如何防御DDOS?平时应该做些什么?

发布网友 发布时间：2022-04-27 05:30

我来回答

共3个回答

热心网友 时间：2022-06-26 23:08

　　DDOS攻击是最常见的网络攻击方式之一，到目前为止，进行DDoS攻击的防御还是比较困难的。首先，这种攻击的特点是它利用了TCP/IP协议的漏洞，除非你不用TCP/IP，才有可能完全抵御住DDoS攻击。一位资深的安全专家给了个形象的比喻：DDoS就好像有1,000个人同时给你家里打电话，这时候你的朋友还打得进来吗?不过即使它难于防范，也不是说我们就应该逆来顺受，实际上防止DDoS并不是绝对不可行的事情。下面锐速云介绍几种措施：
　　1、采用高性能的网络设备引首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、 口碑好的产品。
再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量*来对抗某些种类的DDOS攻击是非常有效的。
　　2、尽量避免 NAT 的使用无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换 NAT
的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为NAT 需要对地址来回转换，转换过程中需要对网络包的校验和进行计算，因此浪费了很多 CPU
的时间，但有些时候必须使用 NAT，那就没有好办法了。
　　3、充足的网络带宽保证网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗当今的SYNFlood 攻击，
至少要选择 100M 的共享带宽，最好的当然是挂在1000M的主干上了。但需要注意的是，主机上的网卡是1000M 的并不意味着它的网络带宽就是千兆的，若把它接在
100M 的交换机上，它的实际带宽不会超过100M，
再就是接在100M的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上*实际带宽为10M，这点一定要搞清楚。
　　4、找专业的网络安全防护公司比如锐速云这类的高防公司为您架设防御系统，锐速云无需客户迁移机房就能有阻止DDOS和CC攻击，实现DDOS云防护清洗、
强效抵抗CC攻击;支持HTTPS及最新的HTTP/2协议，HTTPS全链路支持，具备T级超强防护能力，最新自研指纹识别架构WAF防火墙，提供1T超大防护宽带，单IP防护能力最大可达数百G，超大宽带，从容应对超大流量攻击。全方位保护游戏企业的服务器，有预防性的构建网络防御部署，消除网络安全隐患。

热心网友 时间：2022-06-26 23:08

对付DDOS是一个系统工程，想仅仅依靠某种系统或产品防住DDOS是不现实的，可以肯定的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御90%的DDOS攻击是可以做到的，基于攻击和防御都有成本开销的缘故，若通过适当的办法增强了抵御DDOS的能力，也就意味着加大了攻击者的攻击成本，那么绝大多数攻击者将无法继续下去而放弃，也就相当于成功的抵御了DDOS攻击。以下为笔者多年以来抵御DDOS的经验和建议，和大家分享！
1、采用高性能的网络设备
首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量*来对抗某些种类的DDOS攻击是非常有效的。
2、尽量避免NAT的使用
无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为NAT需要对地址来回转换，转换过程中需要对网络包的校验和进行计算，因此浪费了很多CPU的时间，但有些时候必须使用NAT，那就没有好办法了。
3、充足的网络带宽保证
网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗现在的SYNFlood攻击，当前至少要选择100M的共享带宽，最好的当然是挂在1000M的主干上了。但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的，若把它接在100M的交换机上，它的实际带宽不会超过100M，再就是接在100M的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上*实际带宽为10M，这点一定要搞清楚。
4、升级主机服务器硬件
在有网络带宽保证的前提下，请尽量提升硬件配置，要有效对抗每秒10万个SYN攻击包，服务器的配置至少应该为：P4 2.4G/DDR512M/SCSI-HD，起关键作用的主要是CPU和内存，若有志强双CPU的话就用它吧，内存一定要选择DDR的高速内存，硬盘要尽量选择SCSI的，别只贪IDE价格不贵量还足的便宜，否则会付出高昂的性能代价，再就是网卡一定要选用3COM或Intel等名牌的，若是Realtek的还是用在自己的PC上吧。

5、把网站做成静态页面
大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给黑客入侵带来不少麻烦，至少到现在为止关于HTML的溢出还没出现，看看吧！新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器，当然，适当放一些不做数据库调用脚本还是可以的，此外，最好在需要调用数据库的脚本中拒绝使用代理的访问，因为经验表明使用代理访问你网站的80%属于恶意行为。
6、增强操作系统的TCP/IP栈
Win2000和Win2003作为服务器操作系统，本身就具备一定的抵抗DDOS攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约10000个SYN攻击包，若没有开启则仅能抵御数百个，具体怎么开启，自己去看微软的文章吧！《强化 TCP/IP 堆栈安全》。也许有的人会问，那我用的是Linux和FreeBSD怎么办？很简单，按照这篇文章去做吧！《SYN Cookies》

热心网友 时间：2022-06-26 23:09

九曲DDOS解决方案：采用高性能的网络设备尽量避免NAT的使用充足的网络带宽保证升级主机服务器硬件把网站做成静态页面增强操作系统的TCP/IP栈安装专业抗DDOS防火墙以上几点重复做