拒絕服務(wù)攻擊(拒絕服務(wù)攻擊原理、常見(jiàn)方法及防范)-資料下載頁(yè)
2025-08-05 07:27本頁(yè)面
【正文】 除未使用的服務(wù)，如FTP或NFS。WuFtpd等守護(hù)程序存在一些已知的漏洞，黑客通過(guò)根攻擊就能獲得訪(fǎng)問(wèn)特權(quán)系統(tǒng)的權(quán)限，并能訪(fǎng)問(wèn)其他系統(tǒng)——甚至是受防火墻保護(hù)的系統(tǒng)。確保運(yùn)行在Unix主機(jī)上的所有服務(wù)都有TCP封裝程序，限制對(duì)主機(jī)的訪(fǎng)問(wèn)權(quán)限。 out 時(shí)間。確保所有服務(wù)器采用最新系統(tǒng)，并打上安全補(bǔ)丁，計(jì)算機(jī)緊急響應(yīng)協(xié)調(diào)中心發(fā)現(xiàn)，幾乎每個(gè)受到DDoS攻擊的系統(tǒng)都沒(méi)有及時(shí)打上補(bǔ)丁。因此應(yīng)當(dāng)及早發(fā)現(xiàn)系統(tǒng)存在的攻擊漏洞，及時(shí)安裝系統(tǒng)補(bǔ)丁程序。合理配置路由器及防火墻，實(shí)現(xiàn)IDS和防火墻的聯(lián)動(dòng)企業(yè)網(wǎng)的網(wǎng)絡(luò)設(shè)備可以從防火墻與路由器上考慮。這兩個(gè)設(shè)備是與外界的接口設(shè)備。需要注意的是防DDoS的設(shè)置是以犧牲效率為代價(jià)的。路由器（以Cisco路由器為例）1．Cisco Express Forwarding（CEF）。2．使用 unicast reversepath。 3．訪(fǎng)問(wèn)控制列表（ACL）過(guò)濾。 4．設(shè)置SYN數(shù)據(jù)包流量速率。5．升級(jí)版本過(guò)低的ISO。 6．為路由器建立log server。 其中使用CEF和Unicast設(shè)置時(shí)要特別注意，使用不當(dāng)會(huì)造成路由器工作效率嚴(yán)重下降，升級(jí)IOS也應(yīng)謹(jǐn)慎。在思科路由器上使用 ip verfy unicast reversepath 網(wǎng)絡(luò)接口命令，這個(gè)功能檢查每一個(gè)經(jīng)過(guò)路由器的數(shù)據(jù)包。在路由器的CEF表該數(shù)據(jù)包所到達(dá)網(wǎng)絡(luò)接口的所有路由項(xiàng)中，如果沒(méi)有該數(shù)據(jù)包源IP地址的路由，路由器將丟棄該數(shù)據(jù)包。例如，（即反向數(shù)據(jù)包傳輸時(shí)所需的路由），則路由器會(huì)丟棄它。 單一地址反向傳輸路徑轉(zhuǎn)發(fā)（Unicast Reverse Path Forwarding）在ISP（局端）實(shí)現(xiàn)阻止SMURF攻擊和其他基于IP地址偽裝的攻擊，這能夠保護(hù)網(wǎng)絡(luò)和客戶(hù)避免受來(lái)自互聯(lián)網(wǎng)其他地方的侵?jǐn)_。使用Unicast RPF需要打開(kāi)路由器的“\CEF swithing\”或“\CEF distributed switching\”選項(xiàng)，不需要將輸入接口配置為CEF交換（switching）。只要該路由器打開(kāi)了CEF功能，所有獨(dú)立的網(wǎng)絡(luò)接口都可以配置為其他交換（switching）模式。RPF（反向傳輸路徑轉(zhuǎn)發(fā)）屬于在一個(gè)網(wǎng)絡(luò)接口或子接口上激活的輸入端功能，處理路由器接收的數(shù)據(jù)包。防火墻1．禁止對(duì)主機(jī)的非開(kāi)放服務(wù)的訪(fǎng)問(wèn)。2．限制同時(shí)打開(kāi)的SYN最大連接數(shù)。3．限制特定IP地址的訪(fǎng)問(wèn)。4．啟用防火墻的防DDoS屬性。 5．嚴(yán)格限制對(duì)外開(kāi)放的服務(wù)器的向外訪(fǎng)問(wèn)。要限制在防火墻外與網(wǎng)絡(luò)文件共享，因?yàn)檫@會(huì)使黑客有機(jī)會(huì)截獲系統(tǒng)文件，并以特洛伊木馬替換它，文件傳輸功能無(wú)異將陷入癱瘓。利用防火墻來(lái)加固網(wǎng)絡(luò)的安全性，配置好這些設(shè)備的安全規(guī)則，過(guò)濾掉所有可能的偽造數(shù)據(jù)包。在受到攻擊時(shí)，迅速確定來(lái)源地址，在路由器和防火墻上做一些屏蔽。在防火墻上運(yùn)行端口映射程序或端口掃描程序。大多數(shù)事件是由于防火墻配置不當(dāng)造成的，使DoS/DDoS攻擊成功率很高，所以一定要認(rèn)真檢查特權(quán)端口和非特權(quán)端口?，F(xiàn)在有很多防火墻產(chǎn)品集成了反DDoS功能，進(jìn)一步提高了對(duì)常見(jiàn)DDoS攻擊包的識(shí)別能力。這樣的產(chǎn)品可以在很大程度上增強(qiáng)DDoS防御能力，并且可以做到不對(duì)數(shù)據(jù)包進(jìn)行完全檢查就可以發(fā)現(xiàn)“惡意行為”。這是非常有用的功能，因?yàn)槿绻袛郉DoS攻擊所耗費(fèi)的處理越少，就越不容易被耗盡處理能力，從而極大地增加攻擊者的成本。包括很多路由器產(chǎn)品在內(nèi)的網(wǎng)絡(luò)設(shè)備都具備一些防火墻功能，我們應(yīng)該盡可能充分利用。另外，實(shí)現(xiàn)IDS和防火墻的聯(lián)動(dòng)也是有效抵御DDoS攻擊的有效手段。加強(qiáng)網(wǎng)絡(luò)管理，建立合理的應(yīng)對(duì)策略。這張圖應(yīng)該詳細(xì)標(biāo)明TCP/IP地址、主機(jī)、路由器及其他網(wǎng)絡(luò)設(shè)備，還應(yīng)該包括網(wǎng)絡(luò)邊界、非軍事區(qū)（DMZ）及網(wǎng)絡(luò)的內(nèi)部保密部分。，要經(jīng)常檢查系統(tǒng)的物理環(huán)境，禁止那些不必要的網(wǎng)絡(luò)服務(wù)。建立邊界安全界限，確保輸出的包受到正確限制。經(jīng)常檢測(cè)系統(tǒng)配置信息，并注意查看每天的安全日志，檢查所有網(wǎng)絡(luò)設(shè)備和主機(jī)/服務(wù)器系統(tǒng)的日志，只要日志出現(xiàn)漏洞或時(shí)間出現(xiàn)變更，幾乎可以肯定相關(guān)的主機(jī)安全受到了危脅。，讓網(wǎng)絡(luò)服務(wù)提供商幫助實(shí)現(xiàn)路由的訪(fǎng)問(wèn)控制和對(duì)帶寬總量的限制。，應(yīng)當(dāng)啟動(dòng)自己的應(yīng)付策略，盡可能快地追蹤攻擊包，并及時(shí)聯(lián)系ISP和有關(guān)應(yīng)急組織，分析受影響的系統(tǒng)，確定涉及的其他節(jié)點(diǎn)。，而不僅針對(duì)關(guān)鍵主機(jī)。這是為了確保管理員知道每個(gè)主機(jī)系統(tǒng)在運(yùn)行什么？誰(shuí)在使用主機(jī)？哪些人可以訪(fǎng)問(wèn)主機(jī)？不然，即使黑客侵犯了系統(tǒng)，也很難查明。（例如系統(tǒng)配置信息）建立和完善備份機(jī)制。對(duì)一些特權(quán)賬號(hào)（例如管理員賬號(hào)）的密碼設(shè)置要謹(jǐn)慎。通過(guò)以上一系列的舉措可以把攻擊者的可乘之機(jī)降低到最小。病毒預(yù)警最近有一個(gè)病毒特別值得注意，它偽裝成流行的網(wǎng)上聊天工具M(jìn)SN 8的測(cè)試版本，通過(guò)MSN進(jìn)行傳播。中毒電腦可被黑客遠(yuǎn)程控制，如：添加刪除程序、盜取隱私信息等。專(zhuān)家建議用戶(hù)不要隨便打開(kāi)通過(guò)、MSN等即時(shí)通信工具發(fā)來(lái)的網(wǎng)站地址或文件，要及時(shí)升級(jí)殺毒軟件并打開(kāi)文件監(jiān)控功能來(lái)防范此類(lèi)病毒。13
教學(xué)教案相關(guān)推薦
鄂ICP備17016276號(hào)-1