當(dāng)我們網(wǎng)站受到DDOS攻擊怎么辦？應(yīng)該采取什么措施解決與防范？相信良多人應(yīng)該碰到這樣的情況吧？

盡管大型網(wǎng)站常常受到攻擊，并且在超負(fù)荷的負(fù)載下，這些公司和網(wǎng)絡(luò)仍舊要竭盡所能地去轉(zhuǎn)移這些攻擊，而且最重要是要保持他們的網(wǎng)站能夠正常地瀏覽。即便你治理的是一個小站點(diǎn)，好比小公司或者小型網(wǎng)站這種規(guī)模的網(wǎng)絡(luò)，你不知道什么時候就有人會對你下黑手。那么接下來，讓我們深圳網(wǎng)站建設(shè)公司帶您去看看DDOS"背后"的一些細(xì)節(jié)和攻擊方式，以便于我們能夠讓我們的網(wǎng)絡(luò)更加地安全。

多種攻擊類型

用PING命令就可以執(zhí)行操縱ICMP哀求，這個哀求非常輕易造成網(wǎng)絡(luò)堵塞。DDOS攻擊可以通過多種途徑來完成，ICMP也只是其中之一。

此外，有一種Syn攻擊，發(fā)動這種攻擊時，實(shí)際上僅僅是打開了一個TCP鏈接，之后通常會連接到一個網(wǎng)站上，但樞紐是，這個操縱并沒有完成初始握手，就離開了掛靠的服務(wù)器。

另一種智慧的做法是使用DNS。有良多網(wǎng)絡(luò)供給商都有自己的DNS服務(wù)器，而且答應(yīng)任何人進(jìn)行查詢，甚至有些人都不是他們的客戶。并且一般DNS都使用UDP，UDP是一種無連接的傳輸層協(xié)議。有了以上兩個前提作為基礎(chǔ)，那些攻擊者就非常輕易發(fā)動一場拒絕服務(wù)攻擊。所有攻擊者要做的就是找到一個開放的DNS解析器，制作一個虛擬UDP數(shù)據(jù)包并偽造一個地址，對著目標(biāo)網(wǎng)站將其發(fā)送到DNS服務(wù)器上面。當(dāng)服務(wù)器接收到攻擊者發(fā)送的哀求，將會信認(rèn)為真，并且向偽造地址發(fā)送哀求回應(yīng)。事實(shí)上是目標(biāo)網(wǎng)站接收了互聯(lián)網(wǎng)上一群開放的DNS解析器的哀求與回復(fù)，從而代替了僵尸網(wǎng)絡(luò)的攻擊。另外，這類攻擊具有非常大的伸縮性，由于你可以給DNS服務(wù)器發(fā)送一種UDP數(shù)據(jù)包，哀求某一側(cè)的轉(zhuǎn)存，造成一個大流量的回應(yīng)。

DDOS攻擊的多種途徑

拒絕服務(wù)曾經(jīng)是一種非常簡樸的攻擊方式。有些人開始在他們的電腦上運(yùn)行PING命令，鎖定目標(biāo)地址，讓其高速運(yùn)轉(zhuǎn)，試圖向另一端發(fā)送洪水般的ICMP哀求指令或者數(shù)據(jù)包。當(dāng)然，由于這邊發(fā)送速度的改變，攻擊者需要一個比對方站點(diǎn)更大的帶寬。首先，他們會搬到有大型主機(jī)的地方，類似有大學(xué)服務(wù)器或者教研所那樣的大型帶寬的地方，然后從這里發(fā)出攻擊。但現(xiàn)代的僵尸網(wǎng)絡(luò)在任何情況下幾乎都能使用，相對來說它的操縱更簡樸，使攻擊完全分布開來，顯得更加隱蔽。

事實(shí)上，由于惡意軟件的制造者，僵尸網(wǎng)絡(luò)的運(yùn)營已經(jīng)成為了一條光鮮的工業(yè)鏈。實(shí)際他們已經(jīng)開始出租那些肉機(jī)，并且按小時收費(fèi)。假如有人想要搞垮一個網(wǎng)站，只要給這些攻擊者付夠錢，然后就會有成千上萬的僵尸電腦去攻擊那個網(wǎng)站。一臺受感染的電腦或許無法把一個站點(diǎn)搞垮，但若是有10000臺以上的電腦同時發(fā)送哀求，它們會將把未受保護(hù)的服務(wù)器"塞滿"。

如何保護(hù)你的網(wǎng)絡(luò)

正如你所見，DDOS攻擊五花八門，防不勝防，當(dāng)你想建立一個防備系統(tǒng)對抗DDOS的時候，你需要把握這些攻擊的變異形態(tài)。

最笨的防備方法，就是花大價錢買更大的帶寬。拒絕服務(wù)就像個游戲一樣。假如你使用10000個系統(tǒng)發(fā)送1Mbps的流量，那就意味著你輸送給你的服務(wù)器每秒鐘10Gb的數(shù)據(jù)流量。這就會造成擁堵。這種情況下，同樣的規(guī)則合用于正常的冗余。這時，你就需要更多的服務(wù)器，遍布各地的數(shù)據(jù)中央，和更好的負(fù)載均衡服務(wù)了。將流量分散到多個服務(wù)器上，匡助你進(jìn)行流量均衡，更大的帶寬能夠幫你應(yīng)對各種大流量的題目。但現(xiàn)代的DDOS攻擊越來越瘋狂，需要的帶寬越來越大，你的財(cái)政狀況根本不答應(yīng)你投入更多的資金。另外，絕大多數(shù)的時候，你的網(wǎng)站并不是主要攻擊目標(biāo)，良多治理員都忘了這一點(diǎn)。

網(wǎng)絡(luò)中最樞紐的一塊就是DNS服務(wù)器。將DNS解析器處于開放狀態(tài)這是絕對不可取的，你應(yīng)當(dāng)把它鎖定，從而減少一部門攻擊風(fēng)險。但這樣做了以后，我們的服務(wù)器就安全了嗎？謎底當(dāng)然是否定的，即使你的網(wǎng)站，沒有一個可以鏈接到你的DNS服務(wù)器，幫你解析域名，這同樣長短常糟糕的事情。大多數(shù)完成注冊的域名需要兩個DNS服務(wù)器，但這遠(yuǎn)遠(yuǎn)不夠。你要確保你的DNS服務(wù)器以及你的網(wǎng)站和其他資源都處于負(fù)載均衡的保護(hù)狀態(tài)下。你也可以使用一些公司提供的冗余DNS。好比，有良多人使用內(nèi)容分發(fā)網(wǎng)絡(luò)（分布式的狀態(tài)）給客戶發(fā)送文件，這是一種很好的抵御DDOS攻擊的方法。若你需要，也有良多公司提供了這種增強(qiáng)DNS的保護(hù)措施。

若是你自己治理你的網(wǎng)絡(luò)和數(shù)據(jù)，那么就需要著重保護(hù)你的網(wǎng)絡(luò)層，要進(jìn)行良多配置。首先確保你所有的路由器都能夠屏蔽垃圾數(shù)據(jù)包，剔除掉一些不用的協(xié)議，好比ICMP這種的。然后設(shè)置好防火墻。很顯然，你的網(wǎng)站永遠(yuǎn)不會讓隨機(jī)DNS服務(wù)器進(jìn)行訪問，所以沒有必要答應(yīng)UDP 53端口的數(shù)據(jù)包通過你的服務(wù)器。此外，你可以讓你的供給商幫你進(jìn)行一些邊界網(wǎng)絡(luò)的設(shè)置，阻止一些沒用的流量，保證你能夠得到一個最大的最通暢的帶寬。良多網(wǎng)絡(luò)供給商都給企業(yè)提供這種服務(wù)，你可以與其網(wǎng)絡(luò)運(yùn)營中央聯(lián)系，讓他們幫你優(yōu)化流量，幫你監(jiān)測一下你是否到了攻擊。

類似Syn的攻擊，也有良多方法來阻止，好比通過給TCP積存，減少Syn-Receive定時器，或者使用Syn緩存等等。

最后，你還得想想如何在這些攻擊到達(dá)你網(wǎng)站前就將它們攔截住。例如，現(xiàn)代網(wǎng)站應(yīng)用了很多動態(tài)資源。在受到攻擊的時候?qū)嵲趲捠潜容^輕易掌控的，但終極往往受到損失的是數(shù)據(jù)庫或是你運(yùn)行的腳本程序。你可以考慮使用緩存服務(wù)器提供盡可能多的靜態(tài)內(nèi)容，還要快速用靜態(tài)資源取代動態(tài)資源并確保檢測系統(tǒng)正常運(yùn)行。

最糟糕的一種情況就是你的網(wǎng)絡(luò)或站點(diǎn)完全癱瘓了，你應(yīng)該在攻擊剛剛開始的時候就做好準(zhǔn)備方案。由于攻擊一旦開始，想要從源頭阻止DDOS長短常難題的。最后，你應(yīng)該好好琢磨琢磨如何讓你的基礎(chǔ)建設(shè)更加公道與安全，并且要著重留意你的網(wǎng)絡(luò)設(shè)置。這些都長短常重要的。