面对DDoS攻击只能被动接受？防御DDoS新思路你该看一看

近年来DDoS攻击频频发生，很多企业都不知如何防御DDoS攻击，同时基于DDoS攻击的勒索事件也在上演，攻击者要求企业支付勒索金额以免受攻击。至此，DDoS攻击的危害已从使网络瘫痪造成业务损失，演变成了赤裸裸的金钱勒索，只能选择被动接受。

一直以来，安全的核心问题都是攻防双方的成本博弈。DDoS攻击是一种实施成本较低且技术手段最为容易的恶意攻击方式，近年来，DDoS/CC攻击在激烈商业竞争的推动下，不断呈现复杂化、智能化、工具化的特点，使得传统防御方式无力应对，成为互联网行业的主要威胁。

自DDoS爆发以来，众多安全厂商纷纷给出了防御方案，防御的攻击流量峰值不断被刷新，人心惶惶的同时，安全厂商的作用似乎逐渐突显。然而，这对企业来说意味什么呢？意味着不可预知的更高攻击峰值，无法预测的防御效果，以及不可控的高额防御成本！

为什么这么说？让我们先看看传统的DDoS防御方案是怎么防御DDoS攻击的。目前比较普遍的方案主要是两种：高防机房和IP跳变方案。

首先来说高防机房，这个大家都知道，最为传统的防御DDoS方案，通过在机房部署DDoS防护设备，对访问服务器的流量进行清洗来实现防御。无论现在市场上的高防机房有什么样的优化与改进，这种方案总摆脱不了几个致命的缺陷：1、通过特征规则过滤或行为分析来识别威胁，属于事后的解决方法，永远无法解决不断变化的攻击手段；2、通过大带宽来清洗，带宽资源池必须大于攻击带宽，因此对于超大流量攻击略显乏力，同时企业的防护成本完全不可控。

再来说IP跳变的方案，这种方案相比较高防机房进阶了不少，通过分布式防护节点分流，可以灵活调度，智能防御。可是缺点是什么呢？1、资源是有限的，企业的防护能力受限于购买的防护节点数，也就是说超过所购买的防护节点防御能力的攻击，是防不住的，所以企业可能面临高额的防护费用，以及甚至不知道应该购买多少才能抵御未知的威胁的问题；2、必须通过调度中心进行调度，这就给攻击者提供了明确的攻击点，无论安全厂商如何宣称调度中心的安全性，与众多的安全事件一样，这都是无法预知的风险点。

随着安全威胁的越来越不可知，使用颠覆性的技术思路来解决困扰业界20多年的互联网安全问题，已经成为企业的最终需求，也是安全厂商追求的最终目标。这一两年，创新型的安全厂商层出不穷，每一项技术创新都可圈可点，但是令人遗憾的是，这些创新都是在某一个领域，或是某一个攻击点进行的创新，可以解决局部的安全问题。而企业的安全需求往往是全面的，一揽子方案解决所有问题，永无后患，而不是像现在这样，需要购买不同安全厂商的不同产品，不断对接，面对安全问题还要找不同的厂商定位解决。

全新的防御DDoS思路应该不依赖规则，事前防御的思路，可以向除DDoS外的其他安全领域扩展，打破现有传统安全思维桎梏，带给企业一个真正干净的网络：在互联网和云之间构建一个弹性安全区域（Elastic Security Zone, ESZ），打破安全防护对特征规则的依赖，将安全威胁完全屏蔽在ESZ之外。

这种方案可以完全可以不关心攻击流量大小，彻底防住任何DDoS/CC攻击。具体的实现方法是通过可弹性扩缩的分布式云防护节点，在用户与防护节点之间建立加密的IP隧道，准确识别合法报文，阻止非法流量进入，彻底防御CC攻击等资源消耗型攻击。同时，智能识别并屏蔽恶意泄露IP终端，使攻击行为始终处于自耗尽状态。当发生超大流量攻击时，可根据影响范围，迅速将业务分摊到未受影响的节点。当受影响节点修复后，会自动上线并将业务流量导入。这类似于人类的细胞再生修复原理，当其中的部分细胞受到病毒攻击坏死时，健康细胞会自动接管所有工作。同时，细胞本身具备再生修复的能力，再生细胞修复后可迅速重新开始工作。

常见防御DDoS的措施都有它们的优点和缺点，现在的DDoS发起方式越来越简单化，成本也越来越低，导致同行业的竞争对手对别家的企业攻击也越来越频繁还非常方便，那企业自身防御攻击就要根据自己的实际情况去选择一款适合自己的防御方式，以用来保障企业的运行能够正常。

本文来自：https://www.zhuanqq.com/News/Industry/363.html