DDoS的防护方法。（转）（有更改）

攻击步骤

一般来说，骇客进行DDoS攻击时会经过这样的步骤：

搜集了解目标的情况

下列情况是骇客非常关心的情报：

1、被攻击目标主机数目、地址情况

2、目标主机的配置、性能

3、目标的带宽

对于DDoS攻击者来说，攻击互联网上的某个站点，有一个重点就是确定到底有多少台主机在支持这个站点，一个大的网站可能有很多台主机利用负载均衡技术提供同一个网站的www服务。

在实际的应用中，一个IP地址往往还代表着数台机器：网站维护者使用了四层或七层交换机来做负载均衡，把对一个IP地址的访问以特定的算法分配到下属的每个主机上去。这时对于DDoS攻击者来说情况就更复杂了，他面对的任务可能是让几十台主机的服务都不正常。

所以说事先搜集情报对DDoS攻击者来说是非常重要的，这关系到要使用多少台傀儡机才能达到效果的问题。简单地考虑一下，在相同的条件下，攻击同一站点的2台主机需要2台傀儡机的话，攻击5台主机可能就需要5台以上的傀儡机。做攻击的傀儡机越多越好，不管有多少台主机都可以用尽量多的傀儡机来攻击，傀儡机超过了的时候效果更好。

但在实际过程中，有很多骇客并不进行情报的搜集而直接进行DDoS的攻击，这时候攻击的盲目性就很大了，效果如何也要靠运气。其实做骇客也像网管员一样，是不能偷懒的。一件事做得好与坏，态度最重要，水平还在其次。

占领傀儡机

骇客最感兴趣的是有下列情况的主机：

1、链路状态好的主机

2、性能不好的主机

3、安全管理水平差的主机

这一部分实际上是使用了另一大类的攻击手段：利用型攻击。这是和DDoS并列的攻击方式。简单地说，就是占领和控制被攻击的主机。取得最高的管理权限，或者至少得到一个有权限完成DDoS攻击任务的帐号。对于一个DDoS攻击者来说，准备好一定数量的傀儡机是一个必要的条件，下面说一下他是如何攻击并占领它们的。

首先，骇客做的工作一般是扫描，随机地或者是有针对性地利用扫描器去发现互联网上那些有漏洞的机器，像程序的溢出漏洞、cgi、Unicode、ftp、数据库漏洞…,都是骇客希望看到的扫描结果。

总之骇客现在占领了一台傀儡机了！然后他做什么呢？除了上面说过留后门擦脚印这些基本工作之外，他会把DDoS攻击用的程序上载过去，一般是利用ftp。在攻击机上，会有一个DDoS的发包程序，骇客就是利用它来向受害目标发送恶意攻击包的。

实际攻击

经过前2个阶段的精心准备之后，骇客就开始瞄准目标准备发射了。前面的准备做得好的话，实际攻击过程反而是比较简单的。就象图示里的那样，骇客登录到做为控制台的傀儡机，向所有的攻击机发出命令："预备~ ，瞄准~，开火！"。这时候埋伏在攻击机中的DDoS攻击程序就会响应控制台的命令，一起向受害主机以高速度发送大量的数据包，导致它死机或是无法响应正常的请求。骇客一般会以远远超出受害方处理能力的速度进行攻击，他们不会"怜香惜玉"。

老道的攻击者一边攻击，还会用各种手段来监视攻击的效果，在需要的时候进行一些调整。简单些就是开个窗口不断地ping目标主机，在能接到回应的时候就再加大一些流量或是再命令更多的傀儡机来加入攻击。

防范DDOS攻击的工具软件：CC v2.0

防范DDOS比较出色的防火墙：硬件有Cisco的Guard、Radware的DefensePro，绿盟的黑洞，傲盾硬件的KFW系列，傲盾软件的傲盾防火墙。软件有冰盾DDOS防火墙、8Signs Firewall,,天鹰网安的天鹰ddos防火墙，天鹰超级卫士防火墙（软硬件）等。

1 手工防护

一般而言手工方式防护DDOS主要通过两种形式：

系统优化――主要通过优化被攻击系统的核心参数，提高系统本身对DDoS攻击的响应能力。但是这种做法只能针对小规模的DDOS进行防护。

网络追查――遭受DDoS攻击的系统的管理人员一般第一反应是询问上一级网络运营商，这有可能是ISP、IDC等，目的就是为了弄清楚攻击源头。

2 退让策略

为了抵抗DDOS攻击，客户可能会通过购买硬件的方式来提高系统抗DDOS的能力。但是这种退让策略的效果并不好，一方面由于这种方式的性价比过低，另一方面，骇客提高供给流量之后，这种方法往往失效，所以不能从根本意义上防护DDoS攻击。

3 路由器

通过路由器，我们可以实施某些安全措施，比如ACL等，这些措施从某种程度上确实可以过滤掉非法流量。一般来说，ACL可以基于协议或源地址进行设置，但是目前众多的DDOS攻击采用的是常用的一些合法协议，比如http协议，这种情况下，路由器就无法对这样的流量进行过滤。同时，如果DDOS攻击采用地址欺骗的技术伪造数据包，那么路由器也无法对这种攻击进行有效防范。

另一种基于路由器的防护策略是采用Unicast Reverse Path Forwarding (uRPF)在网络边界来阻断伪造源地址IP的攻击，但是对于今天的DDOS攻击而言，这种方法也不能奏效，其根本原因就在于uRPF的基本原理是路由器通过判断出口流量的源地址，如果不属于内部子网的则给予阻断。而攻击者完全可以伪造其所在子网的IP地址进行DDoS攻击，这样就完全可以绕过uRPF防护策略。除此之外，如果希望uRPF策略能够真正的发挥作用，还需要在每个潜在攻击源的前端路由器上配置uRPF，但是要实现这种情况，现实中几乎不可能做到。

4 防火墙

防火墙几乎是最常用的安全产品，但是防火墙设计原理中并没有考虑针对DDOS攻击的防护，在某些情况下，防火墙甚至成为DDOS攻击的目标而导致整个网络的拒绝服务。

首先是防火墙缺乏DDOS攻击检测的能力。通常，防火墙作为三层包转发设备部署在网络中，一方面在保护内部网络的同时，它也为内部需要提供外部Internet服务的设备提供了通路，如果DDOS攻击采用了这些服务器允许的合法协议对内部系统进行攻击，防火墙对此就无能为力，无法精确的从背景流量中区分出攻击流量。虽然有些防火墙内置了某些模块能够对攻击进行检测，但是这些检测机制一般都是基于特征规则，DDOS攻击者只要对攻击数据包稍加变化，防火墙就无法应对，对DDOS攻击的检测必须依赖于行为模式的算法。

第二个原因就是传统防火墙计算能力的限制，传统的防火墙是以高强度的检查为代价，检查的强度越高，计算的代价越大。而DDOS攻击中的海量流量会造成防火墙性能急剧下降，不能有效地完成包转发的任务。

最后防火墙的部署位置也影响了其防护DDOS攻击的能力。传统防火墙一般都是部署在网络入口位置，虽然某种意义上保护了网络内部的所有资源，但是其往往也成为DDOS攻击的目标，攻击者一旦发起DDOS攻击，往往造成网络性能的整体下降，导致用户正常请求被拒绝。

为了解决这一问题，上海云盾开发一种能够隐藏真实用户IP的特殊技能。云盾为用户网站提供了革命性的替身安全模式。由于用户修改了相关的网站域名记录，黑客通过网站域名记录获取的将是云盾某个防护节点的IP地址，进而尝试渗透或DDoS的目标，也都是云盾的相应安全节点。由于云盾的安全节点均经过定制的服务器加固，并且在部署形式上，提供了完备的冗余方案和专用的抗DDoS节点。云盾就像用户在互联网上的替身一样，有效为用户源站的真实服务器屏蔽掉来自外界的各种威胁。

5 入侵检测

目前IDS系统是最广泛的攻击检测工具，但是在面临DDOS攻击时，IDS系统往往不能满足要求。

原因其一在于入侵检测系统虽然能够检测应用层的攻击，但是基本机制都是基于规则，需要对协议会话进行还原，但是目前DDoS攻击大部分都是采用基于合法数据包的攻击流量，所以IDS系统很难对这些攻击有效检测。虽然某些IDS系统本身也具备某些协议异常检测的能力，但这都需要安全专家手工配置才能真正生效，其实施成本和易用性极低。

原因之二就在于IDS系统一般对攻击只进行检测，但是无法提供阻断的功能。IDS系统需要的是特定攻击流检测之后实时的阻断能力，这样才能真正意义上减缓DDOS对于网络服务的影响。

IDS系统设计之初就是作为一种基于特征的应用层攻击检测设备。而DDOS攻击主要以三层或是四层的协议异常为其特点，这就注定了IDS技术不太可能作为DDOS的检测或是防护手段。目前的防御算法对所有已知的拒绝服务攻击是免疫的，也就是说，是完全可以抵抗已知DoS/DDoS攻击的。

对于DDOS防御的理解

对付DDOS是一个系统工程，想仅仅依靠某种系统或产品防住DDOS是不现实的，可以肯定的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御90%的DDOS攻击是可以做到的，基于攻击和防御都有成本开销的缘故，若通过适当的办法增强了抵御DDOS的能力，也就意味着加大了攻击者的攻击成本，那么绝大多数攻击者将无法继续下去而放弃，也就相当于成功的抵御了DDOS攻击。

DDoS防御的方法：

1．采用高性能的网络设备

首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的DDOS攻击是非常有效的。

2．尽量避免NAT的使用

无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为NAT需要对地址来回转换，转换过程中需要对网络包进行校验和计算，因此浪费了很多CPU的时间，但有些时候必须使用NAT，那就没有好办法了。

3．充足的网络带宽保证

网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗现在的SYNFlood攻击，当前至少要选择100M的共享带宽，最好的当然是挂在1000M的主干上了。但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的，若把它接在100M的交换机上，它的实际带宽不会超过100M，再就是接在100M的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上限制实际带宽为10M，这点一定要搞清楚。

4．升级主机服务器硬件

在有网络带宽保证的前提下，请尽量提升硬件配置，要有效对抗每秒10万个SYN攻击包，服务器的配置至少应该为：P4 2.4G/DDR512M/SCSI-HD，起关键作用的主要是CPU和内存，若有志强双CPU的话就用它吧，内存一定要选择DDR的高速内存，硬盘要尽量选择SCSI的，别只贪IDE价格不贵量还足的便宜，否则会付出高昂的性能代价，再就是网卡一定要选用3COM或Intel等名牌的，若是Realtek的还是用在自己的PC上吧。

5．把网站做成静态页面

大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给骇客入侵带来不少麻烦，至少到现在为止关于HTML的溢出还没出现，看看吧！新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器，当然，适当放一些不做数据库调用脚本还是可以的，此外，最好在需要调用数据库的脚本中拒绝使用代理的访问，因为经验表明使用代理访问你网站的，80%属于恶意行为。

6．增强操作系统的TCP/IP栈

Win2000和Win2003作为服务器操作系统，本身就具备一定的抵抗DDOS攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约10000个SYN攻击包，若没有开启则仅能抵御数百个，具体怎么开启，自己去看微软的文章吧！《强化 TCP/IP 堆栈安全》。

也许有的人会问，那我用的是Linux和FreeBSD怎么办？很简单，按照这篇文章去做吧！《SYN Cookies》。

7．安装专业抗DDOS防火墙

绿盟黑洞： X86架构，Linux内核与自主专利的抗syn-flood算法。对抗单一类型的syn，udp，icmp dos效果很好，但是当多种混合时效果就略差。优点是更新快，技术支持比较好，在100M环境下对syn-flood有绝对优势。缺点是文档和信息缺乏，同时工作(软硬件两方面)不是很稳定。

天网防火墙:：最早基于OpenBSD内核，X86架构，现在应该也是Linux内核了。很早就加入了抗syn-flood功能，实际应该是syn-cache/syn-cookie的改进或加强版。实际测试syn流量64B包抵抗极限大概是25M左右。当小于20M是还是可以看到效果的。同时结合良好的防火墙策略应该也可以做到针对udp/icmp等类型的限制。

云盾的云Web防火墙：云盾依托实时更新的安全云系统，主动收集来自全世界的网站攻击手段，自动更新所有安全节点的防护规则，实时阻断各种常见与不常见的SQL注入、跨站脚本等攻击，使所有加入云盾的网站免受攻击的侵害。

8．其他防御措施

以上几条对抗DDOS建议，适合绝大多数拥有自己主机的用户，但假如采取以上措施后仍然不能解决DDOS问题，就有些麻烦了，可能需要更多投资，增加服务器数量并采用DNS轮巡或负载均衡技术，甚至需要购买七层交换机设备，从而使得抗DDOS攻击能力成倍提高，只要投资足够深入。

                         帖子中有很多专业词汇，有些朋友可能看不懂，只需要动动手指，百度一下就行了！

                                                                         #365: