怎么防御流量攻击?DDoS/CC攻击 需要怎么防!

[复制链接]
查看22 | 回复0 | 2021-9-22 18:27:01 | 显示全部楼层 |阅读模式
DDOS攻击是什么,我的网站为何会被攻击?

DDoS(Distributed Denial of Service)即分布式拒绝服务攻击。

攻击主要目的是让指定目标无法提供正常服务,是目前最强大、最难防御的攻击之一。

近年出现的DRDoS(分布式反射攻击)让DDoS攻击水平迅速提升,互联网安全被网络暴力所威胁。

攻击的目的:敲诈,同行雇凶攻击,得罪用户报复性攻击。

措施:不要给敲诈者一分钱,应找IDC/ISP商进行防御加固加防,才是以后永久不被人欺负的最好办法。

DDOS的分类

在了解防御之前先简单了解一下各类攻击,因为DDoS是一类攻击而并非一种攻击,并且DDoS的防御是一个可以做到相对自动化但做不到绝对自动化的过程,很多演进的攻击方式自动化不一定能识别,还是需要进一步的专家肉眼判断。

网络层攻击: Syn-flood

利用TCP建立连接时3次握手的“漏洞”,通过原始套接字发送源地址虚假的SYN报文,使目标主机永远无法完成3次握手,占满了系统的协议栈队列,资源得不到释放,进而拒绝服务,是互联网中最主要的DDOS攻击形式之一。网上有一些加固的方法,例如调整内核参数的方法,可以减少等待及重试,加速资源释放,在小流量syn-flood的情况下可以缓解,但流量稍大时完全不抵用。防御syn-flood的常见方法有:syn proxy、syn cookies、首包(第一次请求的syn包)丢弃等。

ACK-flood

对于虚假的ACK包,目标设备会直接回复RST包丢弃连接,所以伤害值远不如syn-flood。DDOS的一种原始方式。

UDP-flood

使用原始套接字伪造大量虚假源地址的UDP包,目前以DNS协议为主。

ICMP-flood

Ping洪水,比较古老的方式。

CC攻击

ChallengeCollapsar的名字最早源于挑战国内知名安全厂商绿盟的抗DDOS设备-“黑洞”,通过botnet的傀儡主机或寻找匿名代理服务器,向目标发起大量真实的http请求,最终消耗掉大量的并发资源,拖慢整个网站甚至彻底拒绝服务。

互联网的架构追求扩展性本质上是为了提高并发能力,各种SQL性能优化措施:消除慢查询、分表分库、索引、优化数据结构、限制搜索频率等本质都是为了解决资源消耗,而CC大有反其道而行之的意味,占满服务器并发连接数,尽可能使请求避开缓存而直接读数据库,读数据库要找最消耗资源的查询,最好无法利用索引,每个查询都全表扫描,这样就能用最小的攻击资源起到最大的拒绝服务效果。

互联网产品和服务依靠数据分析来驱动改进和持续运营,所以除了前端的APP、中间件和数据库这类OLTP系统,后面还有OLAP,从日志收集,存储到数据处理和分析的大数据平台,当CC攻击发生时,不仅OLTP的部分受到了影响,实际上CC会产生大量日志,直接会对后面的OLAP产生影响,影响包括两个层面,一个当日的数据统计完全是错误的。第二个层面因CC期间访问日志剧增也会加大后端数据处理的负担。CC是目前应用层攻击的主要手段之一,在防御上有一些方法,但不能完美解决这个问题。

混合型攻击

在实际大流量的攻击中,通常并不是以上述一种数据类型来攻击,往往是混杂了TCP和UDP流量,网络层和应用层攻击同时进行。

反射型攻击

真实TCP服务器发送TCP的SYN包,而这些收到SYN包的TCP server为了完成3次握手把SYN|ACK包“应答”给目标地址,完成了一次“反射”攻击,攻击者隐藏了自身,但有个问题是攻击者制造的流量和目标收到的攻击流量是1:1,且SYN|ACK包到达目标后马上被回以RST包,整个攻击的投资回报率不高。



反射型攻击的本质是利用“质询-应答”式协议,将质询包的源地址通过原始套接字伪造设置为目标地址,则应答的“回包”都被发送至目标,如果回包体积比较大或协议支持递归效果,攻击流量会被放大,成为一种高性价比的流量型攻击。

反射型攻击利用的协议目前包括NTP、Chargen、SSDP、DNS、RPC portmap等等。

脉冲型攻击

很多攻击持续的时间非常短,通常5分钟以内,流量图上表现为突刺状的脉冲。



之所以这样的攻击流行是因为“打-打-停-停”的效果最好,刚触发防御阈值,防御机制开始生效攻击就停了,周而复始。蚊子不叮你,却在耳边飞,刚开灯想打它就跑没影了,当你刚关灯它又来了,你就没法睡觉。

自动化的防御机制大部分都是依靠设置阈值来触发。尽管很多厂商宣称自己的防御措施都是秒级响应,但实际上比较难。

多层防御架构

反向代理/Internet层

反向代理(CDN)并不是一种抗DDOS的产品,但对于web类服务而言,他却正好有一定的抗DDOS能力,以大型电商的抢购为例,这个访问量非常大,从很多指标上看不亚于DDOS的CC,而在平台侧实际上在CDN层面用验证码过滤了绝大多数请求,最后到达数据库的请求只占整体请求量的很小一部分。

对http CC类型的DDOS,不会直接到源站,CDN会先通过自身的带宽硬抗,抗不了的或者穿透CDN的动态请求会到源站,如果源站前端的抗DDOS能力或者源站前的带宽比较有限,就会被彻底DDOS。

我们的策略是,预先设置好网站的CNAME,将域名指向云清洗的DNS服务器,在一般情况下,云清洗的DNS仍将穿透CDN的回源的请求指向源站,在检测到攻击发生时,域名指向自己的清洗集群,然后再将清洗后的流量回源。

金融行业

“野蛮生长”是互联网金融带给大部分人的一种直观感受,主要模式包括互联网支付、贵金属交易,期货交易,知识产权交易,P2P,网络借贷、网络小额贷款、众筹融资、金融机构创新型互联网平台等。但无论哪种模式,其业务的运行、操作、处理、维护几乎全部依赖互联网,以线上完成的形式展开相关业务,如果互联网中断,其业务链将完全中断,无法开展任何服务。

安全问题

与此同时,互联网金融背后的黑色链条也随之迅速搅动而起。依托互联网牟利的黑客们,自然也嗅到了这条迅速膨胀的资金链条所散发出的诱惑。

从事互联网金融公司多数都是小微公司,其精力主要集中在业务发展与运营上,在安全方面的能力很弱。在职业黑客面前,其防护能力几乎为零,面对成千上万的DDoS攻击,其业务很容易非正常死亡,极易造成客户的恐慌。所以,在互联网金融遍地开花的同时,因黑客攻击而宣布关门的网贷平台也不绝于耳。

针对金融及游戏行业的攻击趋势

1、大流量攻击普遍性

2、大流量攻击呈现增长趋势

3、大流量攻击走向云端

4、大流量攻击在游戏行业中加剧

5、小流量快攻击变身脉冲式攻击

6、DDoS攻击不再局限于终端

高防服务对金融行业防护优势

1、支持http及https协议防护

2、服务器无需任何变动,即可使用我们的高防服务

3、影藏源IP地址,保护源服务器不被攻击

4、完善的SSL协议优化解决方案

5、提供对四层以及七层转发配置的技术支持

3、提供实时攻击流量图

CDNCloud-JJ  欢迎咨询 关注私信


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则