什么是 DDoS 攻擊？遇到DDoS攻擊把服務(wù)器攻擊癱瘓了怎么辦？
DDoS 攻擊：全稱(chēng)Distributed Denial of Service，中文意思為“分布式拒絕服務(wù)”，就是利用大量合法的分布式服務(wù)器對目標發(fā)送請求，從而導致正常合法用戶(hù)無(wú)法獲得服務(wù)。通俗點(diǎn)講就是利用網(wǎng)絡(luò )節點(diǎn)資源如：idc服務(wù)器、個(gè)人PC、手機、智能設備、打印機、攝像頭等對目標發(fā)起大量攻擊請求，從而導致服務(wù)器擁塞而無(wú)法對外提供正常服務(wù)，只能宣布game over，詳細描述如下圖所示：
DDoS攻擊示意圖
2、黑客為什么選擇DDoS
不同于其他惡意篡改數據或劫持類(lèi)攻擊，DDoS簡(jiǎn)單粗暴，可以達到直接摧毀目標的目的。另外，相對其他攻擊手段DDoS的技術(shù)要求和發(fā)動(dòng)攻擊的成本很低，只需要購買(mǎi)部分服務(wù)器權限或控制一批肉雞即可，而且攻擊相應速度很快，攻擊效果可視。另一方面，DDoS具有攻擊易防守難的特征，服務(wù)提供商為了保證正?？蛻?hù)的需求需要耗費大量的資源才能和攻擊發(fā)起方進(jìn)行對抗。這些特點(diǎn)使得DDoS成為黑客們手中的一把很好使的利劍，而且所向霹靂。
從另一個(gè)方面看，DDoS雖然可以侵蝕帶寬或資源，迫使服務(wù)中斷，但這遠遠不是黑客的正真目的。所謂沒(méi)有買(mǎi)賣(mài)就沒(méi)有殺害，DDoS只是黑客手中的一枚核武器，他們的目的要么是敲詐勒索、要么是商業(yè)競爭、要么是要表達政治立場(chǎng)。在這種黑色利益的驅使下，越來(lái)越多的人參與到這個(gè)行業(yè)并對攻擊手段進(jìn)行改進(jìn)升級，致使DDoS在互聯(lián)網(wǎng)行業(yè)愈演愈烈，并成為全球范圍內無(wú)法攻克的一個(gè)頑疾。
3、DDoS的攻擊方式
一種服務(wù)需要面向大眾就需要提供用戶(hù)訪(fǎng)問(wèn)接口，這些接口恰恰就給了黑客有可乘之機，如：可以利用TCP/IP協(xié)議握手缺陷消耗服務(wù)端的鏈接資源，可以利用UDP協(xié)議無(wú)狀態(tài)的機制偽造大量的UDP數據包阻塞通信信道……可以說(shuō)，互聯(lián)網(wǎng)的世界自誕生之日起就不缺乏被DDoS利用的攻擊點(diǎn)，從TCP/IP協(xié)議機制到CC、DNS、NTP反射類(lèi)攻擊，更有甚者利用各種應用漏洞發(fā)起更高級更精確的攻擊。
從DDoS的危害性和攻擊行為來(lái)看，我們可以將DDoS攻擊方式分為以下幾類(lèi)：
a）資源消耗類(lèi)攻擊
資源消耗類(lèi)是比較典型的DDoS攻擊，最具代表性的包括：Syn Flood、Ack Flood、UDP
Flood。這類(lèi)攻擊的目標很簡(jiǎn)單，就是通過(guò)大量請求消耗正常的帶寬和協(xié)議棧處理資源的能力，從而達到服務(wù)端無(wú)法正常工作的目的。
b）服務(wù)消耗性攻擊
相比資源消耗類(lèi)攻擊，服務(wù)消耗類(lèi)攻擊不需要太大的流量，它主要是針對服務(wù)的特點(diǎn)進(jìn)行精確定點(diǎn)打擊，如web的CC，數據服務(wù)的檢索，文件服務(wù)的下載等。這類(lèi)攻擊往往不是為了擁塞流量通道或協(xié)議處理通道，它們是讓服務(wù)端始終處理高消耗型的業(yè)務(wù)的忙碌狀態(tài)，進(jìn)而無(wú)法對正常業(yè)務(wù)進(jìn)行響應，詳細示意圖如下：
服務(wù)消耗類(lèi)攻擊
c）反射類(lèi)攻擊
反射攻擊也叫放大攻擊，該類(lèi)攻擊以UDP協(xié)議為主，一般請求回應的流量遠遠大于請求本身流量的大小。攻擊者通過(guò)流量被放大的特點(diǎn)以較小的流量帶寬就可以制造出大規模的流量源，從而對目標發(fā)起攻擊。反射類(lèi)攻擊嚴格意義上來(lái)說(shuō)不算是攻擊的一種，它只是利用某些服務(wù)的業(yè)務(wù)特征來(lái)實(shí)現用更小的代價(jià)發(fā)動(dòng)Flood攻擊，詳細示意圖如下：
反射類(lèi)攻擊
d）混合型攻擊
混合型攻擊是結合上述幾種攻擊類(lèi)型，并在攻擊過(guò)程中進(jìn)行探測選擇最佳的攻擊方式?；旌闲凸敉殡S這資源消耗和服務(wù)消耗兩種攻擊類(lèi)型特征。
4、DDoS防護困難
一方面，在過(guò)去十幾年中，網(wǎng)絡(luò )基礎設施核心部件從未改變，這使得一些已經(jīng)發(fā)現和被利用的漏洞以及一些成成熟的攻擊工具生命周期很長(cháng)，即使放到今天也依然有效。另一方面，互聯(lián)網(wǎng)七層模型應用的迅猛發(fā)展，使得DDoS的攻擊目標多元化，從web到DNS，從三層網(wǎng)絡(luò )到七層應用，從協(xié)議棧到應用app，層出不窮的新產(chǎn)品也給了黑客更多的機會(huì )和突破點(diǎn)。再者DDoS的防護是一個(gè)技術(shù)和成本不對等的工程，往往一個(gè)業(yè)務(wù)的DDoS防御系統建設成本要比業(yè)務(wù)本身的成本或收益更加龐大，這使得很多創(chuàng )業(yè)公司或小型互聯(lián)網(wǎng)公司不愿意做更多的投入。
5、DDoS防護手段
DDoS的防護系統本質(zhì)上是一個(gè)基于資源較量和規則過(guò)濾的智能化系統，主要的防御手段和策略包括：
a）資源隔離
資源隔離可以看作是用戶(hù)服務(wù)的一堵防護盾，這套防護系統擁有無(wú)比強大的數據和流量處理能力，為用戶(hù)過(guò)濾異常的流量和請求。如：針對Syn Flood，防護盾會(huì )響應Syn Cookie或Syn Reset認證，通過(guò)對數據源的認證，過(guò)濾偽造源數據包或發(fā)功攻擊的攻擊，保護服務(wù)端不受惡意連接的侵蝕。資源隔離系統主要針對ISO模型的第三層和第四層進(jìn)行防護。資源隔離示意圖如下：
資源隔離示意圖
b）用戶(hù)規則
從服務(wù)的角度來(lái)說(shuō)DDoS防護本質(zhì)上是一場(chǎng)以用戶(hù)為主體依賴(lài)抗D防護系統與黑客進(jìn)行較量的戰爭，在整個(gè)數據對抗的過(guò)程中服務(wù)提供者往往具有絕對的主動(dòng)權，用戶(hù)可以基于抗D系統特定的規則，如：流量類(lèi)型、請求頻率、數據包特征、正常業(yè)務(wù)之間的延時(shí)間隔等?；谶@些規則用戶(hù)可以在滿(mǎn)足正常服務(wù)本身的前提下更好地對抗七層類(lèi)的DDoS，并減少服務(wù)端的資源開(kāi)銷(xiāo)。詳細示意圖如下：
用戶(hù)規則清洗?
c）大數據智能分析
黑客為了構造大量的數據流，往往需要通過(guò)特定的工具來(lái)構造請求數據，這些數據包不具有正常用戶(hù)的一些行為和特征。為了對抗這種攻擊，可以基于對海量數據進(jìn)行分析，進(jìn)而對合法用戶(hù)進(jìn)行模型化，并利用這些指紋特征，如：Http模型特征、數據來(lái)源、請求源等，有效地對請求源進(jìn)行白名單過(guò)濾，從而實(shí)現對DDoS流量的精確清洗。
指紋過(guò)濾清洗
d）資源對抗
資源對抗也叫“死扛”，即通過(guò)大量服務(wù)器和帶寬資源的堆砌達到從容應對DDoS流量的效果。