面对DDoS攻击 应该如何应对？
近日,国家互联网应急中心发布了《2019年我国互联网网络安全态势综述》报告,从DDoS攻击、 APT 攻击 、CC攻击、安全漏洞可以看出多个方面总结了2019年我国互联网网络安全状况,并结合网络安全态势分析提出对策建议。
在我国党政机关捷信息高防服务全球无缝对接，BGP线路，CName接入，自选节点数，综合新的 WAF 算法过滤技术，动态寻址追踪技术，让解析为服务而生。而关键信息基础设施运营单位的信息系统是频繁遭受DDoS攻击的对象。CNCERT 跟踪发现,某黑客组织 2019 年对我国 300 余家政府网站发起了 1000 余次 DDoS 攻击,初期其攻击可导致 80.0%以上的攻击目标网站正常服务受到不同程度影响。
然而,黑客为了防御不知何时会造访的DDoS攻击而准备大量的带宽资源会让成本难以招架,而历史的惨痛案例也表明,接入靠谱的第三方防护服务是预防DDoS攻击最有效的手段。大流量的攻击在Dos拒绝服务攻击是通过各种手段消耗网络带宽和系统CPU、内存、连接数等资源，直接造成网络带宽耗尽或系统资源耗尽，使得该目标系统无法为正常用户提供业务服务，从而导致拒绝服务。逆势增加2019年, CNCERT 每月对用于发起DDoS的攻击资源进行了持续分析,可被利用的资源稳定性降低。数据显示,DDoS 攻击的控制端数量和来自境外的反射攻击流量的占比均超过 90.0%。攻击者的手段升级,导致执法机构的调查打击道阻且长,并且,被攻击者也需要拥有更强大的配置、更精细的策略,才能抵御这样的DDoS攻击。
一般恶意组织发起DDos攻击时，率先感知并起作用的一般为本地数据中心内的DDos防护设备，金融机构本地防护设备较多采用旁路镜像部署方式。而网络攻击所带来的网络安全事件可能引发业务运行中断、关键数据泄露、数字资产损失等后果，这些都是党政机关企事业所不能承受之痛。
业内卓越的抗D技术和资源 抗D保拥有分布全球的抗D集群,50余个高防机房和DDoS清洗中心,使用云都网络流量清洗设备和知道创宇祝融智能攻击识别引擎,可以5秒发现恶意攻击、10秒快速阻断,防护能力超过4T,保障网站业务不中断。可以根据访问者的URL、频率、行为等访问特征,智能识别CC攻击,迅速识别 CC 攻击 并进行拦截,在大规模CC攻击时可以避免源站资源耗尽,保证企业网站的正常访问。
黑客借助DDoS攻击窃取20亿卢布
11月初，俄罗斯十大银行中有五家遭到DDoS攻击。俄储蓄银行行长戈尔曼·格列夫表示，此次攻击的力度远远超出以往的攻击。12月2日，俄罗斯央行官员称，该行代理账户遭黑客袭击，被盗取了20亿俄罗斯卢布资金。随后，俄罗斯央行官员Artyom Sychyov证实了这一消息，并表示，“黑客曾尝试盗取50亿俄罗斯卢布左右的账户资金”。
那么，DDoS攻击到底是什么，黑客又是怎样借助DDoS攻击从戒备森严的俄罗斯银行盗取20亿卢布的呢？
分布式拒绝服务（DDoS）攻击是网络攻击手段中的一种, 是利用大量合法的请求占用大量网络资源，以达到瘫痪网络的做法——黑客通过大量被控制的计算机同时攻击目标，耗尽服务器的CPU、网络带宽、内存和数据库服务等，以实现影响用户正常使用的目的。DDoS攻击不仅可以域名系统服务器等具体目标，还能利用巨大的流量攻击目标所在的互联网的基础设施使其过载，影响网络的性能和所承载的服务。
由于Windows和Linux 本身就存在一些安全漏洞，黑客可以通过入侵高访问量的网站，并在网页中注入木马病毒，利用系统漏洞感染浏览网站的计算机。一旦有计算机访问并感染木马，就会被木马传播者控制，成为DDoS攻击者的僵尸主机，随后会在僵尸主机上面安装拒绝服务攻击软件。为了隐蔽自己，攻击者会遥控安装了控制软件的僵尸机发动拒绝服务攻击，使被攻击目标由于忙于处理大量的攻击数据包而无法提供正常服务。这种攻击既可以阻断某一用户访问服务器，或阻断某服务与特定系统或个人的通讯，也可以通过向服务器提交大量请求，使服务器超负荷，并利用网络过载来干扰甚至阻断正常的网络通讯，无法响应正常的服务请求，严重的可能导致整个网络瘫痪。
由于经济利益的驱动和操作系统存在大量漏洞使攻击者可以控制大量僵尸主机，构筑庞大的僵尸网络，以及大量攻击工具的诞生降低了DDoS攻击的技术门槛，同时僵尸主机的计算性能和接入带宽随着微电子技术和信息技术的进步突飞猛涨，使DDoS攻击已经初步形成产业链，网络上就有人专门从事收集“僵尸主机”的非法活动，然后以低廉的价格出售给攻击发起者，或者直接遥控这些“僵尸主机”进行攻击。(DDoS攻击体系)
根据DDoS攻击的方式来看，Land 攻击、SYNflood 攻击、Teardrop 攻击等主要针对操作系统、TCP/IP网络协议、应用程序等的缺陷，构造某种特殊的数据包，使系统停止对正常用户的访问请求或使操作系统、应用程序崩溃。而Smurf攻击、UDP 淹没攻击采用比被攻击网络更大的带宽，生成大量发向被攻击网络的数据包，从而耗尽被攻击网络的有效带宽，使被攻击网络发生拥塞。下面具体介绍几种常见的DDoS攻击方式：
由于TCP协议要经过三次握手才能建立连接，于是就有攻击者针对握手过程的SYN flood攻击——在攻击者发出包含SYN（TCP/IP建立连接时使用的握手信号）标志的数据包后，服务器会发送SYN-ACK表示接受到了消息，攻击者不回应确认字符（ACK），在此情形下，服务器会重复发送SYN-ACK，进而占用服务器资源。
在实现方式上，攻击者可以利用本地IP发送大量的普通SYN进行攻击，在收到被攻击主机的SYN-ACK后不予回应，这样被攻击主机就在缓存中建立了大量连接队列，造成了系统资源的消耗而无法向正常请求提供服务。也可以在在SYN 中通过欺骗来源IP 地址，这让服务器送SYN-ACK到假造的IP 地址，因此，真实的IP 地址永远不可能收到ACK。此外，攻击者还可以先伪造一个SYN发送到服务器，然后再伪造一个ACK发到服务器，传送最后的ACK 信息，大量的伪造SYN+ACK也会造成服务器瘫痪。
Land攻击与SYN floods攻击有些类似，区别在于Land攻击包中的源地址。在Land攻击中，攻击者向被攻击主机发送一个经过特殊构造的TCP 数据报，该数据报带有SYN 标志，同时具有相同的源IP 地址和目的IP 地址及相同的源端口号和目的端口号。换言之，IP 地址和端口号都为被攻击主机的，这样当被攻击主机收到这样的TCP 数据报后，就会在本地不断的收发SYN和ACK，从而致被攻击的机器死循环，最终耗尽资源而死机。
Teardrop 攻击是利用数据包分解实现的。由于每个数据要传送前都会经过分组切割，每个被切割的数据小组都会记录位移的信息以便重组，Teardrop攻击通过捏造位移信息，比如向被攻击目标发送两个连续的IP 数据包，由于这两个数据包是相互重叠的，导致在目的系统发生大量的数据复制，从而耗尽被攻击主机的CPU 和内存资源。
由于用户数据报协议（UDP协议）是一个面向无连接的传输层协议，所以数据传送过程中，不需要建立连接和进行认证。UDPFlood攻击就利用UDP协议不需要建立连接和进行认证的特性，向被攻击主机发送大量的UDP 数据包，这样一方面会使被攻击主机所在的网络资源被耗尽，还会使被攻击主机忙于处理UDP数据包，而使系统崩溃。
至于黑客如何利用DDoS攻击从俄罗斯银行盗走20亿卢布，业内人士认为，黑客并非直接利用DDoS攻击从银行盗走资金，而是利用DDoS攻击瘫痪银行的网络，对银行的安全防卫造成混乱，在银行恢复系统的过程中，特别是一些不太正当的恢复操纵很容易被黑客抓住机会，通过其他的方式从银行盗走20亿卢布。也就是说，DDoS攻击并不能直接盗走银行账户里的资金，但却给黑客制造了在混乱中窃取金钱的机会，至于黑客具体抓住银行哪些安全漏洞盗走资金的，只有当事人才清楚，我们这些看客也只能猜测了。
出品：科普中国
制作：龙魂
监制：中国科学院计算机网络信息中心
“科普中国”是中国科协携同社会各方利用信息化手段开展科学传播的科学权威品牌。
本文由科普中国融合创作出品，转载请注明出处。
Check Point:如何抗击DDoS攻击
除了QCF，不少黑客团体也在摩拳擦掌策动DDoS攻击，其目标往往是金融服务机构，集中攻击其网站表格与内容。此外，更有些DDoS攻击变成“进阶”的多向量版本，把DDoS与账户窜改及诈骗手法结合，带来更大的杀伤力。 以上例子表明，在过去的一年半，DDoS黑客活动的频率与手法不断提高，近期的个案显示不同规模的银行正面临不同形式的DDoS攻击，这包括传统SYN 攻击、DNS泛洪攻击、DNS放大攻击，以及针对应用层和内容的攻击。而针对SSL加密网页资源和内容的拒绝服务（DoS）攻击更是变本加厉。在一些情况下，黑客会采用一种混合形式的攻击，用难以阻止的应用层方法，结合“低成本”、大批量，但可用简单的手段进行过滤及阻挡的攻击。 为了应对此等级别的恶意活动，首席信息官、首席信息安全官，以及他们的团队需要部署一个全盘抗击方案，采用一套全面的防御工具，结合公司内部署的安全技术和基于云端的清洗服务。此外，他们也需考虑执行情报收集和发布工作，支持一套全面的DoS缓解策略。 Check Point 软件技术有限公司建议金融机构在制订抗击DDoS 策略时应考虑下列数点：采用数据清洗服务或类似的清洗供应商来应对大批量耗尽攻击 达到80 Gbps的DDoS攻击已经不稀奇，个别案例甚至高达300 Gbps。只有极少的组织机构可以有带宽来应付这种规模的攻击。当面对如此大规模的DDoS攻击，企业应首先考虑通过基于云的清洗供应商来管理其网络流量，协助除掉数据流中的恶意数据包。此等供应商拥有所需的工具及足够的带宽，所以可以作为抗击大批量耗尽攻击的第一道防线，使DDoS攻击止步于云端，而常规业务数据流则能顺利通过网络。 使用专门的DDoS攻击防御设备，对攻击进行识别、隔离与修复 有鉴于DoS攻击日趋复杂，同时结合大批量和应用的攻击，企业需要采用一个综合多种抗击手法的方针。要有效抵御结合应用及“低而慢”攻击的多向量攻击，必需充分利用在公司部署的专用防御设备，防火墙和入侵防御系统在缓解DDoS攻击方面至关重要，DDoS安全防御设备构建一个额外的保护层，通过专用技术对DoS活动进行实时鉴别并阻截。管理员还可以通过设置此等公司内部安全方案，与云清洗服务供应商沟通，在遭受攻击时可自动地把攻击路由出去。 企业需要调整防火墙以处理大量的连接率 在遭受DDoS攻击时，防火墙将是关键的网络设备。管理员应该调整其防火墙设置，以识别和处理大批量耗尽和应用层攻击。此外，视乎防火墙的性能，有些保护功能可激活以阻止DDoS攻击数据包，在攻击过程中提高防火墙的性能。 制定一套保护应用的方法及策略，抵御DDoS攻击 安全技术可以有效抵御DDoS攻击，但是管理员也需要考虑调整Web服务器，修改自身负载均衡及内容分发策略，确保系统取得最佳的正常运作时间。此外，也可以考虑配置抵御多种登陆的攻击。另外一个防御机器策动、自动进行攻击的方法是在网页中增设服务细节选择，例如页面询问浏览者是否有兴趣取得低息率或新产品信息，用户需按下“接受”或者“不用，谢谢”按键后，方可继续进入后续页面。 此外，内容分析十分重要，这可以简便地确保没有大量PDF文件堵塞价值重大的主机服务器。 以上都是有些执行DDoS缓解策略的重要手段。企业必须与服务提供商及互联网服务提供商（ISPs）携手合作。ISP必须参与并支持此等抗击策略，因为DDoS攻击与银行等金融机构使用相同的网络，而ISP则支持这两种数据流。 情报收集和分发对抵御DDoS的重要性也日益增加，这需要调查公司内部网络的数据，以及在金融服务业其它公司的网络中的数据。 了解黑客身份、其攻击动机和手法等信息可以帮助管理人员准确预测并防范攻击。分辨DDoS攻击可以是根据协议（SYN、DNS、HTTP）、攻击数据包的来源，策动和控制攻击的网络、攻击在一天内的启动和结束时间等。
2015 ddos有哪些重大的攻击事件
重大事件这块，网络上公布数据并不多，公布的就是BBC，和阿里多一些
容易受到DDOS攻击的行业有哪些？
游戏行业
游戏行业是DDoS攻击的主要目标了。每当遭受攻击，都会带来游戏不可用，经常会遭受到勒索损失或营收日直接损失，高者损至千万。
最要命的是在活动、新游戏发布，以及节假日游戏收入旺季时段遭受DDoS攻击导致游戏公司损失更加明显。
最直观的还会影响玩家的游戏体验，造成用户流失，直接缩短游戏的生命周期。
互联网
这里的互联网指的是web网页服务，在我们生活中已经剥离不开。例如我们看新闻、网购、查资料、学习的各种网站都属于互联网服务。
当互联网行业遭受DDoS攻击，导致页面不可访问，带来的就是业务的直接终止。好一点的情况是影响用户的访问速度，虽然不会造成业务中断，但时下用户体验极为重要的年代，会直接造成用户流失。
对于电商网站，便是直接造成交易下滑，促销、活动重要时间段尤其容易遭受攻击。
政务民生
目前政务云建设如火如荼，越来越多的需要跑腿才能办理的业务都可以通过网上办结，提供了极大地方便。
但政务民生方面也是DDoS攻击的目标之一，一旦政务民生网站遇到DDoS攻击，会直接影响民生正常生活，还会一定程度上影响政府公信力。
金融行业
金融行业在网络攻击界仿佛是一个“香饽饽”，各种网络攻击的目标都少不了金融行业。
受到DDoS攻击之后，金融交易网站业务不可访问、无法进行交易，直接带来用户的经济损失。
同时互联网金融用户使用的金融站点不可访问，也极易造成用户信任危机，更是品牌的损失。更验证的是涉及敏感资金线上交易，完全稳定本身就有更高的要求。
企业
最后就是大多数的企业，任何关于新品发布、促销和活动的重要时段都是DDoS攻击的高发时段，对企业公信力和品牌印象极大，对于企业来说，是遭受到攻击无法提供服务，但对于用户来说，就是觉得品牌问题，所以企业也时刻需要提防DDoS攻击。
希望本回答能够帮助到你
望采纳~点赞~
那些年，DDoS的那些反击渗透的事情。
DDoS攻击与对策
DDo（Distributed Denial of Service），即分布式拒绝服务攻击，是指黑客通过控制由多个肉鸡或服务器组成的僵尸网络，向目标发送大量看似合法的请求，从而占用大量网络资源使网络瘫痪，阻止用户对网络资源的正常访问。
从各安全厂商的DDoS分析报告不难看出，DDoS攻击的规模及趋势正在成倍增长。由于攻击的成本不断降低，技术门槛要求越来越低，攻击工具的肆意传播，互联网上随处可见成群的肉鸡，使发动一起DDoS攻击变得轻而易举。
DDoS攻击技术包括：常见的流量直接攻击（如SYN/ACK/ICMP/UDP FLOOD），利用特定应用或协议进行反射型的流量攻击（如，NTP/DNS/SSDP反射攻击，2018年2月28日GitHub所遭受的Memcached反射攻击），基于应用的CC、慢速HTTP等。关于这些攻击技术的原理及利用工具网上有大量的资源，不再赘述。
1.1 DDoS防御常规套路
防御DDoS的常规套路包括：本地设备清洗，运营商清洗，云清洗。
1.本地设备清洗
抗DDoS设备（业内习惯称ADS设备）一般以盒子的形式部署在网络出口处，可串联也可旁路部署。旁路部署需要在发生攻击时进行流量牵引，其基本部署方案如图18-1所示。
图18-1 ADS 设备部署方式
图18-1中的检测设备对镜像过来的流量进行分析，检测到DDoS攻击后通知清洗设备，清洗设备通过BGP或OSPF协议将发往被攻击目标主机的流量牵引到清洗设备，然后将清洗后的干净流量通过策略路由或者MPLS LSP等方式回注到网络中；当检测设备检测到DDoS攻击停止后，会通知清洗设备停止流量牵引。
将ADS设备部署在本地，企业用户可依靠设备内置的一些防御算法和模型有效抵挡一些小规模的常见流量攻击，同时结合盒子提供的可定制化策略和服务，方便有一定经验的企业用户对攻击报文进行分析，定制针对性的防御策略。目前国内市场上，主要以绿盟的黑洞为代表，具体可以访问其官网进一步了解。
本地清洗最大的问题是当DDoS攻击流量超出企业出口带宽时，即使ADS设备处理性能够，也无法解决这个问题。一般金融证券等企业用户的出口带宽可能在几百兆到几G，如果遇到十G以上甚至上百G的流量，就真的麻烦了，更别谈T级别的DDoS攻击了。
2.运营商清洗
当本地设备清洗解决不了流量超过出口带宽的问题时，往往需要借助运营商的能力了，紧急扩容或者开启清洗服务是一般做法，前提是要采购相应的清洗服务，而且一般需要通过电话或邮件确认，有的可能还要求传真。
运营商的清洗服务基本是根据netflow抽样检测网络是否存在DDoS攻击，而且策略的颗粒度较粗，因此针对低流量特征的DDoS攻击类型检测效果往往不够理想。再加上一些流程上的操作如电话、邮件、传真等，真正攻击到来时处理可能会更慢，需要重点关注。
值得一提的是中国电信的云堤服务，提供了“流量压制”和“近源清洗”服务，而且还提供了自助平台供用户操作，查看流量、开启清洗也非常方便。
3.云清洗
内容分发网络（Content Delivery Network，CDN）是指，通过在网络各处放置节点服务器，让用户能够在离自己最近的地方访问服务，以此来提高访问速度和服务质量。CDN主要利用了四大关键技术：内容路由，内容分发，内存存储，内容管理。更详细的技术原理可以参考中国电信研究院出版的《CDN技术详解》。
CDN技术的初衷是为了提高互联网用户对静态网站的访问速度，但是由于分布式、就近访问的特点，能对攻击流量进行稀释，因此，一些传统CDN厂商除了提供云加速功能外，也开始推出云清洗的服务，当然还有一些安全公司基于其自身优势进入云清洗市场。基本原理都一样，需要先在云端配置好相应的记录，当企业遭受大规模攻击时，通过修改其DNS记录将要保护的域名CNAME到云端事先配好的记录上，等待DNS生效即可。
使用云清洗需要注意以下几个问题：
1. -·云清洗厂商需要提前配置好相应记录。 ·DNS修改记录后，需要等待TTL超时才生效。
2. ·直接针对源IP的攻击，无法使用云清洗防护，还要依靠本地和运营商清冼。
3. ·针对HTTPS网站的防御，还涉及HTTPS证书，由此带来的数据安全风险需要考虑，市面上也有相应的Keyless方案{n1}。
由于国内环境不支持Anycast技术，所以不再赘述，如果有海外分支机构的网站需要防护，可以关注。
{nt1|其细节可以参考cloudflare公司博客上的文章，链接：[]()。
一些经验
结合笔者的一些经验，对DDoS防护落地做一些补充，仅供参考。
1.自动化平台
金融企业由于高可用要求，往往会有多个数据中心，一个数据中心还会接入多家运营商线路，通过广域网负载均衡系统对用户的访问进行调度，使之访问到最近最优的资源。当任何一条接入线路存在DDoS攻击时，能通过广域网负载均衡系统将该线路上的访问需求转移至其他互联网线路。在针对IP地址开展的DDoS攻击中，此方案能够有效保障正常客户的访问不受影响，为了实现快速切换，需要通过自动化运维平台来实现，如图18-2所示。
图18-2
线路调整一键应急配合必要的应知应会学习和应急演练，使团队成员都能快速掌握方法，在事件发生第一时间进行切换，将影响降到最小。接下来才是通知运营商进行清洗处理，等待流量恢复正常后再进行回切。
当某一个业务的IP受到攻击时，可以针对性地处置，比如一键停用，让正常用户访问其他IP；也可以一键开启清洗服务。
2.设备抗D能力
除了ADS设备外，还有一些设备也需要关注抗DDoS能力，包括防火墙、负载均衡设备等。
出于安全可控需求，金融企业往往会采用异构模式部署防火墙，比如最外层用产品A，里面可能会用产品B。假如产品A的抗DDoS能力差，在发生攻击时，可能还没等到ADS设备清洗，产品A已经出问题了，比如发生了HA切换或者无法再处理新的连接等。
在产品选型测试时，需要关注这方面的能力，结合笔者所在团队经验，有以下几点供参考：
1. ·某些产品在开启日志记录模块后会存在极严重的性能消耗，在可能存在攻击的环境内建议关闭。
2. ·尽管理论和实际会有偏差，但根据实际测试情况，还是建议当存在大量TCP、UDP新建连接时，防火墙的最大连接数越大越好
3. 多测试多对比，从对比中可以发现更优的方案，通过适当的调整优化引入更优方案。
4. ·监控防火墙CPU和连接数，当超过一定值时开始着手优化规则，将访问量多的规则前移、减少规则数目等都是手段。
负载均衡设备也需要关注以上问题，此外，负载均衡由于承接了应用访问请求分发调度，可以一定程度上针对性地防护基于IP速率、基于URL速率的DDoS攻击以及慢速攻击等。图18-3所示为F5的ASM的DDoS防护策略。
图18-3
负载均衡设备ASM防DDoS功能
请求经过防火墙和负载均衡，最后到了目标机器上处理的时候，也需要关注。系统的性能调优设置、Nginx的性能参数调整以及限制连接模块配置等，都是在实际工作中会涉及的。
3.应急演练
部署好产品，开发好自动化运维平台，还要配合必要的应知应会、应急演练才行。因为金融行业的特殊性，DDoS攻击发生的次数相比互联网行业还是少很多的，有的企业可能几年也碰不到一次。时间久了技能就生疏了，真正需要用到时，可能连登录设备的账号口令都忘了，又或者需要现场接线的连设备都找不到，那就太糟糕了。
此外，采购的外围的监控服务、运营商和云清洗产品的服务能力也需要通过演练来检验有效性。签订合同时承诺的秒级发现、分钟级响应是否经得起考验，要先在心里打上一个问号。建议在不事先通知的情况下进行演练，观察这中间的问题并做好记录，待演练完成后一并提交给服务商要求整改。这样的演练每年要不定期组织几次。
0条大神的评论