黑龙江信息港云科技_电商技术服务,跨境电商运营与服务
黑龙江信息港云_黑龙江省专业IDC云数据服务中心

抵御DDoS攻击,IDC机房如何选择?今天教你一招!

发布日期:2018-03-15



本文将从三个方面(网络设施、防御方案、预防手段)来谈谈抵御DDoS攻击的些基本措施、防御思想及服务方案。


网络设备设施

网络架构、设施设备是整个系统得以顺畅运作的硬件基础,用足够的机器、容量去承受攻击,充分利用网络设备保护网络资源是种较为理想的应对策略,说到底攻防也是双方资源的比拼,在它不断访问用户、夺取用户资源之时,自己的能量也在逐渐耗失。相应地,投入资金也不小,但网络设施是切防御的基础,企业需要根据自身情况做出平衡的选择。
1.扩充带宽硬抗
  网络带宽直接决定了承受攻击的能力,国内大部分网站带宽规模在10M100M,知名企业带宽能超过1G,超过100G的基本是专门做带宽服务和抗攻击服务的网站,数量。但DDoS却不同,攻击者通过控制些服务器、个人电脑等成为肉鸡,如果控制1000台机器,每台带宽为10M,那么攻击者就有了10G的流量。当它们同时向某个网站发动攻击,带宽瞬间就被占满了。增加带宽硬防护是理论优解,只要带宽大于攻击流量就不怕了,但成本也是企业以承受之痛,国内非线城市机房带宽价格每月大约为几十元每兆,买10G带宽下就是几十万,因此许多企业调侃拼带宽就是拼人民币,以于很少有企业愿意花高价买大带宽做防御。

2.使用硬件防火墙
  许多企业会考虑使用硬件防火墙,针对DDoS攻击和黑客入侵而设计的专业级防火墙通过对异常流量的清洗过滤,可对抗SYN/ACK攻击、TCP全连接攻击、刷脚本攻击等等流量型DDoS攻击。如果企业网站饱受流量攻击的困扰,可以考虑将网站放到DDoS硬件防火墙机房。但如果网站流量攻击超出了硬防的防护范围(比如200G的硬防,但攻击流量有300G),洪水瞒过高墙同样抵挡不住。值得注意下,部分硬件防火墙基于包过滤型防火墙修改为主,只在网络层检查数据包,若是DDoS攻击上升到应用层,防御能力就比较弱了。

3.选用高性能设备

除了防火墙,服务器、路由器、交换机等网络设备的性能也需要跟上,若是设备性能成为瓶颈,即使带宽充足也无能为力。在有网络带宽保证的前提下,请尽量提升硬件配置。

 

二、有效的抗D思想及方案

硬碰硬的防御偏于鲁莽,通过架构布局、整合资源等方式提高网络的负载能力、分摊局部过载的流量,通过接入第三方服务识别并拦截恶意流量等等行为就显得更加理智,而且对抗效果良好。

1.负载均衡

  普通级别服务器处理数据的能力多只能答复每秒数十万个链接请求,网络处理能力很受限制。负载均衡建立在现有网络结构之上,它提供了种廉价有效透明的方法扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性,对DDoS流量攻击和CC攻击都很见效。CC攻击使服务器由于大量的网络传输而过载,而通常这些网络流量针对某个页面或个链接而产生。在企业网站加上负载均衡方案后,链接请求被均衡分配到各个服务器上,减少单个服务器的负担,整个服务器系统可以处理每秒上千万甚更多的服务请求,用户访问速度也会加快。
2. CDN流量清洗

  CDN是构建在网络之上的内容分发网络,依靠部署在各地的边缘服务器,通过中心平台的分发、调度等功能模块,使用户就近获取所需内容,降低网络拥塞,提高用户访问响应速度和命中率,因此CDN加速也用到了负载均衡技术。相比高防硬件防火墙不可能扛下无限流量的限制,CDN则更加理智,多节点分担渗透流量,目前大部分的CDN节点都有200G 的流量防护功能,再加上硬防的防护,可以说能应付目大多数的DDoS攻击了。

 

三、预防为主保安全

DDoS的发生可能永远都无法预知,而来就凶猛如洪水决堤,因此网站的预防措施和应急预案就显得尤为重要。通过日常惯性的运维操作让系统健壮稳固,没有漏洞可钻,降低脆弱服务被攻陷的可能,将攻击带来的损失降低到小。
1.筛查系统漏洞
  及早发现系统存在的攻击漏洞,及时安装系统补丁,对重要信息(如系统配置信息)建立和完善备份机制,对些特权账号(如管理员账号)的密码谨慎设置,通过系列的举措可以把攻击者的可乘之机降低到小。计算机紧急响应协调中心发现,几乎每个受到DDoS攻击的系统都没有及时打上补丁。统计分析显示,许多攻击者在对企业的攻击中获得很大成功,并不是因为攻击者的工具和技术如何,而是因为他们所攻击的基础架构本身就漏洞百出。
2.系统资源优化
  合理优化系统,避免系统资源的浪费,尽可能减少计算机执行少的进程,更改工作模式,删除不必要的中断让机器运行更有效,优化文件位置使数据读写更快,空出更多的系统资源供用户支配,以及减少不必要的系统加载项及自启动项,提高web服务器的负载能力。
3.过滤不必要的服务和端口
  就像防贼就要把多余的门窗关好封住样,为了减少攻击者进入和利用已知漏洞的机会,禁止未用的服务,将开放端口的数量小化就十分重要。端口过滤模块通过开放或关闭些端口,允许用户使用或禁止使用部分服务,对数据包进行过滤,分析端口,判断是否为允许数据通信的端口,然后做相应的处理。
4.限制特定的流量
  检查访问来源并做适当的限制,以防止异常、恶意的流量来袭,限制特定的流量,主动保护网站安全。

 

对抗DDoS攻击是个涉及很多层面的问题,抗D需要的不仅仅是个防御方案,个设备,而是个能制动的团队,个有效的机制。我们都听过句话——god helps those who help themselves. 天助自助者,因此面对攻击,大家需要具备安全意识,完善自身的安全防护体系才是正解。

随着互联网业务的越发丰富,可以预见DDoS攻击还会大幅度增长,攻击手段也会越来越复杂多样。安全是项长期持续性的工作,需要时刻保持种警觉,更需要全社会的共同努力。

 

黑龙江信息港是国内早专业从事互联网应用服务的高科技企业,拥有省内大的IDC机房资源,2000平米电信级数据中心机房、20年互联网行业成功经验,作为云平台思科合作伙伴,我们致力打造全国的IDC云服务品牌,为企业提供弹性、精准、高效、安全、稳定的IDC服务。

  作为IDC行业专业云平台服务商,我们还涵盖了云主机、服务器托管、服务器租用、机柜租用、大带宽、网站建设等服务,如果您有任何问题,可以随时与黑龙江信息港联系,或登录www.hljyun.cn查看我们的服务与新动态,在您企业发展壮大的过程中,我们愿助您臂之力!