做網(wǎng)站的一些站長(zhǎng)相信都會(huì)遇到DDoS攻擊，可以說(shuō)DDoS攻擊是常見(jiàn)的一種網(wǎng)絡(luò)攻擊。一旦企業(yè)網(wǎng)站遭受DDoS攻擊，都會(huì)影響波及很多的客戶，損失不能說(shuō)不慘重。因此許多企業(yè)對(duì)DDoS攻擊恨得咬牙切齒，卻很難找到解決辦法。那么到底什么是DDoS攻擊呢，企業(yè)又該如何預(yù)防DDoS攻擊？本文主要探討如何減小DDoS攻擊的發(fā)生率和破壞力，以及如何結(jié)合使用內(nèi)部和基于云的DDoS緩解控制措施，盡量減小日益復(fù)雜的DDoS攻擊對(duì)企業(yè)業(yè)務(wù)造成的干擾和破壞。
什么是DDoS攻擊？
分布式拒絕服務(wù)(DDoS:Distributed Denial of Service)攻擊指借助于客戶/服務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來(lái)作為攻擊平臺(tái)，對(duì)一個(gè)或多個(gè)目標(biāo)發(fā)動(dòng)DDoS攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力。
DDoS攻擊的威脅有哪些？
DDoS攻擊的破壞力很大，足以威脅到整個(gè)國(guó)家的關(guān)鍵基礎(chǔ)設(shè)施，這個(gè)事實(shí)可以解釋為何諸多政府部門在開(kāi)始要求：必須制定DDoS緩解方案。如果企業(yè)遭遇DDoS攻擊的話，對(duì)于企業(yè)來(lái)說(shuō)會(huì)是一次巨大的打擊。
企業(yè)如何預(yù)防DDoS攻擊？
2、網(wǎng)絡(luò)管理員們可以確保自己遵守其他最佳實(shí)踐，從而加強(qiáng)互聯(lián)網(wǎng)的總體安全。
比如說(shuō)，他們應(yīng)該熟悉國(guó)土安全部頒布的DDoS快速指南(DDoS Quick Guide)，還應(yīng)該落實(shí)開(kāi)放解析器項(xiàng)目(Open Resolver Project)等項(xiàng)目給予的建議。開(kāi)放解析器可以回復(fù)針對(duì)域外主機(jī)的遞歸查詢，因而用于DNS放大DDoS攻擊中。該項(xiàng)目已列出了2800萬(wàn)個(gè)構(gòu)成重大威脅的解析器，并提供了詳細(xì)指導(dǎo)，教人們?nèi)绾闻渲肈NS服務(wù)器，以減小DNS放大攻擊的威脅。
1、企業(yè)要想預(yù)防DDoS攻擊，長(zhǎng)期的解決辦法就是加強(qiáng)攻擊者用來(lái)發(fā)動(dòng)攻擊的互聯(lián)網(wǎng)協(xié)議，并且要求升級(jí)系統(tǒng)，以便得益于最佳實(shí)踐。
比如說(shuō)，許多DDoS攻擊之所以能得逞，就是因?yàn)楣粽咄ǔ＝柚袭?dāng)受騙的源IP地址來(lái)生成流量。IETF Best Common Practices文檔BCP 38建議：網(wǎng)絡(luò)操作人員應(yīng)對(duì)從下游客戶進(jìn)入其網(wǎng)絡(luò)的數(shù)據(jù)包進(jìn)行過(guò)濾，丟棄源地址不在其地址范圍內(nèi)的任何數(shù)據(jù)包。這樣可以讓黑客無(wú)法發(fā)送聲稱來(lái)自另一個(gè)網(wǎng)絡(luò)的數(shù)據(jù)包(即欺詐攻擊)。不過(guò)，按BCP 38的要求來(lái)做需要一筆支出，卻沒(méi)有立竿見(jiàn)影的效果，因而盡管有益于更廣泛的社區(qū)，卻沒(méi)有全面實(shí)施起來(lái)。
3、與往常一樣，若能確保已安裝了軟件的最新版本，系統(tǒng)不大容易受到黑客的攻擊，黑客經(jīng)常企圖利用其資源作為DDoS攻擊的一部分。
比如說(shuō)，務(wù)必要更新運(yùn)行BIND的DNS服務(wù)器，因?yàn)榛ヂ?lián)網(wǎng)系統(tǒng)聯(lián)盟(Internet Systems Consortium)現(xiàn)在已將響應(yīng)速率限制(RRL)添加到最佳版本中。RRL可以檢測(cè)表明存在濫用現(xiàn)象的模式，從而有助于緩解DNS放大攻擊，并減少發(fā)送回復(fù)的速率。另外務(wù)必要更新網(wǎng)絡(luò)時(shí)間協(xié)議(NTP)服務(wù)器，因?yàn)?.2.7之前的所有版本都很容易被用于NTP放大攻擊中。
4、雖然金融機(jī)構(gòu)等大企業(yè)是某些攻擊者眼里的明顯目標(biāo)，但它們至少有財(cái)力和資源來(lái)采用最新的安全技術(shù)和最佳實(shí)踐。不過(guò)，資源有限的小企業(yè)仍然面臨可能很強(qiáng)大的對(duì)手。這也是谷歌啟動(dòng)護(hù)盾項(xiàng)目(Project Shield)的原因之一：好讓那些運(yùn)行新聞、人權(quán)或選舉方面網(wǎng)站的組織機(jī)構(gòu)可以通過(guò)谷歌龐大的DDoS緩解基礎(chǔ)設(shè)施來(lái)發(fā)布其內(nèi)容。這種類型的計(jì)劃主要旨在確保潛在的受害者有足夠的資源來(lái)抵御攻擊，從而消除DDoS攻擊的影響。
DDoS攻擊對(duì)于現(xiàn)在的企業(yè)來(lái)說(shuō)可以說(shuō)是一個(gè)極大的隱患，所以為了預(yù)防DDoS攻擊需要我們大家團(tuán)結(jié)起來(lái)，共同應(yīng)對(duì)。全面共享DDoS緩解資源、實(shí)施行業(yè)最佳實(shí)踐可能很費(fèi)時(shí)間和資源，而且可能無(wú)法立即帶來(lái)回報(bào)，但是互聯(lián)網(wǎng)是個(gè)整體性的社區(qū)項(xiàng)目，打擊DDoS攻擊是大家共同的責(zé)任。