防御ＤＤｏＳ攻擊的六大絕招

于明龍

分布式拒絕服務(wù)攻擊（DDoS）是一種特殊形式的拒絕服務(wù)攻擊。它是利用多臺(tái)已經(jīng)被攻擊者所控制的機(jī)器對(duì)某一臺(tái)單機(jī)發(fā)起攻擊，在帶寬相對(duì)的情況下，被攻擊的主機(jī)很容易失去反應(yīng)能力。作為一種分布、協(xié)作的大規(guī)模攻擊方式，分布式拒絕服務(wù)攻擊（DDoS）主要瞄準(zhǔn)比較大的站點(diǎn)，像商業(yè)公司、搜索引擎和政府部門的站點(diǎn)。由于它通過利用一批受控制的機(jī)器向一臺(tái)機(jī)器發(fā)起攻擊，來勢(shì)迅猛，而且往往令人難以防備，具有極大的破壞性。

對(duì)于此類隱蔽性極好的DDoS攻擊的防范，更重要的是用戶要加強(qiáng)安全防范意識(shí)，提高網(wǎng)絡(luò)系統(tǒng)的安全性。專家建議可以采取的安全防御措施有6種。

1）及早發(fā)現(xiàn)系統(tǒng)存在的攻擊漏洞，及時(shí)安裝系統(tǒng)補(bǔ)丁程序，對(duì)一些重要的信息（如系統(tǒng)配置信息）建立和完善備份機(jī)制，對(duì)一些特權(quán)賬號(hào)（如管理員賬號(hào)）的密碼設(shè)置要謹(jǐn)慎。通過這樣一系列的舉措，可以把攻擊者的可乘之機(jī)降低到最小。

2）在網(wǎng)絡(luò)管理方面，要經(jīng)常檢查系統(tǒng)的物理環(huán)境，禁止不必要的網(wǎng)絡(luò)服務(wù)。建立邊界安全界限，確保輸出的包受到正確限制。經(jīng)常檢測(cè)系統(tǒng)配置信息，并注意查看每天的安全日志。

3）利用網(wǎng)絡(luò)安全設(shè)備（如防火墻）來加固網(wǎng)絡(luò)的安全性，配置好這些設(shè)備的安全規(guī)則，過濾掉所有可能的偽造數(shù)據(jù)包。

4）與網(wǎng)絡(luò)服務(wù)提供商協(xié)調(diào)工作，讓網(wǎng)絡(luò)服務(wù)提供商幫助實(shí)現(xiàn)路由的訪問控制和對(duì)帶寬總量的限制。

5）當(dāng)用戶發(fā)現(xiàn)自己正在遭受DDoS攻擊時(shí)，應(yīng)當(dāng)啟動(dòng)自己的應(yīng)付策略，盡可能快地追蹤攻擊包，并且及時(shí)聯(lián)系ISP和有關(guān)應(yīng)急組織，分析受影響的系統(tǒng)，確定涉及的其他節(jié)點(diǎn)，從而阻擋已知攻擊節(jié)點(diǎn)的流量。

6）如果用戶是潛在的DDoS攻擊受害者，并且發(fā)現(xiàn)自己的計(jì)算機(jī)被攻擊者用作主控端和代理端時(shí)，用戶不能因?yàn)樽约旱南到y(tǒng)暫時(shí)沒有受到損害而掉以輕心。攻擊者一旦發(fā)現(xiàn)用戶系統(tǒng)的漏洞，就對(duì)用戶的系統(tǒng)是一個(gè)很大的威脅。所以用戶只要發(fā)現(xiàn)系統(tǒng)中存在DDoS攻擊的工具軟件就要及時(shí)把它清除，以免留下后患。