如何防ddos（多层级DDoS防护才是王道）

2017-10-25 05:56:00 作者：郑伟

DDoS（分布式拒绝服务）攻击由来已久，但如此简单粗暴的攻击手法为何时至今日依然有效，并成为困扰各大网站稳定运营的“头号敌人”呢？实际上，这与DDoS攻击不断变化演进不无关系。面对此种态势，企业又该如何开展积极有效地防御部署呢？深谙此道的Arbor Networks指出，只有多层级的DDoS防护才是王道。

DDoS攻击的三大趋势

DDoS攻击是一种利用大量攻击流量淹没目标网络，令受害网站无法处理正常访问请求的一种高破坏力、高攻击效率的网络攻击手法。由于其成本低廉、高效，因此被网络犯罪分子们所青睐，成为他们攻击、勒索商业网站的重要武器。

在Arbor Networks大中华区总经理金大刚看来，现阶段的DDoS攻击呈现出三大趋势：

首先是攻击的M型（两极化）趋势。当前的DDoS攻击不仅有以超大攻击流量为主的泛洪攻击，还有能够进行精准打击的状态耗尽攻击、应用层攻击。不论哪种攻击方式，都能够发挥强大杀伤力，对企业网站造成严重伤害。

其次是新形态DDoS攻击规模不断攀升。早年间黑客动用数十Mbps、甚至1Gbps攻击流量，便可达到效果，但随着目前用户防御实力升级，攻击者也顺势加码，自从2013年首次出现300G规模攻击流量后，2014年出现了400Gbps，2015年则达到500Gbps，未来再破记录的几率也不低。

再有就是攻击速度的变化。除了传统的一段时间内集中发起的DDoS攻击外，利用缓慢甚至是微量的恶意访问流量却能够拖垮企业应用服务器的攻击行为也开始在全球盛行起来。而且利用单一事件混搭多种攻击型态的DDoS攻击，如先发动状态耗尽攻击，随后再进行流量攻击也开始流行，并给网站带来猝不不及防的威胁性。

主流防护体系中的软肋

那么面对上述DDoS攻击趋势，目前的主流防护机制无法胜任么？金大刚表示肯定。他指出，如果按派系划分，现阶段防DDoS攻击的主流厂商大致可分为三个派系。

一类为基于防火墙、入侵检测系统、Web应用防护系统、负载均衡设备加上DDoS防护方案的厂商，一类是当地运营商或流量清洗中心，还有一类是CDN厂商。

不过对于上述各派的抵御DDoS方案来说，或多或少都存在一些软肋“罩门”。比如，第一类厂商推出的传统安全设备，原本不是为了DDoS防护所设计的。因此，这些有状态表（Stateful）的设备， 很容易在发挥出DDoS防护机能之前就被攻击者利用状态耗尽攻击而自身难保了。而一些非专业DDoS保护设备则容易造成误判。

对于运营商或ISP流量清洗中心来说，虽然可以提供有限的流量清洗能力， 但面对暴力流量攻击发生时， 往往仍然无法进行有效清洗，或者说洗不干净，而且无法主动侦测L7等攻击行为以及不能掌控预算花费，在DDoS防御的纵深度上有一定欠缺。

而对于CDN厂商来说则往往欠缺防御广度，例如其不能阻挡非网页型态的攻击行为；针对实际IP进行攻击也无法拦截；动态网页型的客户则无法阻挡状态耗尽攻击；受限金融法規规范， 对金融交易所需加解密无法支持等等。

全方位阻断策略

既然现阶段的DDoS防护方案都存在这样或那样的不尽人意，究竟该如何应对DDoS攻击呢？金大刚表示，一个完善可靠的DDoS防护，必须采用多层级的全方位阻断策略。而这样的防护体系需要具备下面的六大特征：

第一，驻地端防护设备必须24小时全天候主动侦测各类型DDoS攻击，包括流量攻击、状态耗尽攻击与应用层攻击。

第二，驻地端防护设备只要侦测到攻击流量后，即可实现阻挡。

第三，利用Arbor Pravail可用性保护系统（APS）设备，可以自动阻挡攻击者的试探性流量，并推迟其后续攻击频率，积极防御。

第四，为了避免出现上述防火墙等设备存在的弊端，用户应该选择无状态表架构（Stateless Architecture）的防护设备。

第五，利用云平台、大数据分析，积累并迅速察觉攻击特征码，建立指纹知识库（Signature Database），以协助企业及时侦测并阻挡恶意流量攻击。

第六，将APS设备与Arbor Cloud云端清洗中心相结合，开展联动防护。

显而易见，通过上面的全方位阻断策略，企业不仅可以构建出一套高效的多层级DDoS防护体系，还能够在日益难缠的DDoS攻击面前立于不败之地了。