人人做人人澡人人爽欧美,国产主播一区二区,久久久精品五月天,羞羞视频在线观看免费

當前位置:蘿卜系統 > 網絡技術教程 > 詳細頁面

服務器防范拒絕服務攻擊妙招

服務器防范拒絕服務攻擊妙招

更新時間:2019-02-08 文章作者:未知 信息來源:網絡 閱讀次數:

網絡技術是從1990年代中期發展起來的新技術,它把互聯網上分散的資源融為有機整體,實現資源的全面共享和有機協作,使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機、存儲資源、數據資源、信息資源、知識資源、專家資源、大型數據庫、網絡、傳感器等。 當前的互聯網只限于信息共享,網絡則被認為是互聯網發展的第三階段。
目前網絡中有一種攻擊讓網絡管理員最為頭疼,那就是拒絕服務攻擊,簡稱DOS和DDOS。它是一種濫用資源性的攻擊,目的就是利用自身的資源通過一種放大或不對等的方式來達到消耗對方資源的目的。同一時刻很多不同的IP對服務器進行訪問造成服務器的服務失效甚至死機。

今天就筆者公司管理服務器的經驗為各位讀者介紹幾個簡單有效的防范拒絕服務攻擊的方法,雖然不能徹底防護,但在與DDOS的戰斗中可以最大限度降低損失。

1、如何發現攻擊

在服務器上可以通過CPU使用率和內存利用率簡單有效的查看服務器當前負載情況,如果發現服務器突然超負載運作,性能突然降低,這就有可能是受攻擊的征兆。不過也可能是正常訪問網站人數增加的原因。如何區分這兩種情況呢?按照下面兩個原則即可確定受到了攻擊。

(1)網站的數據流量突然超出平常的十幾倍甚至上百倍,而且同時到達網站的數據包分別來自大量不同的IP。

(2)大量到達的數據包(包括TCP包和UDP包)并不是網站服務連接的一部分,往往指向你機器任意的端口。比如你的網站是Web服務器,而數據包卻發向你的FTP端口或其它任意的端口。

2、BAN IP地址法

確定自己受到攻擊后就可以使用簡單的屏蔽IP的方法將DOS攻擊化解。對于DOS攻擊來說這種方法非常有效,因為DOS往往來自少量IP地址,而且這些IP地址都是虛構的偽裝的。在服務器或路由器上屏蔽攻擊者IP后就可以有效的防范DOS的攻擊。不過對于DDOS來說則比較麻煩,需要我們對IP地址分析,將真正攻擊的IP地址屏蔽。

不論是對付DOS還是DDOS都需要我們在服務器上安裝相應的防火墻,然后根據防火墻的日志分析來訪者的IP,發現訪問量大的異常IP段就可以添加相應的規則到防火墻中實施過濾了。

當然直接在服務器上過濾會耗費服務器的一定系統資源,所以目前比較有效的方法是在服務器上通過防火墻日志定位非法IP段,然后將過濾條目添加到路由器上。例如我們發現進行DDOS攻擊的非法IP段為211.153.0.0 255.255.0.0,而服務器的地址為61.153.5.1。那么可以登錄公司核心路由器添加如下語句的訪問控制列表進行過濾。

cess-list 108 deny tcp 211.153.0.0 0.0.255.255 61.135.5.1 0.0.0.0,這樣就實現了將211.153.0.0 255.255.0.0的非法IP過濾的目的。(如圖)

點擊看大圖

小提示:在訪問控制列表中表示子網掩碼需要使用反向掩碼,也就是說0.0.255.255表示子網掩碼為255.255.0.0 。

3、增加SYN緩存法

上面提到的BAN IP法雖然可以有效的防止DOS與DDOS的攻擊但由于使用了屏蔽IP功能,自然會誤將某些正常訪問的IP也過濾掉。所以在遇到小型攻擊時不建議大家使用上面介紹的BAN IP法。我們可以通過修改SYN緩存的方法防御小型DOS與DDOS的攻擊。該方法在筆者所在公司收效顯著。

修改SY緩存大小是通過注冊表的相關鍵值完成的。我們將為各位讀者介紹在WINDOWS2003和2000中的修改方法。

(1)WIN2003下拒絕訪問攻擊的防范:

第一步:“開始->運行->輸入regedit”進入注冊表編輯器。

第二步:找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services,在其下的有個SynAttackProtect鍵值。默認為0將其修改為1可更有效地防御SYN攻擊。

小提示:該參數可使TCP調整SYN-ACKS的重新傳輸。將SynAttackProtect設置為1時,如果系統檢測到存在SYN攻擊,連接響應的超時時間將更短。

第三步:將HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下EnableDeadGWDetect鍵值,將其修改為0。該設置將禁止SYN攻擊服務器后強迫服務器修改網關從而使服務暫停。

第四步:將HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下EnablePMTUDiscovery鍵值,將其修改為0。這樣可以限定攻擊者的MTU大小,降低服務器總體負荷。

第五步:將HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下KeepAliveTime設置為300,000。將NoNameReleaseOnDemand
設置為1。


(2)WIN2000下拒絕訪問攻擊的防范:

在WIN2000下拒絕訪問攻擊的防范方法和2003基本相似,只是在設置數值上有些區別。我們做下簡單介紹。

第一步:將SynAttackProtect設置為2。

第二步:將EnableDeadGWDetect設置為0。

第三步:將EnablePMTUDiscovery設置為0。

第四步:將KeepAliveTime設置為300000。

第五步:將NoNameReleaseOnDemand設置為1。

總結:經過上面介紹的察覺攻擊法,BAN IP法和最后的修改注冊表法可以有效的防范DOS與DDOS的攻擊。不過由于DDOS攻擊的特點,實際上沒有一臺服務器能夠徹底防范它,即使安裝了專業的防范DDOS的硬件防火墻也不能百分之百的避免損失。今天介紹的幾個方法只是免費的防范手段,實際中能起到一定的效果。


網絡的神奇作用吸引著越來越多的用戶加入其中,正因如此,網絡的承受能力也面臨著越來越嚴峻的考驗―從硬件上、軟件上、所用標準上......,各項技術都需要適時應勢,對應發展,這正是網絡迅速走向進步的催化劑。

溫馨提示:喜歡本站的話,請收藏一下本站!

本類教程下載

系統下載排行

網站地圖xml | 網站地圖html
主站蜘蛛池模板: 云阳县| 靖远县| 芦山县| 中卫市| 富锦市| 黔东| 开阳县| 隆回县| 珠海市| 循化| 宁强县| 信宜市| 平山县| 巫山县| 南川市| 虞城县| 定陶县| 县级市| 石阡县| 防城港市| 普兰店市| 高要市| 广西| 玉山县| 永昌县| 呼图壁县| 北京市| 西藏| 天峻县| 德昌县| 平泉县| 修武县| 临武县| 库伦旗| 双桥区| 油尖旺区| 马关县| 安乡县| 象州县| 宁武县| 丁青县|