通经络 拒绝服务不可怕

安全 应用安全
《黄帝内经》载:“经脉者,人之所以生,病之所以成,人之所以治,病之所以起”,其作者为“决生死,处百病,调虚实,不可不通”,诚为人体最为重要一个组成部分。经脉一旦不通,各种疾病就会纷至沓来。拒绝服务/分布式拒绝服务从其影响来看,和经脉不通有异曲同工的表现形式:整个网站系统对外服务不可用,几乎就可以认为网站“死了”。

《黄帝内经》载:“经脉者,人之所以生,病之所以成,人之所以治,病之所以起”,其作者为“决生死,处百病,调虚实,不可不通”,诚为人体最为重要一个组成部分。经脉一旦不通,各种疾病就会纷至沓来。拒绝服务/分布式拒绝服务从其影响来看,和经脉不通有异曲同工的表现形式:整个网站系统对外服务不可用,几乎就可以认为网站“死了”。

下面是一则示例:

某省移动公司信息技术部总经理D先生在近日就遇到拒绝服务攻击的麻烦:用户投诉说网站访问太慢,动不动就超时断开连接。这个问题该如何处理呢?

说到拒绝服务攻击,相信大家都不陌生。在所有的骇客攻击行为中,这种攻击显得颇为特立独行:因为它是一种损人不利己的攻击行为。

典型的拒绝服务表现:正常服务请求无法得到满足,比如访问缓慢,无响应等,严重情况下甚至会有服务器死机现象。

除了常说的拒绝服务之外,还有另外一种防范更为困难的分布式拒绝服务。分布式拒绝服务是指借助客户端/服务器技术,联合多个(常常可达数万个)计算机作为一个攻击平台,对目标发起拒绝服务攻击,由于受控的攻击机器(就是我们通常所谓的傀儡机)数量庞大,极端情况下即使每台傀儡机都只发送正常服务请求,目标机器也有可能由于资源过载而无法正常提供服务。

有人认为,拒绝服务绝对无法避免,其实不尽然,根据触发原因的不同,某些拒绝服务是可以避免的,有一种情况是由于错误配置或系统BUG导致的。错误配置造成的拒绝服务攻击可以通过修正配置来避免,系统BUG造成的拒绝服务攻击可以通过打修正BUG的补丁来避免。

注意:

1. 错误配置:某服务器系统配置支持1000个用户同时连接,但在该服务器上的系统软件上,并未对用户连接数上限做限制,导致同时连接用户数量过多,服务器响应缓慢。

2. 系统BUG:这里的系统可能是软件可能是协议,最著名的导致拒绝服务攻击的系统BUG就是TCP的三次握手,攻击者可以伪造大量源地址进行持续的TCP的SYN请求,在接受到服务器端ACK回应时不做任何响应,使得服务器需要保持大量的端口监听状况,从而造成拒绝服务。

根据拒绝服务类型的不同,大致有以下常见类型:

网络宽带消耗型攻击:由于大量的网络服务请求占用和耗尽了带宽资源,导致的拒绝服务攻击。通过抓包可以看到网络中存在大量数据包,达到网络通讯量的上限。一般来说可以通过修改服务器配置或使用QoS设备来降低此类攻击危害。

一般来说,在服务器上做的配置包括:

·关闭不必要的服务

·限制同时打开的Syn半连接数

·缩短Syn半连接的time out时间

在网关设备上做的配置包括:

防火墙

·禁止对主机的非开放服务的访问

·限制同时打开的Syn最大连接数

·限制特定IP地址的访问

·启用防火墙的防DDoS的属性

·严格限制对外开放的服务器的向外访问

路由器

·Cisco Express Forwarding(CEF)

·使用unicast reverse-path

·访问控制列表(ACL)过滤

·设置Syn数据包流量速率

·升级版本过低的ISO

·为路由器建立log server

通常情况下,针对带宽消耗型拒绝服务/分布式拒绝服务的最佳防御位置是在运营商处,通过在路由器上对数据包源IP地址进行验证,如未找到匹配项就予以丢弃,这样可以最大限度保证伪造的数据包不会通过Internet传到用户网络中。但这种方法将极大降低路由器的处理性能,故应用不多。

资源耗尽型攻击:利用处理缺陷,通过发送数据包耗尽CPU等处理资源,导致无法正常提供服务。网络流量并不大,但服务器的资源占用率极高,如CPU时间100%。Jolt2.c就是这样的一种攻击行为。

资源消耗型的攻击相对来说易于防御,串接在网络中的设备只要能对畸形数据包进行分析和丢弃,就可以避免此类攻击。入侵防御产品,甚至是防火墙产品都具备此项功能。

一些重要网站,或是在一些重大事件期间,网站无法访问将会带来非常严重的影响。带宽消耗型拒绝服务,尤其是那些利用大规模僵尸网络进行的攻击行为,几乎无法从“直接防御”这个角度进行防护,这种情况下,较好的应对措施就是增加服务的提供能力,如采用增加宽带、提高计算性能、冗余备份、负载均衡手段,常见的大型门户网站基本都是采用这种方法来应对拒绝服务威胁。

保持经络畅通,是一种养生学态度,需要常运动,保持心情愉悦,练气功,使用活血理气的食物,发现有异常及时处理;而保持网站不被拒绝服务,也需要从多个角度出发:增加带宽、调整网络设备策略。

【编辑推荐】

  1. DDOS拒绝服务攻击终极防御导航器
  2. 对拒绝服务攻击现状的深入解析
  3. 对IIS Newdsn.exe 拒绝服务攻击漏洞的详细介绍
  4. 当拒绝服务攻击遇到云:4个教训

 

责任编辑:佟健 来源: 启明星辰
相关推荐

2011-03-03 11:26:09

2009-10-24 10:29:56

2009-10-22 11:28:38

2009-08-29 16:45:27

2009-10-27 14:17:49

2010-01-15 11:21:12

2015-08-21 10:11:25

2012-08-20 10:15:44

2009-07-12 16:50:08

2011-12-29 09:21:09

TomcatHashtable

2009-10-29 13:24:41

2010-10-09 14:15:47

2016-11-01 23:36:14

2013-05-17 10:43:32

2010-07-16 15:01:53

2009-07-12 16:24:57

2009-10-25 12:40:29

2009-10-21 14:31:15

漏洞补丁

2011-08-11 09:02:58

2010-01-13 10:36:42

点赞
收藏

51CTO技术栈公众号