8108 
2023-11-23 10:00:01 隨著網(wǎng)絡(luò)時(shí)代的到來，網(wǎng)絡(luò)安全變得越來越重要。DDOS攻擊的種類復(fù)雜而且也不斷的在衍變，目前的防御也是隨著攻擊方式再增強(qiáng)。抗ddos設(shè)備原理是什么呢？跟著快快網(wǎng)絡(luò)小編一起來了解下吧。
抗ddos設(shè)備原理
DDos的前身 DoS (DenialofService)攻擊，其含義是拒絕服務(wù)攻擊，這種攻擊行為使網(wǎng)站服務(wù)器充斥大量的要求回復(fù)的信息，消耗網(wǎng)絡(luò)帶寬或系統(tǒng)資源，導(dǎo)致網(wǎng)絡(luò)或系統(tǒng)不勝負(fù)荷而停止提供正常的網(wǎng)絡(luò)服務(wù)。而DDoS分布式拒絕服務(wù)，則主要利用 Internet上現(xiàn)有機(jī)器及系統(tǒng)的漏洞，攻占大量聯(lián)網(wǎng)主機(jī)，使其成為攻擊者的代理。
當(dāng)被控制的機(jī)器達(dá)到一定數(shù)量后，攻擊者通過發(fā)送指令操縱這些攻擊機(jī)同時(shí)向目標(biāo)主機(jī)或網(wǎng)絡(luò)發(fā)起DoS攻擊，大量消耗其網(wǎng)絡(luò)帶和系統(tǒng)資源，導(dǎo)致該網(wǎng)絡(luò)或系統(tǒng)癱瘓或停止提供正常的網(wǎng)絡(luò)服務(wù)。由于DDos的分布式特征，它具有了比Dos遠(yuǎn)為強(qiáng)大的攻擊力和破壞性。
一個(gè)比較完善的DDos攻擊體系分成四大部分，分別是攻擊者( attacker也可以稱為master)、控制傀儡機(jī)( handler)、攻擊傀儡機(jī)( demon，又可稱agent)和受害著( victim)。第2和第3部分，分別用做控制和實(shí)際發(fā)起攻擊。第2部分的控制機(jī)只發(fā)布令而不參與實(shí)際的攻擊，第3部分攻擊傀儡機(jī)上發(fā)出DDoS的實(shí)際攻擊包。
對(duì)第2和第3部分計(jì)算機(jī)，攻擊者有控制權(quán)或者是部分的控制權(quán)，并把相應(yīng)的DDoS程序上傳到這些平臺(tái)上，這些程序與正常的程序一樣運(yùn)行并等待來自攻擊者的指令，通常它還會(huì)利用各種手段隱藏自己不被別人發(fā)現(xiàn)。在平時(shí)，這些傀儡機(jī)器并沒有什么異常，只是一旦攻擊者連接到它們進(jìn)行控制，并發(fā)出指令的時(shí)候，攻擊愧儡機(jī)就成為攻擊者去發(fā)起攻擊了。
之所以采用這樣的結(jié)構(gòu)，一個(gè)重要目的是隔離網(wǎng)絡(luò)聯(lián)系，保護(hù)攻擊者，使其不會(huì)在攻擊進(jìn)行時(shí)受到監(jiān)控系統(tǒng)的跟蹤。同時(shí)也能夠更好地協(xié)調(diào)進(jìn)攻，因?yàn)楣魣?zhí)行器的數(shù)目太多，同時(shí)由一個(gè)系統(tǒng)來發(fā)布命令會(huì)造成控制系統(tǒng)的網(wǎng)絡(luò)阻塞，影響攻擊的突然性和協(xié)同性。而且，流量的突然增大也容易暴露攻擊者的位置和意圖。
典型的ddos攻擊形式有哪些？
1、SYN Flood攻擊即洪水攻擊是通過TCP建立3次握手連接的漏洞產(chǎn)生，主要通過發(fā)送源IP虛假的SYN報(bào)文，使目標(biāo)主機(jī)無法與其完成3次握手，因而占滿系統(tǒng)的協(xié)議棧隊(duì)列，致使資源得不到釋放，進(jìn)而達(dá)成拒絕服務(wù)的目的，SYN Flood攻擊是移動(dòng)互聯(lián)網(wǎng)中DDoS攻擊最主要的形式之一。目前一些簡單的緩解辦法，比如：調(diào)整內(nèi)核參數(shù)的方法，可以減少等待及重試，加速資源釋放，在小流量SYN Flood的情況下可以緩解，但流量稍大時(shí)完全不抵用。防御SYN Flood的常見方法有：SYN Proxy、SYN Cookies、首包（第一次請(qǐng)求的SYN包）丟棄等。SYN攻擊逐漸在演變，試圖在消耗CPU資源的同時(shí)也在堵塞帶寬，攻擊流量相比標(biāo)準(zhǔn)SYN包大大增加，目前已觀察到的最大的SYN攻擊可達(dá)T級(jí)，這讓防御也變得困難。有些防護(hù)公司目前只能防護(hù)300Gbps左右。所以大流量攻擊選擇安全防護(hù)公司一定要慎重。
2、ACK Flood是對(duì)虛假的ACK包，目標(biāo)設(shè)備會(huì)直接回復(fù)RST包丟棄連接，所以傷害值遠(yuǎn)不如SYN Flood。屬于原始方式的DDoS攻擊。
3、UDP Flood是使用原始套接字偽造大量虛假源IP的UDP包，主要以DNS協(xié)議為主。
4、ICMP Flood 即Ping攻擊，是一種比較古老的方式。
5、CC攻擊即ChallengeCollapsar挑戰(zhàn)黑洞，主要通過大量的肉雞或者尋找匿名代理服務(wù)器，模擬真實(shí)的用戶向目標(biāo)發(fā)起大量的訪問請(qǐng)求，導(dǎo)致消耗掉大量的并發(fā)資源，使網(wǎng)站打開速度慢或拒絕服務(wù)?，F(xiàn)階段CC攻擊是應(yīng)用層攻擊方式之一。
6、DNS Flood主要是偽造海量的DNS請(qǐng)求，用于掩蓋目標(biāo)的DNS服務(wù)器。
7、慢速連接攻擊是針對(duì)HTTP協(xié)議，以slowloris攻擊為起源，然后建立HTTP連接，設(shè)置一個(gè)較大的傳輸長度，實(shí)際每次發(fā)送很少字節(jié)，讓服務(wù)器認(rèn)為HTTP頭部沒有傳輸完成，因此數(shù)據(jù)傳輸越多就會(huì)造成連接資源耗盡。
8、DOS攻擊利用一些服務(wù)器程序的bug、安全漏洞、和架構(gòu)性缺陷，然后通過構(gòu)造畸形請(qǐng)求發(fā)送給服務(wù)器，服務(wù)器因不能判斷處理惡意請(qǐng)求而癱瘓，造成拒絕服務(wù)。
以上就是抗ddos設(shè)備原理的介紹，DDoS防御的原理是基于對(duì)流量限制的管理方案，通過在被攻擊的系統(tǒng)前面加入一些檢測(cè)設(shè)備，對(duì)流量進(jìn)行過濾和清洗。在互聯(lián)網(wǎng)時(shí)代抵抗ddos攻擊是嚴(yán)峻問題。
