- 论坛徽章:
- 27
|
本帖最后由 yifangyou 于 2012-04-26 23:34 编辑
1、DDOS几种常见攻击方式的原理及解决办法
答：我知道的是
1)SYN攻击
攻击者伪造IP发送syn数据包到服务器上尝试建立连接，充满整个半连接队列，迫使系统丢弃那些正常的访问
解决办法：暂时无，只能把半连接队列调大，对连半接数进行监控，若是达到80%就报警，
2）UDP攻击
由于UDP是无连接的，攻击者发送大量伪造IP的UDP包，服务器正常处理后，返回UDP包给伪造的IP,这样攻击者用一倍的流量，却占用服务器两倍的流量，若是用肉机的话，十台机器，就可以花费服务器二十倍的流量，超过服务器的服务能力和上限
解决办法：把系统做成分布式，增加带宽，增加硬件资源
3) 控制肉鸡发出数据包
攻击者控制成百上千的肉鸡，向服务器发出数据包，生生把服务器的带宽给占满
解决办法：把系统做成分布式，增加带宽
4）频繁访问web服务器上某个耗时耗cpu最大耗内存的页面
攻击者选取web服务器上某个耗cpu最大耗内存的页面，或者利用编程语言漏洞或者设计缺陷(hash算法失效)，让服务器瘫痪
解决办法：尽量把页面静态化，或者做CDN加速
2、生产环境遇到过的DDOS攻击及应对措施
我在做智能DNS开发时，做过伪造IP发送DNS测试，单台PC的DNS服务器能够支持3万个请求，当时公司遇到过DDOS，处理的办法是用云计算，在各地的服务器临时启动虚拟机把DNS部署上去，基本上10分钟能够起个5台虚拟机。由于DNS的NS记录是可以支持多个DNS服务器轮询，因此虽然旧服务器不能工作了但是新服务器能够正常工作
3、为应对DDOS攻击而做出的架构设计
如下图所示，我公司的两台DNS受到DDOS攻击了，我们发现后，立刻在亚马逊云(举例)上生成5台DNS服务器，然后修改NS记录把这5台机器加上，这样正常的请求可以访问到新的DNS服务器上，用云主机的好处是平时不用准备硬件资源和网络资源，减少投入，应急时，可以快速部署，而且云主机是按照cpu,内存，流量收费。
这种方式是及时利用大公司的资源来增强自己的抗攻击能力，花最少的资源解决大问题
|
|
免费注册
楼主: king_819
发表于 2012-04-26 23:21
发表于 2012-04-27 00:31
