【正文】 發(fā)送了第一次 Syn 后，不再發(fā)送第二次 Syn 信息，導(dǎo)致被攻擊者一直等待發(fā)送方的 Syn 信息直到超時(shí)，而攻擊方通過(guò)發(fā)送大量的 Syn 信息，導(dǎo)致被攻擊方 cpu 資源耗盡而無(wú)法提供正常服務(wù)。所有的攻擊中， TCP SYN 攻擊占全部 DDOS 攻擊的 90%左右，而其中攻擊流量較大的類型是 TCP SYN、 ICMP、 TCP RST。 DDOS 攻擊現(xiàn)象： ? 出現(xiàn) DDOS 網(wǎng)絡(luò)攻擊時(shí)，被攻擊端網(wǎng)絡(luò)及主機(jī)會(huì)出現(xiàn)一下的現(xiàn)象： 被攻擊主機(jī)上有大量等待的 TCP 連接 網(wǎng)絡(luò)中充斥著大量的無(wú)用的數(shù)據(jù)包，源地址為假 制造 高流量無(wú)用數(shù)據(jù)，造成網(wǎng)絡(luò)擁塞，使受害主機(jī)無(wú)法正常和外界通訊 利用受害主機(jī)提供的服務(wù)或傳輸協(xié)議上的缺陷，反復(fù)高速的發(fā)出特定的服務(wù)請(qǐng)求，使受害主機(jī)無(wú)法及時(shí)處理所有正常請(qǐng)求 嚴(yán)重時(shí)會(huì)造成系統(tǒng)死機(jī)，網(wǎng)絡(luò)嚴(yán)重?fù)砣? SYNFlood 是目前最流行的 DDoS 攻擊手段，利用了 TCP/IP 協(xié)議的固有漏洞。隨著計(jì)算機(jī)與網(wǎng)絡(luò)技術(shù)的發(fā)展，計(jì)算機(jī)的處理能力迅速增長(zhǎng)，內(nèi)存大大增加，同時(shí)也出現(xiàn)了千兆級(jí)別的網(wǎng)絡(luò)，這使得 DoS攻擊的困難程度加大了 目標(biāo)對(duì)惡意攻擊包的 消化能力 加強(qiáng)了不少，于是分布式的拒絕服務(wù)攻擊手段（ DDoS）就應(yīng)運(yùn)而生了。其原理如下圖一所示。 DDOS攻擊情況 DDOS 攻擊概念： ? DoS 的攻擊方式有很多種，最基本的 DoS 攻擊就是利用合理的服務(wù)請(qǐng)求來(lái)占用過(guò)多的服務(wù)資源，從而使合法用戶無(wú)法得到服務(wù)的響應(yīng)。 4)若由于設(shè)備板卡吊死等不明原因引起的故障，則將搜集至的設(shè)備告警和板卡狀態(tài)等信息上 報(bào)給區(qū)公司網(wǎng)運(yùn)部和網(wǎng)管中心，并將業(yè)務(wù)割接至備用板卡上。 2)若判斷為板卡電源模塊等硬件故障，需要確認(rèn)是否有冗余板位，如果有可以將業(yè)務(wù)調(diào)整到冗余板位；如果有可用端口，將故障端口割接到可用端口。在廠商確認(rèn)、區(qū)公司網(wǎng)運(yùn)部及區(qū)公司網(wǎng)管中心認(rèn)可后，在確定不會(huì)對(duì)現(xiàn)有業(yè)務(wù)有更嚴(yán)重影響的前提下，重啟部件或設(shè)備。 3)若為關(guān)鍵板件（如路由引擎、電源等）故障，且啟用冗余板位后業(yè)務(wù)仍不能恢復(fù)，立即調(diào) 撥備件，備件上架后，及時(shí)與區(qū)公司網(wǎng)運(yùn)部聯(lián)系，配置軟件信息，恢復(fù)業(yè)務(wù)。 ME60出現(xiàn)異常 的方法先將業(yè)務(wù)恢復(fù)至正常的設(shè)備上， ，應(yīng)積極區(qū)公司的指揮調(diào)度，做好現(xiàn)場(chǎng)維護(hù)工作； ： 1)嘗試用 tel、遠(yuǎn)程撥號(hào)方式登陸，查看告警路由器告警信息，并根據(jù)在現(xiàn)場(chǎng)看到的設(shè)備面板告警信息，判斷障礙點(diǎn)。 4)若由于設(shè)備板卡吊死等不明原因引起的故障，則將搜集至的設(shè)備告警和板卡狀態(tài)等信息上報(bào)給區(qū)公司網(wǎng)運(yùn)部和網(wǎng)管中心，并將業(yè)務(wù)割接至備用板卡上。 2)若判斷為板卡電源模塊等硬件故障，需要確認(rèn)是否有冗余板位，如果有可以將業(yè)務(wù)調(diào)整到冗余板位；如果有可用端 口，將故障端口割接到可用端口。 （此條適用于大匯聚通過(guò)裸光纖上行至 BRAS） d．若是整機(jī)故障，第一時(shí)間將另一局點(diǎn)正常運(yùn)行的 BRAS 通過(guò)光纖連至傳輸7500/3500，協(xié)調(diào)傳輸人員將 8905 上行業(yè)務(wù)通道做到此正常的 BRAS 上，將PPPOE 業(yè)務(wù)或者 Wlan 業(yè)務(wù)全部強(qiáng)制倒換至這臺(tái)正常 的 BRAS 進(jìn)行認(rèn)證；為快速切換業(yè)務(wù)要提前布放 BRAS 至傳輸設(shè)備的光纖。 火車站 NE80E 至通遼 Cisco 12416 POS 電路故障 立即上報(bào)內(nèi)蒙古區(qū)公司網(wǎng)管中心及運(yùn)維部，如果 POS 鏈路中斷后，所有出城域網(wǎng)流量都會(huì)通過(guò)中心機(jī) 房 NE80E至 呼市 M320的 POS鏈路 轉(zhuǎn)發(fā)所以此時(shí)需密切注意 中心機(jī)房 NE80E 至 呼市 M320 的 POS 鏈路流量情況；查看傳輸網(wǎng)管，如果是傳輸電路中斷引起的，則協(xié)調(diào)傳輸專業(yè)盡快處理；如果是NE80E 路由器設(shè)備或單板故障，應(yīng)積極區(qū)公司的指揮調(diào)度，做好現(xiàn)場(chǎng)維護(hù)工作，盡快解決問(wèn)題。 當(dāng)中心機(jī)房 NE80E至呼市 M320出現(xiàn)中斷時(shí)，中心機(jī)房 NE80E至通遼 Cisco 12416 流量圖： 應(yīng)急處置 （ 1）應(yīng)急管理調(diào)動(dòng)處理流程 數(shù)據(jù)網(wǎng)絡(luò)主要包括 IP 網(wǎng)絡(luò)、基礎(chǔ)網(wǎng)絡(luò)以及相關(guān)的后臺(tái)支撐系統(tǒng)，在以上網(wǎng)絡(luò)或系統(tǒng)發(fā)生緊急網(wǎng)絡(luò)故障時(shí)，網(wǎng)絡(luò)維護(hù)部負(fù)責(zé)牽頭啟動(dòng)應(yīng)急調(diào)動(dòng)預(yù)案進(jìn)行故障處理的調(diào)度，現(xiàn)場(chǎng)維護(hù)部分按照相應(yīng)的緊急故障處理預(yù)案處理故障 。 ①數(shù)據(jù)鏈路連通性測(cè)試 A、連通性及時(shí)延、丟包測(cè)試 ping – t 測(cè)試 （目前我省訪問(wèn) 網(wǎng)站的 IP 地址： ，用于檢測(cè) 鄂爾多斯 NE80E 與省干設(shè)備鏈路狀況 ） ping – t 天津 DNS 測(cè)試 1 （用于檢測(cè) 鄂爾多斯 NE80E 與省干設(shè)備鏈路狀況，以及測(cè)試天津 DNS 是否可達(dá)，我省主用 DNS 是天津 DNS） ping – t 山東 DNS (測(cè)試山東 DNS 是否可達(dá) , 我省備用 DNS 是山東 DNS) ② 路由測(cè)試 A、 tracert 網(wǎng)站： B、 tracert 天津 DNS: ③網(wǎng)管監(jiān)控情況 鄂爾多斯 IP 城域網(wǎng)后期可以利用的監(jiān)控終端有 N2021 網(wǎng)管做實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)情況， N2021 網(wǎng)管 可以監(jiān)控到 IP 網(wǎng)的城域網(wǎng)核心層、業(yè)務(wù)控制層以及匯聚接入層所有華為設(shè)備，并可通過(guò) N2021 網(wǎng)管直接管理這些設(shè)備；通過(guò) Netcool 告警平臺(tái)可以實(shí)時(shí)監(jiān)控省骨干層所有設(shè)備的運(yùn)行情況，通過(guò) IP 三期網(wǎng)管系統(tǒng)可以實(shí)時(shí)監(jiān)控 鄂爾多斯出城域網(wǎng)流量、 鄂爾多斯 互聯(lián)中繼流量、以及城域網(wǎng)各匯聚設(shè)備的流量的出入平均和峰值流量。 三、運(yùn)行機(jī)制 預(yù)警機(jī)制 （ 1）網(wǎng)絡(luò)分析評(píng)估 鄂爾多斯 針對(duì)網(wǎng)絡(luò)安全進(jìn)行分析的工作機(jī)制和相關(guān)管理制度如下： 規(guī)定由網(wǎng)絡(luò)監(jiān)控人員通過(guò)數(shù)據(jù)網(wǎng)管 7*24小時(shí)對(duì)全省數(shù)據(jù)網(wǎng)（城域網(wǎng) BAS設(shè)備到省出口間的各級(jí)電路流量、設(shè)備性能）進(jìn)行監(jiān)控；每周 /月對(duì)全市 總出入流量、盟市出入流量、 155M電路出入流量、 路出入流量進(jìn)行分析 ,針對(duì)帶寬能力進(jìn)行分析、平均流速和峰值流速進(jìn)行分析，確定是否設(shè)備資源使用情況，帶寬利用率、是否需要擴(kuò)容、流量異常增長(zhǎng)下降原因等。 技術(shù)支撐隊(duì)伍與職責(zé) 技術(shù)支撐隊(duì)伍： 區(qū)公司網(wǎng)運(yùn)部、 鄂爾多斯 網(wǎng)運(yùn)部 職責(zé)： 負(fù)責(zé)應(yīng)急預(yù)案中涉及城域網(wǎng)設(shè)備的預(yù)案實(shí)施； 解決 鄂爾 多斯 分公司申請(qǐng)支撐的技術(shù)問(wèn)題。 （ 2）應(yīng)急預(yù)案體系 城域網(wǎng)數(shù)據(jù)網(wǎng)整體應(yīng)急預(yù)案 城域網(wǎng)核心 業(yè)務(wù)控制層 匯聚接入層 電路中斷 設(shè)備故障 路由異常 電路中斷 設(shè)備故障 路由異常 電路中斷 設(shè)備故障 路由異常 二、組織體系 領(lǐng)導(dǎo)機(jī)構(gòu)與職責(zé) 領(lǐng)導(dǎo)機(jī)構(gòu)： 網(wǎng)運(yùn)部主任： 燕龍 區(qū)公司數(shù)據(jù)專業(yè)主管：狄光 職責(zé)： 組織應(yīng)急預(yù)案的定期更新； 協(xié)調(diào)處理預(yù)案實(shí)施、演練等工作。 工作原則 本預(yù)案工作原則：優(yōu)先恢復(fù)業(yè)務(wù)原則 ；城域網(wǎng)核心優(yōu)先于業(yè)務(wù)控制層，業(yè)務(wù)控制層優(yōu)先于匯聚接入層原則；按照業(yè)務(wù)重要等級(jí)優(yōu)先恢復(fù)原則；按照用戶服務(wù)等級(jí)優(yōu)先恢復(fù)原則。 分類分級(jí) 本預(yù)案按照網(wǎng)絡(luò)層次分級(jí)， 鄂爾多斯 電信數(shù)據(jù) IP 網(wǎng)分為：城域網(wǎng)核心 層 、業(yè)務(wù)控制層、匯聚接入層。 鄂爾多斯 電信 2021年城域網(wǎng)應(yīng)急預(yù)案 2021年 8月 目錄 一、總則 ........................................................................................................................................................................... 3 編制目的 .................................................................................................................................................................3 編制依據(jù) ....