怎么样把DDOS攻击的危害降到最低

互联吧-小冯

要怎么做才能最大限度地保护企业的服务器?如果我们无法防止这种攻击,那又有哪些措施可以实行?
分布式拒绝服务攻击(DDoS)是一个完全不同的攻击方式,你无法阻止黑客对你的网站发动DDoS攻击,除非你主动断开互联网连接。

那么首先就要了解DDoS攻击的三个阶段:
第一阶段是目标确认:黑客会在互联网上锁定一个企业网络的IP地址。这个被锁定的IP地址可能代表了企业的 Web服务器,DNS服务器,互联网网关等。而选择这些目标进行攻击的目的同样多种多样,比如为了赚钱(有人会付费给黑客攻击某些站点),或者只是以破坏 为乐。
第二个阶段是准备阶段:在这个阶段,黑客会入侵互联网上大量的没有良好防护系统的计算机(基本上就是网络上的家庭计算机,NDSL宽带或有线电缆上网方式为主)。黑客会在这些计算机中植入日后攻击目标所需的工具。
　第三个阶段是实际攻击阶段:黑客会将攻击命令发送到所有被入侵的计算机(也就是僵尸计算机)上,并命令这些计算机利用预先植入的攻击工具不断向攻击目标发送数据包,使得目标无法处理大量的数据或者频宽被占满。

减少攻击影响
入侵过滤(Ingress filtering)是一种简单而且所有网络(ISP)都应该实施的安全策略。在你的网络边缘(比如每一个与外网直接相连的路由器),应该建立一个路由声 明,将所有数据来来源IP标记为本网地址的数据包丢弃。虽然这种方式并不能防止DDoS攻击,但是却可以预防DDoS反射攻击。
减轻DDoS攻击危害
　　但是很多大型ISP好像都因为各种原因拒绝实现入侵过滤,因此我们需要其它方式来降低DDoS带来的影响。目前最有效的一个方法就是反追踪(backscatter traceback method)。
要采用这种方式,首先应该确定目前所遭受的是外部DDoS攻击,而不是来自内网或者路由问题。接下来就要尽快在全部边缘路由器的外部接口上进行配置,拒绝所有流向DDoS攻击目标的数据流。
另外,还要在这些边缘路由器端口上进行配置,将全部无效或无法定位的数据来源IP的数据包丢弃。
将路由器设置为拒绝这些资料包后,路由器会在每次拒绝数据包时发送一个因特网控制讯息协议(ICMP)包,并将"destination unreachable"信息和被拒绝的数据包打包发送给来源IP地址。接下来,打开路由器日志,查看那个路由器收到的攻击资料包最多。然后根据所记录的数据包来源IP确定哪个网段的资料量最大。在这个路由器上调整路由器针对这个网段为“黑洞”状态,并藉由修改子网掩码的方法将这个网段隔离开。然后再寻找这个网段的所有者的信息,联系你的ISP以及数据发送网段的ISP,将攻击情况汇报给他们,并请求协助。不论他们是否愿意帮忙,无非是一个电话的问题。接下来为了让服务和合法流量通过,你可以将其它一些攻击情况较轻的路由器恢复正常,只保留承受攻击最重的那个路由器,并拒绝攻击来源最大的网段。如果你的ISP和对方ISP很负责的协助阻挡攻击数据包,你的服务器你的网络将很快恢复正常。
东莞众一网络技术有限公司是一家专业从事东莞服务器租用www.33gd.com,东莞服务器托管www.33gd.com,佛山双线服务器,东莞主机托管,机柜大带宽租用,游戏高防服务器,云服务器租用的IDC服务商,东莞大型IDC服务商,用科技不断为客户创造价值，万众一心，创造奇迹！热线：40010 18933  www.33gd.com