如何预防DDOS攻击

一、常见的DDOS攻击的种类

1. 流量型攻击（Volumetric Attacks）

原理：通过大量流量淹没目标网络带宽，使其无法处理合法请求。

常见类型：

• UDP Flood：攻击者发送大量UDP包到目标服务器，占用带宽。例如攻击者伪造大量UDP包发送到DNS服务器，导致其无法响应正常查询。
• ICMP Flood：利用ICMP协议（如Ping）发送大量请求，耗尽网络资源。例如攻击者使用工具（如hping3）向目标发送大量ICMP请求，导致网络拥堵。

2. 协议型攻击（Protocol Attacks）

原理：利用网络协议漏洞，耗尽服务器资源（如连接表、CPU等）。

常见类型：

• SYN Flood：攻击者发送大量伪造的SYN请求，但不完成三次握手，耗尽服务器的连接队列。例如攻击者伪造大量虚假IP发送SYN包，导致服务器无法处理合法连接。

• ACK Flood：发送大量ACK包，迫使服务器处理无效请求。例如攻击者利用僵尸网络发送大量ACK包，耗尽服务器资源。

为什么攻击者利用僵尸网络发送大量ACK包，就会耗尽服务器资源？

在TCP协议中，ACK（Acknowledgment）包用于确认接收到数据。服务器在收到ACK包后，需要检查其有效性（如序列号是否正确），并更新连接状态。即使ACK包是无效的（例如，没有对应的连接），服务器仍然需要花费CPU和内存资源来处理这些包。

3. 应用层攻击（Application Layer Attacks）

原理：针对应用层协议（如HTTP、HTTPS），发送大量看似合法的请求，耗尽服务器资源。

常见类型：

• HTTP Flood：攻击者发送大量HTTP请求（如GET或POST），耗尽Web服务器资源。例如攻击者模拟正常用户行为，向网站发送大量请求，导致服务器崩溃。

• Slowloris：攻击者发送部分HTTP请求并保持连接，耗尽服务器的连接池。例如攻击者使用Slowloris工具，缓慢发送HTTP头，使服务器无法处理其他请求。

为什么攻击者发送部分HTTP请求并保持连接，就可以耗尽服务器的连接池？

Web服务器（如Apache、Nginx等）通常会维护一个连接池，用于处理客户端的并发连接。

每个连接都会占用一定的内存和CPU资源，而服务器的连接池大小是有限的。一旦连接池被占满，服务器就无法接受新的连接。

攻击者发送不完整的HTTP请求（例如只发送HTTP头，但不发送完整的请求体），并通过定期发送少量数据（如一个字节）来保持连接处于打开状态，避免超时关闭。同时利用僵尸网络或大量代理，同时发起大量这样的部分请求，占满服务器的连接池。

二、如何预防DDOS攻击

1. 流量型攻击（Volumetric Attacks）

防御措施：

• 流量清洗：使用流量清洗服务（如Cloudflare、Akamai）过滤恶意流量，只允许合法流量到达服务器。

• CDN（内容分发网络）：通过CDN分散流量，减轻服务器压力（将攻击平摊到cdn边缘节点）。

• 带宽扩容：增加网络带宽，提高对大规模流量攻击的承受能力。

• 黑洞路由：与ISP合作，在检测到攻击时将流量导向“黑洞”，避免影响服务器。

什么是“黑洞”？

其核心思想是将攻击流量引导到一个“黑洞”中，使其无法到达目标服务器，从而保护服务器和网络资源。

黑洞是一个虚拟的“无底洞”，所有进入黑洞的流量都会被丢弃，不会到达任何目的地。

在网络中，黑洞通常通过配置路由规则实现，将特定IP地址或网段的流量导向一个不存在的地址或接口。

2. 协议型攻击（Protocol Attacks）

防御措施：

• SYN Cookie：启用SYN Cookie机制，防止SYN Flood攻击耗尽连接队列。

• 连接限制：配置防火墙或负载均衡器，限制单个IP的连接数。

• 协议优化：优化TCP/IP协议栈，缩短连接超时时间，快速释放无效连接。

• 状态检测防火墙：使用状态检测防火墙过滤无效协议请求。

3. 应用层攻击（Application Layer Attacks）

防御措施：

• Web应用防火墙（WAF）：部署WAF（如AWS WAF、Cloudflare WAF）检测并阻止恶意HTTP请求。

• 速率限制：对单个IP或用户的请求频率进行限制，防止HTTP Flood攻击。

• 验证码：在检测到异常行为时，要求用户输入验证码，阻止自动化攻击。

三、SYN Cookie的原理

在正常的TCP三次握手中，客户端发送SYN包，服务器回复SYN-ACK包并等待客户端的ACK包。在SYN Flood攻击中，攻击者发送大量伪造的SYN包，但不完成三次握手。服务器会为每个SYN包分配资源（如内存）并等待ACK包，最终耗尽连接队列。

SYN Cookie机制的工作原理

服务器不立即为SYN包分配资源，而是通过加密算法生成一个特殊的SYN-ACK包（称为SYN Cookie），将连接状态信息编码在其中。

具体步骤：

1. 客户端发送SYN包：客户端向服务器发送SYN包，请求建立连接。

2. 服务器生成SYN Cookie：

   • 服务器不分配资源，而是使用加密算法（如MD5或SHA）生成一个SYN Cookie。

   • SYN Cookie包含以下信息的哈希值：客户端IP、端口、服务器IP、端口、时间戳等。

3. 服务器发送SYN-ACK包：服务器将SYN Cookie作为序列号发送给客户端。

4. 客户端回复ACK包：客户端回复ACK包，其中包含SYN Cookie加1的值。

5. 服务器验证SYN Cookie：

   • 服务器解密ACK包中的序列号，验证其有效性。

   • 如果验证通过，服务器分配资源并建立连接；否则，丢弃ACK包。

SYN Cookie机制的核心优势在于：服务器在收到SYN包时，不需要分配任何资源来保存连接状态。所有的状态信息都编码在SYN-ACK包的序列号中，并发送给客户端。只有在客户端回复合法的ACK包后，服务器才会分配资源建立连接。

攻击者无法伪造合法的ACK包：

• SYN Cookie是通过加密算法生成的，攻击者无法伪造合法的ACK包（除非知道服务器的加密密钥）。

• 如果攻击者不回复ACK包，服务器不会分配任何资源。

• 如果攻击者回复伪造的ACK包，服务器会验证失败并丢弃ACK包，仍然不分配资源。

四、其他

1. 通过分析流量模式，识别异常流量（如大量重复请求或来自单一IP的请求），并采取相应措施。
2. 使用负载均衡器（如Nginx、HAProxy）将流量分配到多个服务器，避免单点过载。
3. 对IP或用户的请求频率进行限制，防止恶意用户发送大量请求。
4. 在检测到异常行为时，要求用户输入验证码，阻止自动化攻击。