WEB安全漏洞分析，ddos该如何防护？

华纳云

DDos攻击出现在网络之后，很多企业都开始进行DDos防御，因为这样才能避免DDos的攻击，才能保证工作正常的运行，那么DDos防御效果怎么样呢?

其主要攻击方法有4种：

1、 攻击带宽

跟一线城市的交通堵塞情况一样，大家都该清楚，当网络数据包的数量达到或者超过上限的时候，会出现网络拥堵、响应缓慢的情况。DDoS就是利用这个原理，发送大量网络数据包，占满被攻击目标的全部带宽，从而造成正常请求失效，达到拒绝服务的目的。

攻击者可以使用ICMP洪水攻击(即发送大量ICMP相关报文)、或者UDP洪水攻击(即发送用户数据报协议的大包或小包)，使用伪造源IP地址方式进行隐匿，并对网络造成拥堵和服务器响应速度变慢等影响。

2、 攻击系统

创建TCP连接需要客户端与服务器进行三次交互，也就是常说的"三次握手"。这个信息通常被保存在连接表结构中，但是表的大小有限，所以当超过了存储量，服务器就无法创建新的TCP连接了。

攻击者就是利用这一点，用受控主机建立大量恶意的TCP连接，占满被攻击目标的连接表，使其无法接受新的TCP连接请求。如果攻击者发送了大量的TCP SYN报文，使服务器在短时间内产生大量的半开连接，连接表也会被很快占满，导致无法建立新的TCP连接，这个方式是SYN洪水攻击，很多攻击者都比较常用。

3、 攻击应用

由于DNS和Web服务的广泛性和重要性，这两种服务就成为了消耗应用资源的分布式拒绝服务攻击的主要目标。

比如向DNS服务器发送大量查询请求，从而达到拒绝服务的效果，如果每一个DNS解析请求所查询的域名都是不同的，那么就有效避开服务器缓存的解析记录，达到更好的资源消耗效果。当DNS服务的可用性受到威胁，互联网上大量的设备都会受到影响而无法正常使用。

近些年，Web技术发展非常迅速，如果攻击者利用大量的受控主机不断地向Web服务器恶意发送大量HTTP请求，要求Web服务器处理，就会完全占用服务器资源，让正常用户的Web访问请求得不到处理，导致拒绝服务。一旦Web服务受到这种攻击，就会对其承载的业务造成致命的影响。

4、 混合攻击

在实际的生活中，攻击者并不关心自己使用的哪种攻击方法管用，只要能够达到目的，一般就会发动其所有的攻击手段，尽其所能的展开攻势。对于被攻击目标来说，需要面对不同的协议、不同资源的分布式拒绝服务攻击，分析、响应和处理的成本就会大大增加。

随着僵尸网络向着小型化的趋势发展，为降低攻击成本，有效隐藏攻击源，躲避安全设备，同时保证攻击效果，针对应用层的小流量慢速攻击已经逐步发展壮大起来。因此，从另一个角度来说，DDoS攻击方面目前主要是两个方面：UDP及反射式大流量高速攻击、和多协议小流量及慢速攻击。

想不被DDos攻击，那么就要防得住DDos的攻击，对于DDos的防御效果，性能来说，它们能够保证整个网络，计算机不会被DDos所攻击。也正是因为如此，在现如今的市场中，DDos的防御已经成为了大多数企业和公司避免DDos攻击的主要方法。

不被病毒，CC等其他因素侵扰。值得我们注意的是，DDos防御不仅有着阻止DDos攻击网络，计算机的优势，保证它们不被DDos所攻击，还有着隔离其他因素的主要优势，比如病毒，或者是CC，CDN等攻击的情况。所以说，相较于其他方法而言，DDos的防御更为有效。

DDos攻击我们的时候，我们的服务器会出现死机的情况，网络出现瘫痪的情况，可DDos防御，却能够保证计算机和网络不被DDos所攻击，也能够保证它们不被病毒，CC等因素所侵扰。所以，为了确保安全，就多注意DDos的防御措施吧。

现在针对大流量的DDOS/CC攻击很多IDC运营商及网络安全服务商都有推出高防服务器和高防IP 高防CDN 入侵防御 渗透测试等各类防御策略，高防服务器顾名思义就是服务器自带的防御，由服务器运营商提供相关的抵御策略。

高防IP及高防CDN是除服务器以外的防御增值产品，游戏网站数据无需重新搭建，直接更改解析源IP地址，隐藏源IP将攻击流量牵引到高防IP及高防CDN的节点上。攻击防护流量值可达2T以上。

就DDoS防御方面来说，目前主要是两个方面，大流量攻击可以交给运营商及云端清洗，小流量攻击可以在企业本地进行设备防护，这个分界点根据行业及业务特性的不同会有所差异，大概的量级应该在百兆BPS左右