3300 
2023-05-29 10:43:01 DDoS攻擊是由DoS攻擊轉(zhuǎn)化的，隨著網(wǎng)絡時代的到來網(wǎng)絡安全變得越來越重要。怎么阻止服務器被ddos是大家一直在研究的話題。在互聯(lián)網(wǎng)的安全領(lǐng)域，DDoS嚴重威脅著互聯(lián)網(wǎng)的安全。今天小編要給大家介紹的是DDoS的攻擊原理趕緊來學習下。
DDoS的攻擊原理
一個比較完善的DDos攻擊體系分成四大部分，分別是攻擊者( attacker也可以稱為master)、控制傀儡機(handler)、攻擊傀儡機( demon，又可稱agent)和受害著(victim)。第2和第3部分，分別用做控制和實際發(fā)起攻擊。第2部分的控制機只發(fā)布令而不參與實際的攻擊，第3部分攻擊傀儡機上發(fā)出DDoS的實際攻擊包。對第2和第3部分計算機，攻擊者有控制權(quán)或者是部分的控制權(quán)，并把相應的DDoS程序上傳到這些平臺上，這些程序與正常的程序一樣運行并等待來自攻擊者的指令，通常它還會利用各種手段隱藏自己不被別人發(fā)現(xiàn)。在平時，這些傀儡機器并沒有什么異常，只是一旦攻擊者連接到它們進行控制，并發(fā)出指令的時候，攻擊愧儡機就成為攻擊者去發(fā)起攻擊了。
之所以采用這樣的結(jié)構(gòu)，一個重要目的是隔離網(wǎng)絡聯(lián)系，保護攻擊者，使其不會在攻擊進行時受到監(jiān)控系統(tǒng)的跟蹤。同時也能夠更好地協(xié)調(diào)進攻，因為攻擊執(zhí)行器的數(shù)目太多，同時由一個系統(tǒng)來發(fā)布命令會造成控制系統(tǒng)的網(wǎng)絡阻塞，影響攻擊的突然性和協(xié)同性。而且，流量的突然增大也容易暴露攻擊者的位置和意圖。整個過程可分為：
1)掃描大量主機以尋找可入侵主機目標；
2)有安全漏洞的主機并獲取控制權(quán)；
3)入侵主機中安裝攻擊程序；
4)用己入侵主機繼續(xù)進行掃描和入侵。
當受控制的攻擊代理機達到攻擊者滿意的數(shù)量時，攻擊者就可以通過攻擊主控機隨時發(fā)出擊指令。由于攻擊主控機的位置非常靈活，而且發(fā)布命令的時間很短，所以非常隱蔽以定位。一旦攻擊的命令傳送到攻擊操縱機，主控機就可以關(guān)閉或脫離網(wǎng)絡，以逃避追蹤要著，攻擊操縱機將命令發(fā)布到各個攻擊代理機。在攻擊代理機接到攻擊命令后，就開始向目標主機發(fā)出大量的服務請求數(shù)據(jù)包。這些數(shù)據(jù)包經(jīng)過偽裝，使被攻擊者無法識別它的來源面且，這些包所請求的服務往往要消耗較大的系統(tǒng)資源，如CP或網(wǎng)絡帶寬。如果數(shù)百臺甚至上千臺攻擊代理機同時攻擊一個目標，就會導致目標主機網(wǎng)絡和系統(tǒng)資源的耗盡，從而停止服務。有時，甚至會導致系統(tǒng)崩潰。
另外，這樣還可以阻塞目標網(wǎng)絡的防火墻和路由器等網(wǎng)絡設備，進一步加重網(wǎng)絡擁塞狀況。于是，目標主機根本無法為用戶提供任何服務。攻擊者所用的協(xié)議都是一些非常常見的協(xié)議和服務。這樣，系統(tǒng)管理員就難于區(qū)分惡意請求和正連接請求，從而無法有效分離出攻擊數(shù)據(jù)包。
怎么阻止服務器被ddos？
DDoS的防護是個系統(tǒng)工程，想僅僅依靠某種系統(tǒng)或產(chǎn)品防住DDoS是不現(xiàn)實的，可以肯定的說，完全杜絕DDoS目前是不可能的，但通過適當?shù)拇胧┑钟蠖鄶?shù)的DDoS攻擊是可以做到的，基于攻擊和防御都有成本開銷的緣故，若通過適當?shù)霓k法增強了抵御DDoS的能力，也就意味著加大了攻擊者的攻擊成本，那么絕大多數(shù)攻擊者將無法繼續(xù)下去而放棄，也就相當于成功的抵御了DDoS攻擊。
1 采用高性能的網(wǎng)絡設備
抗DDoS攻擊首先要保證網(wǎng)絡設備不能成為瓶頸，因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、口碑好的產(chǎn)品。再就是假如和網(wǎng)絡提供商有特殊關(guān)系或協(xié)議的話就更好了，當大量攻擊發(fā)生的時候請他們在網(wǎng)絡接點處做一下流量限制來對抗某些種類的DDoS攻擊是非常有效的。
2 盡量避免NAT的使用
無論是路由器還是硬件防護墻設備都要盡量避免采用網(wǎng)絡地址轉(zhuǎn)換NAT的使用，除了必須使用NAT，因為采用此技術(shù)會較大降低網(wǎng)絡通信能力，原因很簡單，因為NAT需要對地址來回轉(zhuǎn)換，轉(zhuǎn)換過程中需要對網(wǎng)絡包的校驗和進行計算，因此浪費了很多CPU的時間。
3 充足的網(wǎng)絡帶寬保證
網(wǎng)絡帶寬直接決定了能抗受攻擊的能力，假若僅有10M帶寬，無論采取何種措施都很難對抗現(xiàn)在的
SYNFlood攻擊，當前至少要選擇100M的共享帶寬,1000M的帶寬會更好，但需要注意的是，主機上的網(wǎng)卡是1000M的并不意味著它的網(wǎng)絡帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等于就有了百兆的帶寬，因為網(wǎng)絡服務商很可能會在交換機上限制實際帶寬為10M。
4 升級主機服務器硬件
在有網(wǎng)絡帶寬保證的前提下，盡量提升硬件配置，要有效對抗每秒10萬個SYN攻擊包，服務器的配置至少應該為：P42.4G/DDR512M/SCSI-HD，起關(guān)鍵作用的主要是CPU和內(nèi)存，內(nèi)存一定要選擇DDR的高速內(nèi)存，硬盤要盡量選擇SCSI的，要保障硬件性能高并且穩(wěn)定，否則會付出高昂的性能代價。
DDoS攻擊正在不斷演化變得日益強大，目前成為互聯(lián)網(wǎng)安全的重大威脅，DDoS的攻擊原理小編已經(jīng)給大家整理好了。新的系統(tǒng)漏洞不斷地出現(xiàn)一直在威脅互聯(lián)網(wǎng)的安全，網(wǎng)絡的使用者也要具備網(wǎng)絡攻擊基本的防護意識和手段，只有這樣才能更好地發(fā)揮網(wǎng)絡防護的效能。
