拒绝服务攻击的原理是什么

拒绝服务攻击的原理是攻击者想办法让目标机器停止提供服务，是黑客常用的攻击手段之一。其实对网络带宽进行的消耗性攻击只是拒绝服务攻击的一小部分，只要能够对目标造成麻烦，使某些服务被暂停甚至主机死机，都属于拒绝服务攻击。拒绝服务攻击问题也一直得不到合理的解决，究其原因是因为网络协议本身的安全缺陷，从而拒绝服务攻击也成为了攻击者的终极手法。

降低拒绝服务攻击的措施有以下这些：

• 完善站点设计：一个站点越完善，它的状况会越好。如果公司有一个运行关键任务的Web站点，用户必须连接到Internet，但是与路由器之间只有一条单一的连接，服务器运行在一台单一的计算机上，这样的设计就不是完善的。理想情况下，公司不仅要有多条与Internet的连接，最好有不同地理区域的连接。公司的服务位置越分散，IP地址越分散，攻击同时寻找与定位所有计算机的难度就越大。

• 限制带宽：当DoS攻击发生时，针对单个协议的攻击会损耗公司的全部带宽，以致拒绝合法用户的服务。例如，如果攻击者向端口25发送洪水般的数据，攻击者会消耗掉所有带宽，所以试图连接端口80的用户也被拒绝服务。限制带宽就是限制基于协议的带宽。例如，端口25只能使用25%的带宽，端口80只能使用50%的带宽。

• 及时安装补丁：当新的DoS攻击出现并攻击计算机时，厂商一般会很快确定问题并发布补丁。应及时关注并安装最新的补丁，以减少被DoS攻击的机会。

• 运行尽可能少的服务运行：尽可能少的服务可以减少被攻击成功的机会，限制攻击者攻击站点的攻击类型，减少管理员的管理内容。

• 封锁敌意IP地址：当一个公司知道自己受到攻击时，应该马上确定发起攻击的IP地址，并在其外部路由器上封锁此IP地址。同时，要与ISP合作，通知其封锁敌意数据包，以保持合法用户的通信。

• 优化网络和路由结构：站点提供的服务最好有多条与Internet的连接和不同地理区域的布局，服务器IP地址越分散，攻击者定位目标的难度就越大，当攻击发生时，所有的通信可被重新路由，从而大大降低攻击产生的影响。

• 安装入侵检测系统：通过安装入侵检测系统，尽可能快地探测到拒绝服务攻击，以减少被入侵和利用的可能。常用的入侵检测系统有：基于网络的入侵检测系统和基于主机的入侵检测系统两种类型。

• 使用扫描工具：安全措施不到位的网络和主机很可能已经被攻克并用作了DDoS服务器，因此要扫描这些网络，查找DDoS服务器，并尽可能把它们从系统中关闭删除，而大多数商业的漏洞扫描程序和工具都能检测到系统是否被用作DDoS服务器。