分布式拒绝服务（DDoS：Distributed Denial of Service）攻击，指的是借助客户端/服务器技术，将多台计算机联合起来充当攻击平台，对一个或多个目标发起DDoS攻击，从而成倍放大拒绝服务攻击的破坏威力。
通常情况下，攻击者会将攻击程序通过代理程序安装部署在网络上各个”肉鸡”设备当中，代理程序一旦接收到相应指令便会随即发动攻击。
常见的DDoS攻击种类：
网络层攻击：较为典型的攻击类型是UDP反射攻击，比如NTP Flood攻击，这类攻击主要借助大流量拥塞被攻击者的网络带宽，导致被攻击者的业务无法正常响应客户访问请求。
传输层攻击：较为典型的攻击类型涵盖SYN Flood攻击、连接数攻击等，这类攻击通过占用服务器的连接池资源，从而达成拒绝服务的目的。
会话层攻击：较为典型的攻击类型是SSL连接攻击，这类攻击会占用服务器的SSL会话资源，从而达成拒绝服务的目的。
应用层攻击：较为典型的攻击类型涵盖DNS Flood攻击、HTTP Flood攻击、游戏假人攻击等，这类攻击会占用服务器的应用处理资源，极大消耗服务器的处理性能，从而达成拒绝服务的目的。
DDoS攻击应对策略
以下我们分享一些在一定范围内，能够应对缓解DDoS攻击的策略方法，供大家参考借鉴。
一、确保服务器系统安全
1、确保服务器的系统文件始终为最新版本，并及时更新系统补丁。
2、管理员需要对所有主机进行核查，明确掌握访问者的来源信息。
3、关闭非必要的服务：在服务器上删除未使用的服务，关闭未使用的端口。
4、限制同时打开的SYN半连接数量，缩短SYN半连接的超时时间，对SYN/ICMP流量加以限制。
5、正确配置防火墙，在防火墙上运行端口映射程序或端口扫描程序。
6、认真核查网络设备及主机/服务器系统的日志记录。只要日志出现异常漏洞或时间发生变更，那么这台设备便有可能已经遭到了攻击。
7、限制防火墙外部与网络文件的共享。这样做会给黑客提供截取系统文件的可乘之机，倘若黑客以特洛伊木马程序将其替换，文件传输功能必然会陷入瘫痪状态。
其他应对方法
1、隐藏服务器真实IP
服务器防御DDoS攻击最根本的措施便是隐藏服务器的真实IP地址。当服务器对外传送信息时便有可能泄露IP地址，比如我们常见的使用服务器发送邮件这一功能，便会泄露服务器的IP地址。
因此，我们在发送邮件时，需要通过第三方代理来进行发送，这样一来所显示出来的IP便是代理IP地址，从而不会泄露真实IP地址。在资金较为充裕的情况下，可以选择使用高防服务器，并且在服务器前端加装CDN进行中转，所有域名及子域名均采用CDN来解析处理。
2、关闭非必要的服务或端口
这同样也是服务器运维人员最为常用的处理方式。在服务器防火墙当中，仅开放使用中的端口，比如网站Web服务所用的80端口、数据库所用的3306端口、SSH服务所用的22端口等。关闭非必要的服务或端口，并在路由器上过滤掉伪造IP。
3、购置高防服务提升承受能力
该措施是通过购置具备高防能力的盾机设备，提升服务器的带宽等各项资源配置，从而增强自身抵御攻击的承受能力。对于普通中小企业而言甚至并不适合采用，且在未遭受攻击时会造成服务器资源的闲置浪费，因此这里便不做过多阐述展开。
4、限制SYN/ICMP流量
用户应当在路由器上配置SYN/ICMP的最大流量阈值，以此限制SYN/ICMP数据包所能占用的最高带宽额度，这样一来，一旦出现大量超出所限定阈值的SYN/ICMP流量，便说明这并非正常的网络访问行为，而是存在黑客入侵的迹象。早期通过限制SYN/ICMP流量是防范DoS攻击最为有效的方法之一，尽管目前该方法针对DDoS攻击的效果已不算十分明显，不过依然能够发挥一定的防护作用。
5、网站请求IP过滤
除了服务器本身之外，网站程序自身的安全性能同样也需要相应提升。以小编自己的个人博客为例，是基于CMS系统搭建而成的。系统安全机制当中的过滤功能，通过限制单位时间内的POST请求次数、404页面访问等操作行为，来过滤掉那些访问次数过于频繁的异常行为。尽管这一举措对DDoS攻击并没有明显的改善成效，但也能在一定程度上减轻小带宽恶意攻击所带来的影响。
6、部署DNS智能解析
通过智能解析的方式来优化DNS解析流程，能够有效规避DNS流量攻击所产生的风险隐患。同时，建议您将业务分散托管至多家DNS服务商处。
屏蔽未经请求发送的DNS响应信息、丢弃快速重传数据包、启用TTL机制丢弃未知来源的DNS查询请求及响应数据、丢弃未经请求或突发性的DNS请求、启动DNS客户端验证机制、对响应信息进行缓存处理、运用ACL权限管控、借助ACL、BCP38以及IP信誉功能等手段。
7、预留充足的余量带宽
通过对服务器性能开展相应测试，评估正常业务运行环境下所能承受的带宽及请求数量。在购置带宽资源时应确保留有一定的余量空间，这样便能够避免遭受攻击时带宽消耗超出正常使用量、进而影响正常用户访问的情况发生。
小结
就目前而言，DDoS攻击尚未存在最为理想的根治办法，无法做到彻底完全防御，只能采取各种手段在一定程度上减缓攻击所带来的伤害。因此平日里服务器的运维工作仍然需要做好相应的基础保障措施。
原创文章，作者：余初云，如若转载，请注明出处：https://blog.jidcy.com/dlfwq/fwqtg/zgdlfwqtg/3199.html
