8060 
2023-05-25 10:33:02 對于企業來說最怕的就是服務器遭到DDoS攻擊，它嚴重威脅著互聯網的安全。如果沒有適當的應對措施會造成嚴重的損害，那么怎么阻止服務器被ddos？接下來小編將會介紹DDoS攻擊方式及防御策略，希望能給大家提供一些幫助。
怎么阻止服務器被ddos？
DDoS攻擊是由DoS攻擊轉化的，這項攻擊的原理以及表現形式是怎樣的呢？要如何的進行防御呢？本文中將會有詳細的介紹，需要的朋友不妨閱讀本文進行參考.DDoS攻擊原理是什么?隨著網絡時代的到來，網絡安全變得越來越重要。在互聯網的安全領域，DDoS(DistributedDenialofService)攻擊技術因為它的隱蔽性，高效性一直是網絡攻擊者最青睞的攻擊方式。
可以肯定的說，完全杜絕DDoS目前是不可能的，但通過適當的措施抵御大多數的DDoS攻擊是可以做到的，基于攻擊和防御都有成本開銷的緣故，若通過適當的辦法增強了抵御DDoS的能力，也就意味著加大了攻擊者的攻擊成本，那么絕大多數攻擊者將無法繼續下去而放棄，也就相當于成功的抵御了DDoS攻擊。
1 采用高性能的網絡設備
抗DDoS攻擊首先要保證網絡設備不能成為瓶頸，因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、口碑好的產品。再就是假如和網絡提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網絡接點處做一下流量限制來對抗某些種類的DDoS攻擊是非常有效的。
2 盡量避免NAT的使用
無論是路由器還是硬件防護墻設備都要盡量避免采用網絡地址轉換NAT的使用，除了必須使用NAT，因為采用此技術會較大降低網絡通信能力，原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網絡包的校驗和進行計算，因此浪費了很多CPU的時間。
3 充足的網絡帶寬保證
網絡帶寬直接決定了能抗受攻擊的能力，假若僅有10M帶寬，無論采取何種措施都很難對抗現在的SYNFlood攻擊，當前至少要選擇100M的共享帶寬,1000M的帶寬會更好，但需要注意的是，主機上的網卡是1000M的并不意味著它的網絡帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等于就有了百兆的帶寬，因為網絡服務商很可能會在交換機上限制實際帶寬為10M。
4 升級主機服務器硬件
在有網絡帶寬保證的前提下，盡量提升硬件配置，要有效對抗每秒10萬個SYN攻擊包，服務器的配置至少應該為：P42.4G/DDR512M/SCSI-HD，起關鍵作用的主要是CPU和內存，內存一定要選擇DDR的高速內存，硬盤要盡量選擇SCSI的，要保障硬件性能高并且穩定，否則會付出高昂的性能代價。
DDoS攻擊方式
DDoS攻擊方式及其變種繁多，就其攻擊方式面言，有三種最為流行的DDoS攻擊方式。
1 SYN/ACK Flood攻擊
這種攻擊方法是經典有效的DDoS攻擊方法，可通殺各種系統的網絡服務，主要是通過向受害主機發送大量偽造源P和源端口的SYN或ACK包，導致主機的緩存資源被耗盡或忙于發送回應包而造成拒絕服務，由于源都是傷造的故追蹤起來比較困難，缺點是實施起來有一定難度，需要高帶寬的僵尸主機支持，少量的這種攻擊會導致主機服務器無法訪問，但卻可以Ping的通，在服務器上用
Netstat-na命令會觀察到存在大量的 SYN
RECEIVED狀態，大量的這種攻擊會導致Ping失敗，TCP/IP棧失效，并會出現系統凝固現象，即不響應鍵盤和鼠標。普通防火墻大多無法抵御此種攻擊。正常TCP連接為3次握手，系統B向系統A發送完 SYN/ACK分組后，停在 SYNRECV狀態，等待系統A返回ACK分組；此時系統B已經為準備建立該連接分配了資源，若攻擊者系統A，使用偽造源IP，系統B始終處于“半連接”等待狀態，直至超時將該連接從連接隊列中清除；因定時器設置及連接隊列滿等原因，系統A在很短時間內，只要持續高速發送偽造源IP的連接請求至系統B，便可成功攻擊系統B，而系統B己不能相應其他正常連接請求。
2 TCP全連接攻擊
這種攻擊是為了繞過常規防火墻的檢查而設計的，一般情況下，常規防火墻大多具備過濾TearDrop、Land等DOS攻擊的能力，但對于正常的TCP連接是放過的，殊不知很多網絡服務程序(如：IIS、Apache等Web服務器)能接受的TCP連接數是有限的，一旦有大量的TCP連接，即便是正常的，也會導致網站訪問非常緩慢甚至無法訪問，TCP全連接攻擊就是通過許多僵尸主機不斷地與受害服務器建立大量的TCP連接，直到服務器的內存等資源被耗盡面被拖跨，從而造成拒絕服務，這種攻擊的特點是可繞過一般防火墻的防護而達到攻擊目的，缺點是需要找很多僵尸主機，并且由于僵尸主機的IP是暴露的，因此此種DDOs攻擊方容易被追蹤。
3.TCP刷 Script腳本攻擊
這種攻擊主要是針對存在ASP、JSP、PHP、CGI等腳本程序，并調用 MSSQL Server、My SQL Server、Oracle等數據庫的網站系統而設計的，特征是和服務器建立正常的TCP連接，不斷的向腳本程序提交查詢、列表等大量耗費數據庫資源的調用，典型的以小博大的攻擊方法。一般來說，提交一個GET或POST指令對客戶端的耗費和帶寬的占用是幾乎可以忽略的，而服務器為處理此請求卻可能要從上萬條記錄中去查出某個記錄，這種處理過程對資源的耗費是很大的，常見的數據庫服務器很少能支持數百個查詢指令同時執行，而這對于客戶端來說卻是輕而易舉的，因此攻擊者只需通過
Proxy代理向主機服務器大量遞交查詢指令，只需數分鐘就會把服務器資源消耗掉而導致拒絕服務，常見的現象就是網站慢如蝸牛、ASP程序失效、PHP連接數據庫失敗、數據庫主程序占用CPU偏高。這種攻擊的特點是可以完全繞過普通的防火墻防護，輕松找一些Poxy代理就可實施攻擊，缺點是對付只有靜態頁面的網站效果會大打折扣，并且有些代理會暴露DDOS攻擊者的IP地址。
怎么阻止服務器被ddos是維護網絡安全目前最重要的話題，DDoS的防護是個系統工程，想僅僅依靠某種系統或產品防住DDoS是不現實的，最重要的一點是我們要學會提前做好防護，以備不時之需，在受到攻擊時不知道損失慘重。
