避免攻击保证上传FTP服务器的安全（2）
来源：asp之家 发布时间：2009-05-07 09:46:00
二、防范拒绝服务攻击
1.加固操作系统
加固操作系统，即对操作系统参数进行配置以加强系统的稳固性，重新编译或设置 BSD系统等操作系统内核中的某些参数，提高系统的抗攻击能力。例如，DoS攻击的典型种类--SYN Flood，利用TCP/IP协议漏洞发送大量伪造的TCP连接请求，以造成网络无法连接用户服务或使操作系统瘫痪。该攻击过程涉及到系统的一些参数:可等待的数据包的链接数和超时等待数据包的时间长度。用户可以将数据包的链接数从缺省值128或512修改为2048或更大，加长每次处理数据包队列的长度，以缓解和消化更多数据包的攻击;此外，用户还可将超时时间设置得较短，以保证正常数据包的连接，屏蔽非法攻击包。但通常这些方法的防攻击能力非常有限。
2.增设防火墙
我们可以在公司网络服务器和外部网络之间的增设一道屏障，以防止发生不可预测的、潜在破坏性的侵入，那就是增设一个防火墙。防火墙利用一组形成防火墙"墙砖"的软件或硬件将外部网络与内部网络隔开，它可以保护内部网络不受外部网络的非授权访问，因此利用防火墙来阻止DoS攻击能有效地保护内部的服务器。我们可以把FTP服务器放在防火墙的DMZ区，让其既可以接受来自Internet的访问，又可以受到防火墙的安全保护。针对SYN Flood，防火墙通常有三种防护方式:SYN网关、被动式SYN网关和SYN中继。
(1)SYN网关
防火墙收到客户端的SYN包时，直接转发给服务器;防火墙收到服务器的SYN/ACK包后，一方面将SYN/ACK包转发给客户端，另一方面以客户端的名义给服务器回送一个ACK包，完成TCP的三次握手，让服务器端由半连接状态进入连接状态。当客户端真正的ACK包到达时，有数据则转发给服务器，否则丢弃该包。由于服务器能承受连接状态要比半连接状态高得多，所以这种方法能有效地减轻对服务器的攻击。
(2)被动式SYN网关
设置防火墙的SYN请求超时参数，让它远小于服务器的超时期限。防火墙负责转发客户端发往服务器的SYN包，服务器发往客户端的SYN/ACK 包、以及客户端发往服务器的ACK包。这样，如果客户端在防火墙计时器到期时还没发送ACK包，防火墙则往服务器发送RST包，以使服务器从队列中删去该半连接。由于防火墙的超时参数远小于服务器的超时期限，因此这样能有效防止SYN Flood攻击。
(3)SYN中继
防火墙在收到客户端的SYN包后，并不向服务器转发而是记录该状态信息然后主动给客户端回送SYN/ACK包，如果收到客户端的ACK包，表明是正常访问，由防火墙向服务器发送SYN包并完成三次握手。
这样由防火墙做为代理来实现客户端和服务器端的连接，可以完全过滤不可用连接发往服务器。
各企业在选择防火墙时，除了根据以上几种保护方式进行选择以外，还需要根据企业本身的业务量来决定选择的防火墙的性能。性能越好，当然价格也就越高，而且防火墙的性能和资源的占用是相关的，性能越高，占用资源也就越多，占用带宽比例也就越高。另外一般企业如果不想在安全产品上投入过多，则会要求防火墙同时具有入侵检测、VPN等功能，甚至防病毒功能。
0
投稿猜你喜欢
- 在SCO的一个网卡上面绑定多个IP地址的方法在SCO Unix系统中多IP地址的设置是通过该网络接口的别名地址来实现的。具体步骤如下：（举例
- 使用wget命令下载父目录下的整个子目录使用wget命令下载父目录下的整个子目录，命令如下：wget -r --level=0 -E --i
- 我以前曾经介绍过将Z-Blog数据库转换到WordPress的SQL语句，做为反例，还会有从WordPress系统转换到Z-Blog系统的S
给程序和库添加版本号和库，有利于维护和升级。当然你可以在文件名上体现，比如有个程序叫 yun，文件名写为 yun_1.0.2，但这个需要每次- 北京时间10月27日消息，据国外媒体报道，印度报纸Business Standard今天援引未具名业界人士的话报道称，谷歌或与一家印度合作伙
- 春节还没过完就接到同事的电话，说论坛访问速度慢，遭致用户强烈的投诉，要求我马上处理。这个bbs是运行在RedhatAS5上，由apache、
- WIN2003 IIS --> 右键 --> 所有任务 --> 备份/还原配置 备份后文件会保存在 ％WINDIR％\sy
- Google AdSense发布者在账号被停止后是否可以收到已经支付或即将支付的款项，这是最近很多发布者都在关注的问题，尤其是通过西联汇款支
- Linux下解压查看JAR包问题在生产环境,有时会有需要在线查看jar中内容的需求.此时, unzip/tar命令都失去了用武之地.解决办法
- 9月13日，php论坛程序phpwind 8.7正式版于当日下午4时发布。阿里巴巴旗下通用型建站软件与服务提供商phpwind官方在此前已经
- 从2004年开始,我也加入了"站长"的行列.从来没有做出一个流量很大的网站,是坚持不够还是........也许太多的问题
- 网站程序上传到服务器的各种方法汇总，制作好网页程序后，如何把网页上传到申请的空间呢？为初学者做一个汇总。上传的定义 上传就是将信息从个人计算
- 北京时间11月19日上午消息，网易今早公布2009财年第三季财报，管理层随后于9点举行分析师电话会议，网易CEO丁磊及代理CFO蔡安活参会并
- 网站浏览视觉原理SEO出现不是突然的，而是长期以来网站主们在不知不觉中地在揣测人们浏览网站的行为，设法将网站出现在人们眼睛所聚焦的地方。通过
- CentOS下RabbitMq高可用集群环境搭建教程分享给大家。准备工作1、准备两台或多台安装有rabbitmq-server服务的服务器我
- 网页设计师的情书亲爱的云：见信好！首先非常感谢你能够浏览我的情书，看之前请先先高抬贵“鼠”点击一下上面的Banner广告，您的支持是本站发展
- 如何从博客中扩展我们的外部链接。但需要申明一点的是：思亿欧所说的不是通过大量注册博客增加自己链接的方式。而是，参与到跟自己主题相关的博客中分
- 10月16日消息，近日，百度搜索开放平台邮箱登录框嵌入搜索结果页功能正式开通，再次提升了百度的搜索引擎功能，丰富了用户的使用体验。同时，该服
- 网站的定位跟网站的目标用户群，市场的潜力和竞争对手都相关，所以，它也不简单。做网站时，首先要解决两个问题：一是网站有没有定位，二是网站定位是
- 推荐阅读：Linux rm 命令误删文件的恢复方法1. 在/home/username/ 目录下新建一个目录，命名为：.trash2.. 在
