生產(chǎn)環(huán)境中對于防范DDOS攻擊的討論（獲獎名單已公布）

wojiaohesen

這個東西不用糾結(jié). 一個人開發(fā)防火墻一個月能拿多少工資10W? 開發(fā)一個好的ddos攻擊工具一天就可以掙到這些錢,  所以這是個經(jīng)濟問題, 我相信那些發(fā)起攻擊的人里面的核心人員的技術(shù)遠在機房管理員的水平之上,  這也是為啥那些黑客能掙那么多錢.

king_819

回復(fù) 79# Godbach


    隨著“肉雞”的配置不斷的提高、帶寬不斷的加大、安全意識薄弱，對DDOS攻擊提供了極大的便利，也有很多機房管理人員利用手中的資源接“私活”

king_819

回復(fù) 81# wojiaohesen


    都是利益驅(qū)使的

cgweb

前面講過DDoS的檢測和防御方法，進行分布式拒絕服務(wù)攻擊(DDoS)的防御還是比較困難的。因為這種攻擊的特點是利用TCP/IP協(xié)議的漏洞。除非不用TCP/IP，才有可能完全抵御DDoS攻擊。即使DDoS難于防范，我們也不應(yīng)該“逆來順受”。

cgweb

作為企業(yè)的網(wǎng)絡(luò)管理員，我們該如何防范DDOS攻擊呢？
(1)時刻留意安全站點公布的、與Linux 系統(tǒng)和軟件有關(guān)的最新安全漏洞和報告；及早發(fā)現(xiàn)系統(tǒng)存在的攻擊漏洞，及時安裝系統(tǒng)補丁程序；對一些重要信息(例如系統(tǒng)配置信息)建立并完善備份機制；對一些特權(quán)賬號(例如管理員賬號)的密碼設(shè)置要謹(jǐn)慎。通過這樣的一系列舉措可以把攻擊者的機會降到最小。
(2)在網(wǎng)絡(luò)管理方面，要經(jīng)常檢查系統(tǒng)的物理環(huán)境， 禁止那些不必要的網(wǎng)絡(luò)服務(wù)； 充分了解系統(tǒng)和服務(wù)器軟件是如何工作的； 經(jīng)常檢查系統(tǒng)配置和安全策略， 并注意查看每天的安全日志。
(3)利用工具檢查文件完整性。在確定系統(tǒng)未曾被入侵時，應(yīng)該盡快為所有二進制程序和其他重要系統(tǒng)文件產(chǎn)生文件簽名，并且周期性地進行比較以確保沒有被非法修改。另外，強烈推薦將文件檢驗和保存到另一臺主機或可移動介質(zhì)中。工具可以使用免費的的Tripwire和Aide等文件/目錄完整性檢查程序；有條件也可以選擇購買商業(yè)軟件包。如果使用基于RPM 的軟件包，可以直接使用RPM 的檢驗功能來校驗軟件特征碼。
(4)利用網(wǎng)絡(luò)安全設(shè)備(例如防火墻)來加固網(wǎng)絡(luò)的安全性，配置好這些設(shè)備的安全規(guī)則，過濾掉所有可能的偽造數(shù)據(jù)包。一般商業(yè)公司都會配備相應(yīng)的防火墻設(shè)備。目前市場上無論IDS還是IPS都具備防范DDoS攻擊的功能，購買時多比較相關(guān)數(shù)據(jù)處理能力、數(shù)據(jù)包吞吐量和轉(zhuǎn)發(fā)等性能指標(biāo)來進行選擇。
(5)經(jīng)常與IDC中心管理員溝通， 以及與主要互聯(lián)網(wǎng)服務(wù)供應(yīng)商(ISP)的協(xié)助和合作是非常重要的。因為DDoS攻擊主要是耗用帶寬，雖然攻擊來自四面八方，但進入上游ISP網(wǎng)絡(luò)的入口點是有限的。個人管理的網(wǎng)絡(luò)無法單獨對付這些攻擊，可以與ISP協(xié)商，通過他們幫助實施正確的路由訪問控制策略來保護帶寬和內(nèi)部網(wǎng)絡(luò)，實現(xiàn)路由訪問控制和對帶寬總量的限制。
(6) 當(dāng)發(fā)現(xiàn)自己正在遭受DDoS攻擊時，應(yīng)當(dāng)啟動應(yīng)對策略，如采用網(wǎng)絡(luò)數(shù)據(jù)包嗅探工具，盡可能快地追蹤攻擊包，保存好攻擊日志文件，并且及時聯(lián)系ISP和應(yīng)急組織，分析受影響系統(tǒng)，確定涉及的其他節(jié)點， 從而阻擋來自已知攻擊節(jié)點的流量。

perlban

學(xué)習(xí)了，頂一個，留名

Gray1982

哎呀 來晚了 大多前面都說過了 現(xiàn)支持下
其實還是建議如果防一個是帶寬增加來洗流量，一個是上硬件防火墻
如果實在巨大，估計IDC就直接拔網(wǎng)線了····

Godbach

回復(fù) 87# Gray1982

最有效的防御手段就是你能處理的帶寬大于攻擊帶寬

   

cgweb

如不在技術(shù)上加以處理，一味的增加帶寬不能解決問題啊

qqeyes

我自橫刀向天笑，笑完我就去睡覺。

^_^