DDOS真是无可防范吗?

日期: 2007-12-26 来源:TechTarget中国

        DDOS是目前应用最为广泛的一种攻击手段,也是令人最为头疼的一种攻击方式。攻击者会在瞬间耗尽机器的资源,使得正常的业务无法运行,网络处于瘫痪状态。有人做了一个形象的比喻,如果酒店有300间客房,恶意的消费者通过电话预定300间,仅仅是预定,但是不执行,这就使正常的客人无法入住,严重影响酒店正常运营。针对该种攻击方式,业内推出了很多的相关产品,但是一直无法很好的解决,莫非DDOS真的无可防范吗?哪里有攻击哪里就会有防御,IDP给出了一个很好的解决方案。

  一 DDOS的攻击原理

  DOS攻击目前主要有两种方式:带宽攻击和连通性攻击。针对带宽攻击,就是发送大量的流量耗尽网络带宽资源,由于网络管理者可以主动根据具体的网络应用,具体的用户限制带宽,所以带宽攻击的影响已经越来越小。连通性攻击就是通过建立连接来冲击计算机,使得机器的资源被耗尽,达到攻击的目的。针对该种攻击,由于网络管理者不能手动干涉连接的建立,在攻击中就显得很被动,很难控制该攻击的发生,本文主要是针对连通性攻击给出的具体的防范案例。

  在连通性攻击中应用最广泛的就是SYN Flood的攻击,SYN Flood的攻击者主要是利用TCP连接中的漏洞,达到其攻击目的。如下图所示:

  

  本来,正常的TCP连接是需要三次握手协议完成的,攻击者先向目的主机发出一个SYN请求,由于目的主机不能判断对方是否恶意,所以会回复一个SYN/ACK,这样在目的主机就需要维护一个这样的半连接,等待对方回复ACK后,完成整个连接的建立。攻击者正是利用了这一点,他只发送大量的SYN报文,并不回复ACK,这样在目的主机中就维护了大量的半连接队列,由于主机的资源是有限的,攻击者通过持续不断的发送SYN报文,耗尽了目的主机的资源,使得正常的服务连接得不到建立,网络处于瘫痪状态。

  二 IDP的解决方案

  通过IDP的部署,可以保证TCP连接的正常建立,以此来防范那些恶意的半连接。回到开篇咱们举的那个例子,如果在酒店和客户之间有一个中间机构,该机构限定客户的响应时间,如果超过一定时间没有响应,则通知酒店取消预定,或者该机构作为酒店代理,只有收到款后才跟酒店建立业务关系,这样酒店就可以避免恶意的预定,正常运营。IDP设备就是在攻击者和服务器之间充当这样的一个中间机构。针对上述中间机构的两种处理方式,IDP设备也有两种工作模式:被动模式和主动模式。

  1.被动模式

  IDP的被动工作模式,是指其并不参与到客户机目标服务器之间连接的建立,但是其会维护一个连接建立的时间表,它监控整个连接建立过程,如果客户机超过一定时间没有回复ACK报文,那么IDP就向目标服务器发送一个RESET报文,取消该连接。如图所示:

  

  IDP维护的时间表会低于目标服务器连接队列老化时间,以此来减少目标服务器的资源利用率。IDP可以根据每秒SYN报文的个数来决定是否应用此策略,因为如果每秒SYN报文个个数比较少根本对目的主机构不成威胁,也没必要采取措施。默认值为1000,既如果每秒SYN报文超过1000,则启动该功能。

  2.主动模式

  主动模式中IDP实际参与到了连接建立的过程中,其作为主机和目标服务器之间的一个中转机构,以此来确保目标服务器只会给处于连接建立状态的连接分配资源,阻止了非法攻击的资源消耗。对于主机和目标服务器来说,IDP设备是透明的,如下图所示:

  

  IDP作为中转设备,其每收到一个SYN报文,其都会回复一个SYN/ACK,对主机来说就像是目标服务器回复的一样,如果规定时间内主机能够回复ACK,那么连接就能正常建立,IDP就允许连接转移到目标服务器上,对目标服务器来说,此时的IDP设备就是请求服务的主机。如果规定时间内IDP没有收到主机回复的ACK报文,那么IDP就会关闭该连接,目标服务器根本不会感知到这一过程,在无声无息中就将危险阻止于门外。

  根据自己的网络状况,合理选择IDP的应用模式,相信DDOS不会再成为困扰你的问题。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

相关推荐