網路如何應對DDoS攻擊

某公司網路系統受到ddos攻擊，其攻擊流量高達60～70mbps，攻擊報文到達11萬pps，如下圖所示：

圖一攻擊流量示意圖

從上圖可以看出，從internet而來的流量（綠色）中只有很少部分流量是使用者正常流量（籃線），籃線以上部分為ddos攻擊流量。如果對於頻寬比較緊張的市公司來說，無疑會形成嚴重的網路擁塞，造成大面積的使用者投訴。

攻擊報文分析

針對圖二的攻擊流量，在所接網咖交換機進行埠映象後抓包，下圖為攻擊包解析截圖。

圖二攻擊報文分析圖

可以看出，此攻擊為攻擊機傳送大量無標誌位（標誌位設定為全0，圖中紅框重點標出）的畸形tcp報文。用大量發包的方式來耗盡網咖伺服器資源，導致網咖不能正常上網。

攻擊防範措施

1．在遭遇ddos攻擊時，通常會選擇直接丟棄資料報的過濾手段。通過改變資料流的傳送方向，將其丟棄在乙個資料「黑洞」中，以阻止所有的資料流。這種方法的缺點是所有的資料流(不管是合法的還是非法的)都被丟棄，業務應用被中止。

資料報過濾和速率限制等措施同樣能夠關閉所有應用，拒絕為合法使用者提供接入。這樣做的結果很明顯，就是「因噎廢食」，可以說是恰恰滿足了黑客的心願。

2．安裝專業防火牆進行非法流量過濾

在上述攻擊例項中，我們架設了防ddos攻擊裝置進行非法流量的過濾，拓撲圖如圖三所示，起到了不錯的效果，保護了網咖的正常營業，但是攻擊流量一直流向到防火牆，占用都會網路頻寬嚴重。

圖三 ddos防火牆安裝示意圖

及早發現系統存在的攻擊漏洞、及時安裝系統補丁程式，以及不斷提公升網路安全策略，都是防範ddos攻擊的有效辦法。

儘管目前以ddos為代表的黑客攻擊仍舊氣焰囂張，但是在可以預見的將來，廣大使用者手中握緊的安全利刃必定可以斬斷ddos的魔爪。