当前位置:主页>资 讯>安全动态>

斩断DDoS魔掌的六把利剑(二)

在系列文章(一)中,我们主要分析了当今造成DDoS攻击变得更猖獗也更具有破坏性的几大变化因素。本文,我们将分析依靠传统安全保护措施应对DDoS攻击的不足。

减轻DDoS攻击面临的挑战

虽然许多企业日益关注DDoS攻击,但很少有企业部署专门的DDoS保护机制。那些能够暂时解决DDoS攻击的企业往往依赖于不具备快速减轻攻击能力和灵活性的方法。

尽管下面这些措施得到广泛应用,但对多数企业而言,只靠这些措施来抵挡当今变化多端的大型DDoS攻击是远远不够的。

1、过度配置带宽

虽然提供过度的带宽是最常见的对抗DDoS的措施之一,但事实上,这样做既无成本效益也不高效可行。对于企业来说,提供高于其需要处理峰值负载的额外75%的带宽是很少见的,而且一旦攻击超过了所提供的带宽数量,过度配置带宽就无效了。此外,过度提供的带宽仅能解决网络级的攻击,而不能应对应用程序级或操作系统级的攻击。由于现代的攻击每秒钟能够携带一百万个数据包,即使配置再好的网络也会被击垮。

2、防火墙

虽然防火墙过去常用来对付DoS(拒绝服务攻击),且完全够用,但是僵尸网络等攻击手段降低了在网络边缘阻止攻击的有效性。使用防火墙来减轻DDoS攻击可能会导致CPU的利用达到峰值,并耗尽内存资源。此外,防火墙并没有异常检测能力。

3、入侵检测系统(IDS)

入侵检测设备一般位于防火墙之后,其设计目的是为了检测某种恶意的数据包。无论IDS还是IPS,其设计目的都不是为了应对海量的攻击。将其用于减轻DDoS攻击会对其入侵检测的本来功能产生影响。此外,在IDS检测到异常而发出警告时,攻击通信已经在消耗互联网带宽,严重影响网络功能,导致CPU的利用达到峰值,并耗尽内存资源。

4、入侵防御系统(IPS)

入侵防御系统有能力作为一种异常检测器而工作,不过,IPS可能需要花几星期时间才能理解正常的通信模式,然后,企业或其IPS厂商必须再花几天时间进行人工调整,指定应当准许哪些通信,应当阻止哪些通信或对哪些通信发出警告。所以,威胁签名的更新往往来得太晚,无法阻止DDoS攻击。此外,许多IPS设备依赖于特定厂商的威胁信息,所以这种设备并没有得到调整和更新,无法解决全部威胁,其中就包括DDoS攻击签名。最后,IPS设备受到TCP会话数量的限制,还受到它在特定时间能够处理的带宽数量的限制。在负载超过其负荷时,它就会“宕机”。

5、路由器

路由器无法阻止欺骗性IP源(这正是DDoS攻击包的最主要源头),也无法人工追踪成千上万的IP地址,这就使得ACL(访问控制列表)无法有效对付DDoS攻击。

6、依赖互联网服务供应商来减轻DDoS攻击

许多企业并不特别关注服务等级约定(SLA)、攻击报告、带宽能力、黑洞路由以及第三方DDoS减轻方案的其它细节,而是认为其ISP供应商会提供DDoS保护。这种依赖是很危险的。

那么,解决DDoS攻击真正有效的手段和方法到底是什么呢,后文将给出明确的建议。
 

(责任编辑:安博涛)

分享到:

更多
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
  • 微笑/wx
  • 撇嘴/pz
  • 抓狂/zk
  • 流汗/lh
  • 大兵/db
  • 奋斗/fd
  • 疑问/yw
  • 晕/y
  • 偷笑/wx
  • 可爱/ka
  • 傲慢/am
  • 惊恐/jk
用户名: 验证码:点击我更换图片
资料下载专区
图文资讯

由蜜罐引发的物联网安全小谈

由蜜罐引发的物联网安全小谈

最近几年,物联网正以迅雷不及掩耳之势四处圈地,凡联网之物都能被黑的恶名也如影随形...[详细]

女子傻眼:银行卡刚存30万,瞬间只剩400

女子傻眼:银行卡刚存30万,瞬间只剩400

个人信息被泄露,在这个年代,好像已经屡见不鲜。但昨天,记者从海曙检察院听闻了一个...[详细]

黑客针对香港的网络攻击中利用了新型的IE浏

黑客针对香港的网络攻击中利用了新型的IE浏览器0day

微软公司在昨日修复了漏洞(CNNVD-201508-429),但攻击者已经在进行水坑攻击的过程中利...[详细]

骗子植入手机木马的10大招术:看完你将会“

骗子植入手机木马的10大招术:看完你将会“百毒不侵”

一、冒充移动客服10086 此类案件中,犯罪分子通过技术手段伪装成移动客服10086向不特...[详细]

滴滴打车有漏洞 淘宝买个软件免费打车

滴滴打车有漏洞 淘宝买个软件免费打车

近日,重庆晚报记者接到读者反映,不法商人用黑客软件刷券在淘宝网销售,声称只要几元...[详细]

返回首页 返回顶部