浅谈高手是如何针对DDos部署防御措施的（2）
来源：asp之家 发布时间：2009-12-24 13:53:00
纵深防御
攻击者和目标通常并非直接相连，两者之间要经过很多网络节点才能进行通信。所以我们可以在受保护系统之前尽可能部署有效的屏障，以缓解系统的压力。设置屏障最主要的工具就是_blank“》防火墙，先进的_blank”》防火墙产品能够有效识别和处理数据包的深层内容，这样有助于我们设置更加细致的过滤。
现在有很多_blank“》防火墙产品集成了反DDoS功能，进一步提高了对常见DDoS攻击包的识别能力。这样的产品可以在很大程度上增强DDoS防御能力，并且可以做到不对数据包进行完全检查就可以发现“恶意行为”。这是非常有帮助的能力，因为如果判断DDoS攻击所耗费的处理越少，就越不容易被耗尽处理能力，从而极大的增加攻击者的成本。包括很多路由器产品在内的网络设备都具备一些_blank”》防火墙功能，我们应该尽可能充分的利用。
特别是路由器本身负责对数据流进行导向，应尽可能将其置于“前哨”位置。这样既可以起到御敌于千里之外的作用，又可以灵活地将攻击包导向到其它无害的位置甚至化攻击于虚无。当然，攻击者对这些防御层也会有或浅或深的体认，不会一味地以目标系统作为惟一的打击点，他们很可能会在受到这些设施的阻挠之后转而组织针对这些设施的攻击，这就需要我们动态的对防御设施进行调整，随机应变。
除了以上这些基础的方法和工具之外，还有一些更高级的技巧可以利用，例如我们可以进行冗余设计，以在系统瘫痪于攻击发生时有可以随时启用的应急机制；也可以部署一些陷阱部件，既可以用于吸引攻击流量，也可以对攻击者起到一定的迷惑作用。
知己者胜
其实在对我们进行安全防御时，最重要的因素之一是对系统的透彻了解。例如我们必须清楚地知道系统对外开放了哪些服务，哪些访问是被禁止的。同时，当有DDoS攻击迹象发生的时候，我们也应该很好地判断攻击利用了系统的哪些处理机制。虽然我们已经听过无数人无数次的重复“关闭不必要服务”，但显然其重要性仍未被充分认知。
有时一个端口没有开放我们就认为其处于安全状态，其实事实并非如此。很多时候，一些关闭的端口由于设计上的原因仍会响应某些查询，这一点经常被DDoS攻击所利用。攻击者通过向这些看似沉睡的端口发送海量的查询耗尽目标系统的资源从而达到自己的目的。我们经常利用一个称为Shields UP！！的基于Web接口的工具检查端口的真实状态，我们可以从http://www.grc.com/找到该工具的登入接口。
我们在一台联网的工作站上登录其页面并执行All Service Ports检测，返回的结果页会列出从0到1055端口状态的方格图，绿色的小块儿表示该端口处于安全的隐秘（Stealth）状态，将不会对外界做出任何响应。如果小块儿是代表危险的红色，说明该端口处于开放状态。而如果小块儿是蓝色的话，说明该端口处于关闭状态，虽然大部分程序无法使用这些端口，但不代表其绝对安全。通过类似的工具我们可以更透彻的了解我们暴露在网络上的都是什么，也才能进行真正有效的处理，同时不会忽视存在的隐患。
0
投稿猜你喜欢
很多时候我们都是通过SSH 服务 来对 Linux 进行操作，而不是直接来操作Linux机器，包括对Linux服务器的操作，因此，设置SSH- 安装官方推荐在ubuntu安装，本文选择在ubuntu14.04作为宿主系统。系统更新sudo apt-get update &&a
- 什么是NFS?network file system 网络文件系统通过网络存储和组织文件的一种方法或机制。为什么要用NFS?前端所有的应用服
- 前言本章将会讲解使用vi文本编辑器一.vi文本编辑器配置文件是Linux操作系统的显著特征之一，其作用有点类似于Windows操
- IIS500错误，是因为微软的一个BUG所造成的。下面是解决办法:主要是由于IWAM账号（在我的计算机即是IWAM_MYSERVER账号）的
- 在WordPress 3.0以后，有一个新的实用功能：你可以更改默认后台编辑器（TinyMCE）的样式，实现一个有趣的功能：在后台可视化编辑
- 很多朋友都碰到过这样的现象：打开一个网站，结果页面还没显示，杀毒软件就开始报警，提示检测到木马病毒。有经验的朋友会知道这是网页恶意代码，但是
- 做站的都是苦孩子，也都是好孩子。 先说下 自己的经历，99 年开始上网，01年开始做个人站，都是小站，没有赚到钱，倒是后来玉米卖了点钱，把价
- 使用使用WordPress系统的blogger在不断的日增，我发现国内基本上还没有多少的blogger关于WordPress的安全性问题，当
- Discuz!X自它诞生以来就饱受争议，无论是正面的还是侧面的，它被康盛推出了，那么，它就有他的优势之所在，而discuz作为我们站长运营过
- 记录一次调试经历起因相同的jar，服务器正常而本地起的项目一直报下图中的错。解释首先，这段代码是hibernate执行有参数的hql的过程中
- 在计算机网络日益普及的今天，计算机安全不但要求防治计算机病毒，而且要提高系统抵抗黑客非法入侵的能力，还要提高对远程数据传输的保密性，避免在传
- WordPress版本更新非常频繁。这个月WordPress 3.2的Beta 1版本已经发布，如果不出意外，下个月我们会迎来3.2正式版。
- 前言最近在笔记本装了一个centos，想要让别人也可以登录访问，用自己的账号确实不太好，于是准备新建一个用户给他。发现网站这方便的资料比较少
- 在前段时间写过一篇是关于实际点击价格的计算的，最后得到de结论是，相对于无效点击，无效展示更加危险，这里我们将说一下无效展示的问题。什么是无
- 喜欢非主流的我们，容易伤感，更喜欢用一些伤感图作为QQ签名图。不过，你知道如何制作这种伤感图片么？其实没那么难，不用PS，因为时下有很多操作
- 如何在Vmware安装Linux CentOS 7.7系统，并且是最小化安装。之后进行必要的配置修改，并实现基础优化。最后做一个快照。安装L
- 现在国内提供支持ＡＳＰ的免费空间越来越多了，对于ＡＳＰ爱好者来说无疑是个好的势头，但是很多提供免费ＡＳＰ空间的站点都没有对Fil
- 过去的几年，由于大量广告主的大量资金注入互联网 ，已具实力的网站你争我斗，海量新兴的网站迅速崛起，都想在这个看起来赚钱很美、实则赚钱不易的互
- 基础环境装好宝塔服务宝塔里装好【Python项目管理器】宝塔里装好【Nginx】把Django项目代码发到服务器把代码放到服务器上有两种方法
