拒絕服務攻擊(拒絕服務攻擊原理、常見方法及防范)(參考版)
2025-08-08 07:27本頁面
【正文】 專家建議用戶不要隨便打開通過、MSN等即時通信工具發(fā)來的網(wǎng)站地址或文件，要及時升級殺毒軟件并打開文件監(jiān)控功能來防范此類病毒。病毒預警最近有一個病毒特別值得注意，它偽裝成流行的網(wǎng)上聊天工具MSN 8的測試版本，通過MSN進行傳播。對一些特權賬號（例如管理員賬號）的密碼設置要謹慎。這是為了確保管理員知道每個主機系統(tǒng)在運行什么？誰在使用主機？哪些人可以訪問主機？不然，即使黑客侵犯了系統(tǒng)，也很難查明。，應當啟動自己的應付策略，盡可能快地追蹤攻擊包，并及時聯(lián)系ISP和有關應急組織，分析受影響的系統(tǒng)，確定涉及的其他節(jié)點。經(jīng)常檢測系統(tǒng)配置信息，并注意查看每天的安全日志，檢查所有網(wǎng)絡設備和主機/服務器系統(tǒng)的日志，只要日志出現(xiàn)漏洞或時間出現(xiàn)變更，幾乎可以肯定相關的主機安全受到了危脅。，要經(jīng)常檢查系統(tǒng)的物理環(huán)境，禁止那些不必要的網(wǎng)絡服務。加強網(wǎng)絡管理，建立合理的應對策略。包括很多路由器產(chǎn)品在內的網(wǎng)絡設備都具備一些防火墻功能，我們應該盡可能充分利用。這樣的產(chǎn)品可以在很大程度上增強DDoS防御能力，并且可以做到不對數(shù)據(jù)包進行完全檢查就可以發(fā)現(xiàn)“惡意行為”。大多數(shù)事件是由于防火墻配置不當造成的，使DoS/DDoS攻擊成功率很高，所以一定要認真檢查特權端口和非特權端口。在受到攻擊時，迅速確定來源地址，在路由器和防火墻上做一些屏蔽。要限制在防火墻外與網(wǎng)絡文件共享，因為這會使黑客有機會截獲系統(tǒng)文件，并以特洛伊木馬替換它，文件傳輸功能無異將陷入癱瘓。4．啟用防火墻的防DDoS屬性。2．限制同時打開的SYN最大連接數(shù)。RPF（反向傳輸路徑轉發(fā)）屬于在一個網(wǎng)絡接口或子接口上激活的輸入端功能，處理路由器接收的數(shù)據(jù)包。使用Unicast RPF需要打開路由器的“\CEF swithing\”或“\CEF distributed switching\”選項，不需要將輸入接口配置為CEF交換（switching）。例如，（即反向數(shù)據(jù)包傳輸時所需的路由），則路由器會丟棄它。在思科路由器上使用 ip verfy unicast reversepath 網(wǎng)絡接口命令，這個功能檢查每一個經(jīng)過路由器的數(shù)據(jù)包。 6．為路由器建立log server。 4．設置SYN數(shù)據(jù)包流量速率。2．使用 unicast reversepath。需要注意的是防DDoS的設置是以犧牲效率為代價的。合理配置路由器及防火墻，實現(xiàn)IDS和防火墻的聯(lián)動企業(yè)網(wǎng)的網(wǎng)絡設備可以從防火墻與路由器上考慮。確保所有服務器采用最新系統(tǒng)，并打上安全補丁，計算機緊急響應協(xié)調中心發(fā)現(xiàn)，幾乎每個受到DDoS攻擊的系統(tǒng)都沒有及時打上補丁。 out 時間。確保運行在Unix主機上的所有服務都有TCP封裝程序，限制對主機的訪問權限。確保從服務器相應的目錄或文件數(shù)據(jù)庫中刪除未使用的服務，如FTP或NFS。不過這種方法也不是在所有的情況下都有效，因為很多DDoS的攻擊機制并不是建立在類似SYN Flood這樣以畸形連接淹沒隊列的方式之上的。前者可以緩解系統(tǒng)資源的耗盡，雖然不能完全避免拒絕服務的發(fā)生，但是至少在一定程度上降低了系統(tǒng)崩潰的可能性，而后者能夠加強系統(tǒng)的處理能力。另外，加強用戶的安全防范意識，提高網(wǎng)絡系統(tǒng)的安全性也是很重要的措施。防范與抵御DDoS攻擊對DDoS攻擊來說并沒有100％有效的防御手段。一般服務器都有關于帳戶鎖定的安全策略，比如，某個帳戶連續(xù)3次登陸失敗，那么這個帳號將被鎖定。這樣也可以塞滿硬盤空間。同時會讓管理員痛苦地面對大量的日志，甚至就不能發(fā)現(xiàn)入侵者真正的入侵途徑。 讓日志記錄滿。一般公司的服務器可能把郵件服務器和WEB服務器都放在一起。還有其他的DOS攻擊手段。 上面這些實施DOS攻擊的手段最主要的就是構造需要的TCP數(shù)據(jù)，充分利用TCP協(xié)議。直接導致當機。使得主機給自己發(fā)送TCP請求和連接。比如Win95 (winsock v1), Cisco IOS , 和其他過時的系統(tǒng)。Ping白宮？？你發(fā)瘋了啊！ ●自身消耗的DOS攻擊 這是一種老式的攻擊手法。不過是初級DOS攻擊。 ● 帶寬DOS攻擊如果你的連接帶寬足夠大而服務器又不是很大，你可以發(fā)送請求，來消耗服務器的緩沖區(qū)消耗服務器的帶寬。這時，服務器就已經(jīng)沒有這樣的連接了，該用戶就必須從新開始建立連接。假設現(xiàn)在有一個合法用戶()已經(jīng)同服務器建立了正常的連接，攻擊者構造攻擊的TCP數(shù)據(jù)，并向服務器發(fā)送一個帶有RST位的TCP數(shù)據(jù)段。實際上如果服務器的TCP/IP棧不夠強大，最后的結果往往是堆棧溢出崩潰即使服務器端的系統(tǒng)足夠強大，服務器端也將忙于處理攻擊者偽造的TCP連接請求而無暇理睬客戶的正常請求（畢竟客戶端的正常請求比率非常之小），此時從正?？蛻舻慕嵌瓤磥?，服務器失去響應，這種情況我們稱做：服務器端受到了SYN Flood攻擊（SYN洪水攻擊）。到此為止建立完整的TCP連接，開始全雙工模式的數(shù)據(jù)傳輸過程。服務端收到該TCP分段后，在第二步以自己的ISN回應(SYN標志置位)，同時確認
教學教案相關推薦
鄂ICP備17016276號-1