All about DDoS(拒绝服务攻击)
拒绝服务攻击(英语:denial-of-service attack,缩写为 DoS),亦称洪水攻击,是一种恶意的网络攻击手法,其目标在于使连接上网络的目标电脑的网络资源及系统资源耗尽,使这个连上网络的主机暂时中断或停止服务,使它无法对正常用户提供服务。
DDoS攻击层出不穷,技术门槛低,恶性的商业竞争,需求强烈。 目前这是一个非常完整的产业链(上游人员早已身居海外,远程遥控指挥行动,根本无法查处),他们手上控制了大量的攻击资源,并且攻击资源本身就来自于IDC。攻击者为了快速牟利,本身也喜欢和推荐这种直接了当的方式来对目标进行打击,在发动攻击时,他们能够调集到多个IDC的带宽资源来对目标打击(这一现象也折射出了当前国内不规范的IDC管理)。
从这一角度来看,被打击方永远都处于弱势地位,以势单力薄的架构和极其有限的资源,根本无法抵抗强大的集群资源攻击。
带宽消耗型以及资源消耗型。
它们都是透过大量合法或伪造的请求占用大量网络以及器材资源,以达到瘫痪网络以及系统的目的。
带宽消耗型攻击目的在于堵住带宽,让正常的用户流量到达不了服务器。 如某服务器托管与某机房,机房的出口带宽为10G,如果使用DDoS攻击打大于10G的流量给这个服务器,将导致该机房所有服务中断。
带宽消耗攻击为致命攻击,危害极大,可以通过增加带宽,上游发现并丢弃攻击流量,和CDN共同配合阻止攻击,会有一定效果,但是攻击流量足够大时,基本无解。
攻击手段主要有UDPflood,ICMP flood和近期比较流行的 NTP 放大攻击。
资源消耗型目的在于消耗系统的内存或CPU资源,使系统无法响应正常的用户请求。 如TCP SYNFlood, Land Attrack 以及新型的应用级别的攻击如CC(http get)攻击等。
资源消耗型攻击相比带宽消耗型的攻击不算致命,但是手段不断更新,不过随着各种软硬件防火墙功能升级,以及各种级别(L4-L7)负载均衡程序的逐步升级, 该类攻击正处于拉锯战中。
有兴趣的可参考下面具体的攻击方式:
· Methods ofattack
o 1 Internet Control Message Protocol(ICMP) flood
o 2 (S)SYN flood
o 3 Teardrop attacks
o 4 Peer-to-peer attacks
o 5 Asymmetryof resource utilization in starvation attacks
o 6 Permanent denial-of-service attacks
o 7 Application-level floods
o 8 Nuke
o 9 HTTP POSTDDOS attack
o 10 R-U-Dead-Yet?(RUDY)
o 11 SlowRead attack
o 12 Distributedattack
o 13 Reflected/ spoofed attack
o 14 Telephonydenial-of-service
o 15 Unintentionaldenial-of-service
o 16 Denial-of-serviceLevel II
o 17 AdvancedPersistent DoS (APDoS)
o 18 NTP reflected / spoofed attack
o 19 CC (Challenge Collapsar)attack (HTTP Get)
DDoS的防御工作需要一整套协作的系统共同完成,如服务器前端的负载均衡器,软硬件防火墙,本地交换机/路由器,以及上游主管设备和CDN, 整体共同工作, 建立一套DDoS检测,预警,防御和反击(高级别)的系统。
DDoS的攻击和防御,比较赞同知乎上一位网友的观点:
“魔高一尺,道高一丈,道高一尺,魔高一丈。道消魔涨,魔消道涨,道涨魔消,魔涨道消。
这不是绕口令,这也是事实,是说攻击成本和防御成本:防御做的越完善,攻击者消耗的成本越高,被发现的风险也越大;攻击做的越好,防御所付出的代价越大,追踪越难。“
可参考两个DDoS防御系统的例子:
a,阿里DDOS攻防体系建设
Slides:http://share.csdn.net/slides/437
Video:http://v.youku.com/v_show/id_XNTQzODUzMzU2.html
B,自建CDN防御DDoS
CDN
自建CDN防御DDoS
http://www.infoq.com/cn/articles/anti-ddos-cdn-1
http://www.infoq.com/cn/articles/anti-ddos-cdn-2
http://www.infoq.com/cn/articles/anti-ddos-cdn-3
最后来看个知乎上的例子:
http://www.zhihu.com/question/22259175
------------------------------------------------------------------------
· 某饭店可以容纳100人同时就餐,某日有个商家恶意竞争,雇佣了200人来这个饭店坐着不吃不喝,导致饭店满满当当无法正常营业。(DDOS攻击成功)
· 老板当即大怒,派人把不吃不喝影响正常营业的人全都轰了出去,且不再让他们进来捣乱,饭店恢复了正常营业。(添加规则和黑名单进行DDOS防御,防御成功)
· 主动攻击的商家心存不满,这次请了五千人逐批次来捣乱,导致该饭店再次无法正常营业。(增加DDOS流量,改变攻击方式)
· 饭店把那些捣乱的人轰出去只后,另一批接踵而来。此时老板将饭店营业规模扩大,该饭店可同时容纳1万人就餐,5000人同时来捣乱饭店营业也不会受到影响。(增加硬防与其抗衡)
DDOS是Distributed Denial of Service的缩写,翻译成中文是“分布式拒绝服务“攻击,网络中的DDOS攻击与防御与上面例子所述差不多,DDOS只不过是一个概称,其下有各种攻击方式。
DDoS(分布式拒绝服务)攻击是无解的吗?
http://www.zhihu.com/question/26741164
Denial-of-service attack
http://en.wikipedia.org/wiki/Denial-of-service_attack
http://zh.wikipedia.org/zh-cn/%E9%98%BB%E6%96%B7%E6%9C%8D%E5%8B%99%E6%94%BB%E6%93%8A
浅谈基于 NTP 的反射和放大攻击
http://drops.wooyun.org/papers/926
CC攻击(ChallengeCollapsar)是DDOS(分布式拒绝服务)的一种
http://www.jikewu.com/archives/24/546.html
Cefinity CEO谈数据中心DDoS防护
http://v.youku.com/v_show/id_XNjA1NDAyNDE2.html
自建CDN防御DDoS(1):知己知彼,建设持久防线
自建CDN防御DDoS(2):架构设计、成本与部署细节
自建CDN防御DDoS(3):架构的后续改进
Content delivery network
http://zh.wikipedia.org/zh/%E5%85%A7%E5%AE%B9%E5%82%B3%E9%81%9E%E7%B6%B2%E8%B7%AF
http://en.wikipedia.org/wiki/Content_delivery_network
使用bind构建高可用智能DNS服务器
http://wenku.baidu.com/view/dab18a0b79563c1ec5da710e.html