D D o S攻击防御新思考.doc

D D o S攻击防御新思考.docDDoS攻击防御新思考[摘要]互联网络带宽的增加和多种DDoS工具的不断发布,DDoS拒绝服务攻击的实施越来越容易,DDoS攻击随处可见,人们为克服DDoS攻击进行了大量研究,提出了多种解决方案。本文系统分析了DDoS攻击的原理和攻击思路,从管理和技术两个方面提出一些关于减少DDoS攻击方法。[关键词]互联网络带宽的增加和多种DDoS工具的不断发布,DDoS拒绝服务攻击的实施越來越容易,DDoS攻击事件正在呈上升趋势。出于商业竞争、打击报复和网络敲诈筹多种因素,导致很多IDC托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被DDoS攻击所困扰,随之而来的是客户投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题,因此,解决DDoS攻击问题成为网络服务商必须要考虑的头等大事。在探讨DDoS之前我们首先要对DoS有所了解,DoS即DenialOfService,拒绝服务的缩写。DoS是指故意的攻击网络协议实现的缺陷或直接通过野蛮手段残忍地耗尽被攻击对象的资源,目的是让目标计算机或网络无法提供正常的服务或资源访问,使目标系统服务系统停止响应甚至崩溃,而在此攻击中并不包括侵入目标服务器或目标网络设备。通常而言,DoS的网络数据包是利用TCP/传输,这些数据包本身一般是无害的,但是如果数据包异常过多,就会造成网络设备或者服务器过载,迅速消耗了系统资源,造成服务拒绝,这就是DoS攻击的基本工作原理。DoS攻击之所以难于防护,英关键之处就在于非法流量和合法流量相互混杂,防护过程中无法有效的检测到DoS攻击。加之许多DoS攻击都采用了伪造源地址IP的技术,从而成功的躲避了基于统计模式工具的识别。具体DoS攻击实现有如下几种方法:,设置特殊的TC卩包头,向服务器端不断地发送大量只有SYN标志的TCP连接请求。当服务器接收的时候,认为是没有建立起來的连接请求,于是这些请求建立会话,排到缓冲区队列中。如果发送的SYN请求超过了服务器能容纳的限度,缓冲区队列占满,那么服务器就不再接收新的请求了,因此其他合法用户的连接都会被拒绝掉。如下图所示:本来止常的TCP连接是需要三次握手协议完成的,攻击者先向目的主机发出一个SYN请求,由于冃的主机不能判断对方是否恶意,所以会回复一个SYN/ACK,这样在目的主机就需要维护一个这样的半连接,等待对方回复ACK后,完成整个连接的建立。攻击者正是利用了这一点,他只发送大量的SYN报文,并不回复ACK,这样在冃的主机中就维护了大量的半连接队列,由于主机的资源是有限的,攻击者通过持续不断的发送SYN报文,耗尽了日的主机的资源,使得正常的服务连接得不到建立,网络处于瘫痪状态。。假设现在有一个合法用户()已经同服务器建立了正常的连接,攻击者构造攻击的TC卩数据,,并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后,,从而清空缓冲区中建立好的连接。这时,,服务器就已经没有这样的连接了,该用户就必须从新开始建立连接。攻击者伪造大量的叩地址,向目标主机发送RST数据,从而使服务器不对合法用户服务。3•带宽