避免攻击保证上传FTP服务器的安全(2)
来源:asp之家 发布时间:2009-05-07 09:46:00
二、防范拒绝服务攻击
1.加固操作系统
加固操作系统,即对操作系统参数进行配置以加强系统的稳固性,重新编译或设置 BSD系统等操作系统内核中的某些参数,提高系统的抗攻击能力。例如,DoS攻击的典型种类--SYN Flood,利用TCP/IP协议漏洞发送大量伪造的TCP连接请求,以造成网络无法连接用户服务或使操作系统瘫痪。该攻击过程涉及到系统的一些参数:可等待的数据包的链接数和超时等待数据包的时间长度。用户可以将数据包的链接数从缺省值128或512修改为2048或更大,加长每次处理数据包队列的长度,以缓解和消化更多数据包的攻击;此外,用户还可将超时时间设置得较短,以保证正常数据包的连接,屏蔽非法攻击包。但通常这些方法的防攻击能力非常有限。
2.增设防火墙
我们可以在公司网络服务器和外部网络之间的增设一道屏障,以防止发生不可预测的、潜在破坏性的侵入,那就是增设一个防火墙。防火墙利用一组形成防火墙"墙砖"的软件或硬件将外部网络与内部网络隔开,它可以保护内部网络不受外部网络的非授权访问,因此利用防火墙来阻止DoS攻击能有效地保护内部的服务器。我们可以把FTP服务器放在防火墙的DMZ区,让其既可以接受来自Internet的访问,又可以受到防火墙的安全保护。针对SYN Flood,防火墙通常有三种防护方式:SYN网关、被动式SYN网关和SYN中继。
(1)SYN网关
防火墙收到客户端的SYN包时,直接转发给服务器;防火墙收到服务器的SYN/ACK包后,一方面将SYN/ACK包转发给客户端,另一方面以客户端的名义给服务器回送一个ACK包,完成TCP的三次握手,让服务器端由半连接状态进入连接状态。当客户端真正的ACK包到达时,有数据则转发给服务器,否则丢弃该包。由于服务器能承受连接状态要比半连接状态高得多,所以这种方法能有效地减轻对服务器的攻击。
(2)被动式SYN网关
设置防火墙的SYN请求超时参数,让它远小于服务器的超时期限。防火墙负责转发客户端发往服务器的SYN包,服务器发往客户端的SYN/ACK 包、以及客户端发往服务器的ACK包。这样,如果客户端在防火墙计时器到期时还没发送ACK包,防火墙则往服务器发送RST包,以使服务器从队列中删去该半连接。由于防火墙的超时参数远小于服务器的超时期限,因此这样能有效防止SYN Flood攻击。
(3)SYN中继
防火墙在收到客户端的SYN包后,并不向服务器转发而是记录该状态信息然后主动给客户端回送SYN/ACK包,如果收到客户端的ACK包,表明是正常访问,由防火墙向服务器发送SYN包并完成三次握手。
这样由防火墙做为代理来实现客户端和服务器端的连接,可以完全过滤不可用连接发往服务器。
各企业在选择防火墙时,除了根据以上几种保护方式进行选择以外,还需要根据企业本身的业务量来决定选择的防火墙的性能。性能越好,当然价格也就越高,而且防火墙的性能和资源的占用是相关的,性能越高,占用资源也就越多,占用带宽比例也就越高。另外一般企业如果不想在安全产品上投入过多,则会要求防火墙同时具有入侵检测、VPN等功能,甚至防病毒功能。
猜你喜欢
- 11月25日消息,据国外媒体报道,Twitter联合创始人Biz Stone周二表示,Twitter将进行更多收购,并于明年初开始赚钱。St
- 版主是论坛的一笔财富,没有出色的版主就没有优质的论坛。掌握了一定的论坛资源的版主,首先应该是一个管理者,其次是一个服务者,还应该是一个引导者
- 北京时间11月13日消息,据国外媒体报道,Kershaw, Cutter & Ratinoff律师事务所在其网站上称,正在寻找&am
- 第 1 步:选择推介区域 选择特定广告前,您需要指定国家/地区和语言首选项。为了最大限度地增加转换机会,请选择能充分反映用户情况的组合。有些
- 我用.htaccess做了些什么?1、防图片盗链,减轻流量压力;2、index.php 301转向到域名,有利于PR权重集中;3、其它还不会
- 1.问:Exchange 2000支持单信箱区恢复么?答:Exchange 2000并不支持使用微软工具和产品进行的单信箱区恢复。您可以找到
- 搜索引擎优化项目的规划需要做什么?系统的分析,哪种SEO策略适合当前客户的网站。长尾关键词的方向、内容的方向、竞争的程度以及如何增加独特的网
- 在做网站优化的时候我们首先要做的是对竟争对手加以分析从而可以更好的实施方案,清楚了对手的情况我们还需要清楚网络优化应该避免的一些问题,一般来
- 北京时间10月23日,微软新一代操作系统WIN7正式发布,国内领先的网游厂商巨人网络率先宣布,其新作《绿色征途》全面兼容WIN7操作系统。今
- 优化网站性能的14条规则(更新)尽可能的减少 HTTP 的请求数使用 CDN(Content Delivery Network)添加 Exp
- 1、必须把网站向google提交,可以加快收录速度。接口位于http://www.google.com/intl/zh-CN/add_url
- 10月21日消息,阿里巴巴B2B公司今日对外公布“中国中小企业商务服务伙伴计划”,与首批纳入计划的四家物流巨头签订战略合作协议,其中天天快递
- Godaddy主机用户怎样下载Account Manager里的文件呢?首先、登陆你的Account Manager.其次、在My Prod
- RiS名人专访人物里,这次要访问的是「蓝色理想」BlueIdea 站长(以下简称Blue),他从1999年开始建立了蓝色理想社群,专为网页开
- 应用实例我校1#学生公寓,PC拥有数量大约1000台。采用DHCP分配IP地址,拥有4个C类地址,实际可用地址数约1000个。由于楼内经常存
- Google之所以受网站管理员和Internet媒体服务公司的欢迎,是由于它并非只使用关键词或代理搜索技术,而是将自身建立在高级的网页级别技
- 《三联生活周刊》杂志封面小镇里混网吧的待业青年与身家千万的私营企业主,在多大的层面上会取得利益的一致?他们能否结成利益的共同体?这是一个社会
- 笔者是某单位大楼的一名网络管理员,平时主要任务就是维护大楼局域网网络的安全、稳定运行。最近一段时间,隔三差五的,大楼局域网网络总会发生一些故
- 服务器虚拟化带来的好处是毋庸置疑的,然而服务器虚拟化衍生出来的一系列问题却也是企业数据中心管理人员所要仔细考虑的。一旦企业数据中心实行服务器
- 在前面的Windows2003设置系列教程中,我们提及了使用eAccelerator加速PHP,在那篇文章中提供了PHP5.2.0到PHP5