您好,歡迎進(jìn)入銳速云官網(wǎng)!
售后熱線:4006-5050-10 QQ客服:2852917158 登錄 注冊
隨著DDoS攻擊的衍變,對于防御這一工作也增加了更大的難度。相信很多企業(yè)遇見DDoS攻擊時(shí),都會(huì)想著先讓自己公司的安全人員在現(xiàn)在的網(wǎng)絡(luò)基礎(chǔ)設(shè)施上想辦法解決。的確有能力的企業(yè)根據(jù)自己的一些基礎(chǔ)防護(hù),可以起到一定的到緩解作用,到目前為止,針對DDOS攻擊是沒有完全可以杜絕的解決方案,簡單而言眾多防御只能起到緩解,卻不可以完全的根治DDoS攻擊。比如防火墻,高防服務(wù)器等安全產(chǎn)品雖然擁有DDOS防護(hù)的能力,但這只是針對小流量,遇見大的流量完全束手無策。尤其是針對大的CC并發(fā)攻擊更是沒有脾氣。
因?yàn)閷拵ЬW(wǎng)速的提升,DDOS流量攻擊也隨之越來越高,每個(gè)月的500G左右的攻擊流量在某些特定的行業(yè)也是頻頻發(fā)生,那么遇見500G左右的攻擊企業(yè)公司該如何應(yīng)對防御呢?可以肯定的是需要進(jìn)行多層防御才可以抵抗。
首先是ISP/WAN層,這層一般是對終端用戶不可見的,而且中小企業(yè)一般是不會(huì)接觸到這層的。不過對于一些大型的互聯(lián)網(wǎng)企業(yè)、公有云企業(yè)這層是不可缺少的,主要是當(dāng)流量超過本身能處理的極限時(shí),就需要借助互聯(lián)網(wǎng)服務(wù)提供商的資源。一些大型互聯(lián)網(wǎng)企業(yè)本身建設(shè)的帶寬是比較大的,但這面對大流量DDOS攻擊的時(shí)候還是沒不能完全擁有抵抗的能力。
實(shí)際現(xiàn)在云計(jì)算服務(wù)器廠商,以及一部分的安全防護(hù)廠商面對500G左右的攻擊,除過需要自身的防護(hù)過濾清洗能力,依然是需要依靠運(yùn)營商的BGP優(yōu)化線路。雖然有些服務(wù)器廠商,針對大流量攻擊直接進(jìn)行黑洞路由操作,但這樣做除了將攻擊流量黑洞,也會(huì)將部分真實(shí)用戶的訪問一起黑洞掉,對用戶體驗(yàn)是一種打折扣的行為。對公司的信譽(yù)也有一定的影響,業(yè)務(wù)也會(huì)損失。相比,在不增加延遲的情況下,靠近攻擊源位置對攻擊進(jìn)行過濾清洗,回源的方式對于用戶的體驗(yàn)會(huì)好很多。不過這種高防防御比起直接黑洞的價(jià)格會(huì)高一點(diǎn)點(diǎn)。
然后是CDN/Internet層,注明下CDN并不是專業(yè)抗DdoS攻擊的,只是對于Web類應(yīng)用服務(wù)器而言,剛好有一點(diǎn)的抗DDoS能力。以12306的搶票為例,春節(jié)放票時(shí)訪問量非常大,數(shù)據(jù)不亞于DDoS的CC并發(fā),而在平臺(tái)的CDN層面利用驗(yàn)證碼會(huì)過濾絕大多數(shù)請求,最后到達(dá)數(shù)據(jù)庫的請求只占整體請求量的很小一部分。CDN一般是先通過自身的帶寬硬抗,抗不了會(huì)通過動(dòng)態(tài)請求回到源站,如果源站前端的抗DDoS能力或者源站前的帶寬比較有限,就會(huì)被徹底DdoS,造成拒絕服務(wù)。
這就要預(yù)先設(shè)置好網(wǎng)站的CNAME,將域名指向安全防護(hù)廠商的DNS服務(wù)器,在檢測到攻擊發(fā)生時(shí),域名指向自己的清洗集群,然后再將清洗后的流量回源,在對攻擊流量進(jìn)行分流的時(shí)候,會(huì)提前準(zhǔn)備好一個(gè)域名到IP的地址池,當(dāng)IP被攻擊時(shí)封禁并啟用地址池中的下一個(gè)IP,如此往復(fù)。不過CDN僅對Web類服務(wù)有效,對游戲類TCP直連的服務(wù)無效的。
對于Datacenter層的防御主要是將ADS設(shè)備部署在出口位置,達(dá)到近源清洗 ,這個(gè)主要是根據(jù)特定的業(yè)務(wù)場景確認(rèn)閾值,然后將觸發(fā)機(jī)制建立的閾值上,通過策略,ADS可以自動(dòng)緩解一些常見的DDOS攻擊類型,但是一部分衍變的就需要人工識(shí)別。
最后是OS/APP層,主要是將ADS設(shè)備過濾掉的流量再一次的進(jìn)行過濾和緩解,為應(yīng)用層協(xié)議ADS沒防住后做的補(bǔ)充防護(hù)。目前互聯(lián)網(wǎng)公司應(yīng)用最多的是Web服務(wù),所以他們一般會(huì)選擇在系統(tǒng)層面做應(yīng)用層的DDoS防護(hù),
以上的基層防御基本都是建立在足夠大的帶寬下,因此如果是大流量還是建議找專業(yè)的安全防護(hù)公司,及時(shí)處理將損失降到最低。杭州游盾網(wǎng)絡(luò)科技有限公司是一家技術(shù)領(lǐng)先的云防護(hù)公司,專為企業(yè)和開發(fā)者提供實(shí)惠有效的抗DDOS、抗CC攻擊等一系列網(wǎng)絡(luò)安全防護(hù)解決方案,助您輕松應(yīng)對產(chǎn)品用戶激增、高并發(fā)、海量訪問等帶來的問題。游盾投入巨資自主研發(fā)了高性能抗DDOS、CC防火墻,擁有自主運(yùn)營的數(shù)據(jù)中心,全網(wǎng)超2T的超級(jí)防御能力。游盾始終以客戶的實(shí)際需求為核心,打造了一站式的綜合服務(wù)平臺(tái),致力于為您提供防護(hù)效果佳、防護(hù)成本低,穩(wěn)定易接入的高品質(zhì)防護(hù)服
粵公網(wǎng)安備 44030902000612號(hào)