1. 程式人生 > >防範 DDoS ×××的 15 個方法

防範 DDoS ×××的 15 個方法

一份 sta 只需要 插件 可擴展 流控 dap 禁用 dfa

為了對抗 DDoS(分布式拒絕服務)×××,你需要對×××時發生了什麽有一個清楚的理解. 簡單來講,DDoS ×××可以通過利用服務器上的漏洞,或者消耗服務器上的資源(例如 內存、硬盤等等)來達到目的。DDOS×××主要要兩大類:帶寬耗盡×××和資源耗盡×××。為了有效遏制這兩種類型的×××,你可以按照下面列出的步驟來做:

  1. 如果只有幾臺計算機是×××的來源,並且你已經確定了這些來源的 IP 地址, 你就在防火墻服務器上放置一份 ACL(訪問控制列表)來阻斷這些來自這些 IP 的訪問。如果可能的話 將 web 服務器的 IP 地址變更一段時間,但是如果×××者通過查詢你的 DNS 服務器解析到你新設定的 IP,那這一措施及不再有效了。

  2. 如果你確定×××來自一個特定的國家,可以考慮將來自那個國家的 IP 阻斷,至少要阻斷一段時間.

3、監控進入的網絡流量。通過這種方式可以知道誰在訪問你的網絡,可以監控到異常的訪問者,可以在事後分析日誌和來源IP。在進行大規模的×××之前,×××者可能會使用少量的×××來測試你網絡的健壯性。

4、對付帶寬消耗型的×××來說,最有效(也很昂貴)的解決方案是購買更多的帶寬。

5、也可以使用高性能的負載均衡軟件,使用多臺服務器,並部署在不同的數據中心。

6、對web和其他資源使用負載均衡的同時,也使用相同的策略來保護DNS。

7、優化資源使用提高 web server 的負載能力。例如,使用 apache 可以安裝 apachebooster 插件,該插件與 varnish 和 nginx 集成,可以應對突增的流量和內存占用。

8、使用高可擴展性的 DNS 設備來保護針對 DNS 的 DDOS ×××。可以考慮購買 Cloudfair 的商業解決方案,它可以提供針對 DNS 或 TCP/IP3 到7層的 DDOS ×××保護。

9、啟用路由器或防火墻的反IP欺騙功能。在 CISCO 的 ASA 防火墻中配置該功能要比在路由器中更方便。在 ASDM(Cisco Adaptive Security Device Manager)中啟用該功能只要點擊“配置”中的“防火墻”,找到“anti-spoofing”然後點擊啟用即可。也可以在路由器中使用 ACL(access control list)來防止 IP 欺騙,先針對內網創建 ACL,然後應用到互聯網的接口上。

10、使用第三方的服務來保護你的網站。有不少公司有這樣的服務,提供高性能的基礎網絡設施幫你抵禦拒絕服務×××。你只需要按月支付幾百美元費用就行。

11、註意服務器的安全配置,避免資源耗盡型的 DDOS ×××。

12、聽從專家的意見,針對×××事先做好應對的應急方案。

13、監控網絡和 web 的流量。如果有可能可以配置多個分析工具,例如:Statcounter 和 Google analytics,這樣可以更直觀了解到流量變化的模式,從中獲取更多的信息。

14、保護好 DNS 避免 DNS 放大×××。

15、在路由器上禁用 ICMP。僅在需要測試時開放 ICMP。在配置路由器時也考慮下面的策略:流控,包過濾,半連接超時,垃圾包丟棄,來源偽造的數據包丟棄,SYN 閥值,禁用 ICMP 和 UDP 廣播。

最後多了解一些 DDOS ×××的類型和手段,並針對每一種×××制定應急方案。

防範 DDoS ×××的 15 個方法