如何预防ddos攻击的措施(三招教你部署ddos攻击防御措施)(1)

ddos攻击凭借其低成本高危害的“特点”,已经成为黑客惯用的攻击手段了。为了防御ddos攻击,很多网站都使出了九牛二虎之力,但是收效甚微,对此,很多人认为,对ddos攻击来说,没有绝对有效的防御手段。这种说法是不是正确不得而知,网站应该做的,不是等待确定有效的方式,而是更清楚的了解ddos攻击,积极部署防御措施,努力提高自身网站安全性。如果并比清楚如何部署,可以按照以下方式来。

一:监控骨干网络设备,减少骨干网主机的漏洞

加强对骨干网络设备的监控,常用的方法包括限制连接队列的长度以及减少处理延时等。前者可以缓解系统资源的耗尽,虽然不能完全避免拒绝服务的发生,但是至少在一定程度上降低了系统崩溃的可能性,而后者能够加强系统的处理能力。通过减少延时,我们能以更快的速度抛弃队列里等待的连接,而不是任其堆满队列。

主机平台四种抵御DDoS的设置。一是关闭不必要的服务;二是限制同时打开的Syn半连接数目;三是缩短Syn半连接的time out 时间;四是及时更新系统补丁。确保所有服务器采用最新系统,并打上安全补丁。

二:合理配置路由器及防火墙,实现IDS和防火墙的联动

企业网的网络设备可以从防火墙与路由器上考虑。这两个设备是与外界的接口设备。需要注意的是防DDoS的设置是以牺牲效率为代价的。现在有很多防火墙产品集成了反DDoS功能,进一步提高了对常见DDoS攻击包的识别能力。这样的产品可以在很大程度上增强DDoS防御能力,并且可以做到不对数据包进行完全检查就可以发现“恶意行为”。这是非常有用的功能,因为如果判断DDoS攻击所耗费的处理越少,就越不容易被耗尽处理能力,从而极大地增加攻击者的成本。包括很多路由器产品在内的网络设备都具备一些防火墙功能,我们应该尽可能充分利用。

另外,实现IDS和防火墙的联动也是有效抵御DDoS攻击的有效手段。

三:加强网络管理,建立合理的应对策略

1.确保自己了解TCP/IP地址、主机、路由器及其他网络设备,还应该包括网络边界、非军事区(DMZ)及网络的内部保密部分。

2.经常检查系统的物理环境,禁止不必要的网络服务。建立边界安全界限,确保输出的包受到正确限制。经常检测系统配置信息,并注意查看每天的安全日志,检查所有网络设备和主机/服务器系统的日志。

3.与网络服务提供商协调工作,让网络服务提供商帮助实现路由的访问控制和对带宽总量的限制。

4.一旦发现被攻击,立即启动应急措施,并立刻追踪攻击包,及时联系ISP和有关应急组织,分析受影响的系统,确定涉及的其他节点。

5.不仅针对关键主机,要对所有主机进行检查。这是为了确保管理员知道每个主机系统在运行什么?谁在使用主机?哪些人可以访问主机?不然,即使黑客侵犯了系统,也很难查明。

6.建立和完善备份机制。对一些特权账号的密码设置要谨慎。

,