在上篇文章中我們介紹了關(guān)于DDOS攻擊的一些知識，如果我們無法防止這種攻擊，那么怎么做才能大限度地保護(hù)企業(yè)網(wǎng)絡(luò)呢?首先應(yīng)該清楚的了解DDoS攻擊的三個階段，然后再學(xué)習(xí)如何將這種攻擊的危害降到最低。
減少攻擊影響
入侵過濾(Ingress filtering)是一種簡單而且所有網(wǎng)絡(luò)(ISP)都應(yīng)該實施的安全策略。在你的網(wǎng)絡(luò)邊緣(比如每一個與外網(wǎng)直接相連的路由器)，應(yīng)該建立一個路由聲明，將所有數(shù)據(jù)來來源IP標(biāo)記為本網(wǎng)地址的數(shù)據(jù)包丟棄。雖然這種方式并不能防止DDoS攻擊，但是卻可以預(yù)防DDoS反射攻擊。
減輕DDoS攻擊危害
但是很多大型ISP好像都因為各種原因拒絕實現(xiàn)入侵過濾，因此我們需要其它方式來降低DDoS帶來的影響。目前最有效的一個方法就是反追蹤(backscatter traceback method)。
要采用這種方式，首先應(yīng)該確定目前所遭受的是外部DDoS攻擊，而不是來自內(nèi)網(wǎng)或者路由問題。接下來就要盡快在全部邊緣路由器的外部接口上進(jìn)行配置，拒絕所有流向DDoS攻擊目標(biāo)的數(shù)據(jù)流。
另外，還要在這些邊緣路由器端口上進(jìn)行配置，將全部無效或無法定位的數(shù)據(jù)來源IP的數(shù)據(jù)包丟棄。比如以下地址：
10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255
將路由器設(shè)置為拒絕這些資料包后，路由器會在每次拒絕數(shù)據(jù)包時發(fā)送一個因特網(wǎng)控制訊息協(xié)議(ICMP)包，并將“destination unreachable”信息和被拒絕的數(shù)據(jù)包打包發(fā)送給來源IP地址。
接下來，打開路由器日志，查看那個路由器收到的攻擊資料包最多。然后根據(jù)所記錄的數(shù)據(jù)包來源IP確定哪個網(wǎng)段的資料量大。在這個路由器上調(diào)整路由器針對這個網(wǎng)段為“黑洞”狀態(tài)，并藉由修改子網(wǎng)掩碼的方法將這個網(wǎng)段隔離開。
然后再尋找這個網(wǎng)段的所有者的信息，聯(lián)系你的ISP以及數(shù)據(jù)發(fā)送網(wǎng)段的ISP，將攻擊情況匯報給他們，并請求協(xié)助。不論他們是否愿意幫忙，無非是一個電話的問題。
接下來為了讓服務(wù)和合法流量通過，你可以將其它一些攻擊情況較輕的路由器恢復(fù)正常，只保留承受攻擊最重的那個路由器，并拒絕攻擊來源大的網(wǎng)段。如果你的ISP和對方ISP很負(fù)責(zé)的協(xié)助阻擋攻擊數(shù)據(jù)包，你的網(wǎng)絡(luò)將很快恢復(fù)正常。
DDoS攻擊很狡猾，也很難預(yù)防，但是你可以借由以上方式及時減輕這種攻擊對網(wǎng)絡(luò)的影響。面對攻擊，你只需要快速地響應(yīng)和正確的方法，就可以及時發(fā)現(xiàn)攻擊數(shù)據(jù)流并將其擋掉。

當(dāng)前文章：如何降低網(wǎng)站被DDOS攻擊造成的傷害？（二）
文章起源：http://aaarwkj.com/news37/46887.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供響應(yīng)式網(wǎng)站、網(wǎng)站建設(shè)、網(wǎng)站策劃、面包屑導(dǎo)航、建站公司、網(wǎng)頁設(shè)計公司

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)