击者并不遥远,他们也许就在你的身边。
DDOS攻击的目的就是单纯破坏:毋庸置疑,DDOS攻击的直接后果是破坏服务的可能性,简直是这一看法的完美证据。可实际上,这些隐藏在面具后的是一双双能够计算比特币的眼睛。当今时代的攻击者,对计算收益的敏感性远超常人。他们会用破坏的威力换取对等的利润,会用破坏的威慑避免自身可能受到的损失,会用破坏的杠杆撬起胜负的天平。更有时候,只需提示一下破坏的可能性,他们就可以坐地收银。
防火墙和入侵检测/防御系统能够缓解DDOS攻击:防火墙是最常用的安全产品,但是防火墙的设计原理中并没有考虑针对DDOS攻击的缓解。传统的防火墙是以高强度的检查作为代价来进行防护的,检查的强度越高,计算的代价越大。而DDOS攻击中的海量流量会造成防火墙性能急剧下降,不能有效地完成包转发的任务。同时,传统防火墙一般都部署在网络入口位置,虽然这是某种意义上保护了网络内部的所有资源,但是往往也成为DDOS攻击的目标。
系统优化和增加带宽能够有效缓解DDOS攻击:增加带宽实际上属于一种退让策略,这种退让策略还包括购买冗余硬件、增添性能更好的服务器等。只要攻击者的DDOS攻击造成资源消耗不高于目前的带宽、计算等资源的承载能力,那么攻击就是无效的;而一旦DDOS攻击的资源消耗超出了目前的承载能力,则通过再次退让来使其无效化。增加带宽等退让策略从理论上讲的确能够完全解决DDOS攻击的问题,然而在实际上这种方式并不符合经济规律。
预防DDOS攻击的方法有以下这些:
充分利用网络设备保护网络资源,如路由器、防火墙等负载设备,进行配置使用都可以有效地保护网络。
定期扫描网络的节点,清查服务器存在的漏洞,及时进行更新和修复。
过滤服务器上非必要的服务和端口,在路由器上过滤假IP。使用反向路由器检查访问者的IP地址是否真实。单播反向路经转发是判断IP的方法,可以直接把虚假IP屏蔽掉。
配置SYN/ICMP做最大流量限制进行过滤,因为一般出现这样的流量即为非正常的流量,即说明有不正常的网络访问,而正常的流量是不会使用超过这么大的流量包进行数据传输。
DDos流量清洗:流量清洗是用于准确识别网络中的异常流量,丢弃其中的异常流量,保证正常流量通行的网络安全设备。流量清洗的主要对象DDOS攻击。