DDOS全名是Distributed Denial of service (分布式拒絕服務攻擊),很多DOS攻擊源一起攻擊某臺服務器就組成了DDOS攻擊,DDOS 最早可追溯到1996年最初,在中國2002年開始頻繁出現,2003年已經初具規模.
DDoS攻擊簡介
DDoS的攻擊方式有很多種，最基本的DoS攻擊就是利用合理的服務請求來占用過多的服務資源，從而使服務器無法處理合法用戶的指令。
單一的DoS攻擊一般是采用一對一方式的，當被攻擊目標CPU速度低、內存小或者網絡帶寬小等等各項性能指標不高,它的效果是明顯的。隨著計算機與網絡技術的發展，計算機的處理能力迅速增長，內存大大增加，同時也出現了千兆級別的網絡，這使得DoS攻擊的困難程度加大了 - 目標對惡意攻擊包的"消化能力"加強了不少，例如你的攻擊軟件每秒鐘可以發送3,000個攻擊包，但我的主機與網絡帶寬每秒鐘可以處理10,000個攻擊包，這樣一來攻擊就不會產生什么效果。
這時候分布式的拒絕服務攻擊手段（DDoS）就應運而生了。你理解了DoS攻擊的話，它的原理就很簡單。如果說計算機與網絡的處理能力加大了10倍，用一臺攻擊機來攻擊不再能起作用的話，攻擊者使用10臺攻擊機同時攻擊呢？用100臺呢？DDoS就是利用更多的傀儡機來發起進攻，以比從前更大的規模來進攻受害者。
高速廣泛連接的網絡給大家帶來了方便，也為DDoS攻擊創造了極為有利的條件。在低速網絡時代時，黑客占領攻擊用的傀儡機時，總是會優先考慮離目標網絡距離近的機器，因為經過路由器的跳數少，效果好。而現在電信骨干節點之間的連接都是以G為級別的，大城市之間更可以達到2.5G的連接，這使得攻擊可以從更遠的地方或者其他城市發起，攻擊者的傀儡機位置可以在分布在更大的范圍，選擇起來更靈活了。
DDoS攻擊原理
通過使網絡過載來干擾甚至阻斷正常的網絡通訊。通過向服務器提交大量請求，使服務器超負荷。阻斷某一用戶訪問服務器阻斷某服務與特定系統或個人的通訊。
DDOS攻擊(流量攻擊)防御步驟
其實說到最讓站長頭疼的事情,莫過于DDOS[分布式拒絕服務攻擊].無法訪問網站但當攻擊者進行DDOS攻擊時,很多站長都會說“隨他玩吧,等玩夠了就不會攻擊了” 這樣的思路是對的.但又是致命的.不進行任何的補救.坐以待斃.是最大的忌諱
但是對于真實中的DDOS攻擊.數量是龐大的.處理方法如下:
1、使用工具:DDoS deflate . 自動查封IP.
2、解析域名到127.0.0.1 讓攻擊方自己攻擊自己[代價.網站不可訪問].
3、關閉網站的nginx 或者IIS 阿帕奇.等攻擊過后再打開.
4、換高防服務器(首頁使用靜態頁提高處理器速度).
5、隨他玩吧,等玩夠了就不會攻擊了.
6、有條件的朋友,可以考慮做cdn加速.
對于DDOS防御的理解
對付DDOS是一個系統工程，想僅僅依靠某種系統或產品防住DDOS是不現實的，可以肯定的是，完全杜絕DDOS目前是不可能的，但通過適當的措施抵御90%的DDOS攻擊是可以做到的，基于攻擊和防御都有成本開銷的緣故，若通過適當的辦法增強了抵御DDOS的能力，也就意味著加大了攻擊者的攻擊成本，那么絕大多數攻擊者將無法繼續下去而放棄，也就相當于成功的抵御了DDOS攻擊。
DDoS防御的方法
1、采用高性能的網絡設備
首先要保證網絡設備不能成為瓶頸，因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、口碑好的產品。再就是假如和網絡提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網絡接點處做一下流量限制來對抗某些種類的DDOS攻擊是非常有效的。
2、盡量避免NAT的使用
無論是路由器還是硬件防護墻設備要盡量避免采用網絡地址轉換NAT的使用，因為采用此技術會較大降低網絡通信能力，其實原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網絡包的校驗和進行計算，因此浪費了很多CPU的時間，但有些時候必須使用NAT，那就沒有好辦法了。
3、充足的網絡帶寬保證
網絡帶寬直接決定了能抗受攻擊的能力，假若僅僅有10M帶寬的話，無論采取什么措施都很難對抗現在的SYNFlood攻擊，當前至少要選擇100M的共享帶寬，最好的當然是掛在1000M的主干上了。但需要注意的是，主機上的網卡是1000M的并不意味著它的網絡帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等于就有了百兆的帶寬，因為網絡服務商很可能會在交換機上限制實際帶寬為10M，這點一定要搞清楚。
4、升級主機服務器硬件
在有網絡帶寬保證的前提下，請盡量提升硬件配置，要有效對抗每秒10萬個SYN攻擊包，服務器的配置至少應該為：P4 2.4G/DDR512M/SCSI-HD，起關鍵作用的主要是CPU和內存，若有志強雙CPU的話就用它吧，內存一定要選擇DDR的高速內存，硬盤要盡量選擇SCSI的，別只貪IDE價格不貴量還足的便宜，否則會付出高昂的性能代價，再就是網卡一定要選用3COM或Intel等名牌的，若是Realtek的還是用在自己的PC上吧。
5、把網站做成靜態頁面
大量事實證明，把網站盡可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給黑客入侵帶來不少麻煩，至少到現在為止關于HTML的溢出還沒出現，看看吧！新浪、搜狐、網易等門戶網站主要都是靜態頁面，若你非需要動態腳本調用，那就把它弄到另外一臺單獨主機去，免的遭受攻擊時連累主服務器，當然，適當放一些不做數據庫調用腳本還是可以的，此外，最好在需要調用數據庫的腳本中拒絕使用代理的訪問，因為經驗表明使用代理訪問你網站的80%屬于惡意行為。
6、增強操作系統的TCP/IP棧
Win2000和Win2003作為服務器操作系統，本身就具備一定的抵抗DDOS攻擊的能力，只是默認狀態下沒有開啟而已，若開啟的話可抵擋約10000個SYN攻擊包，若沒有開啟則僅能抵御數百個，具體怎么開啟，自己去看微軟的文章吧！《強化 TCP/IP 堆棧安全》。
也許有的人會問，那我用的是Linux和FreeBSD怎么辦？很簡單，按照這篇文章去做吧！《SYN Cookies》。
7、安裝專業抗DDOS防火墻
綠盟黑洞: X86架構，Linux內核與自主專利的抗syn-flood算法。對抗單一類型的syn，udp，icmp dos效果很好，但是當多種混合時效果就略差。優點是更新快，技術支持比較好，在100M環境下對syn-flood有絕對優勢。 缺點是文檔和信息缺乏，同時工作(軟硬件兩方面)不是很穩定。
金盾抗拒絕服務系統：金盾抗拒絕服務系列產品，應用了自主研發的抗拒絕服務攻擊算法，對SYN Flood，UDP Flood，ICMP Flood，IGMP Flood，Fragment Flood，HTTP Proxy Flood，CC Proxy Flood，Connection Exhausted等各種常見的攻擊行為均可有效識別，并通過集成的機制實時對這些攻擊流量進行處理及阻斷，保護服務主機免于攻擊所造成的損失。內建的WEB保護模式及游戲保護模式，徹底解決針對此兩種應用的DOS攻擊方式。金盾抗拒絕服務系列產品，除了提供專業的DOS/DDOS攻擊檢測及防護外，還提供了面向報文的通用規則匹配功能，可設置的域包括地址、端口、標志位，關鍵字等，極大的提高了通用性及防護力度。同時，內置了若干預定義規則，涉及局域網防護、漏洞檢測等多項功能，易于使用。
天網防火墻: 最早基于OpenBSD內核，X86架構，現在應該也是Linux內核了。很早就加入了抗syn-flood功能，實際應該是syn-cache/syn-cookie的改進或加強版。實際測試syn流量64B包抵抗極限大概是25M左右。當小于20M是還是可以看到效果的。同時結合良好的防火墻策略應該也可以做到針對udp/icmp等類型的限制。
一己拙見: 防火墻一般來說還是讓它作為自己的專業用途(訪問控制)比較好，當然在網絡業務不是很重要的生產類企業來說，買個防火墻同時兼有簡單的抗syn功能倒也不錯。
8、其他防御措施
以上幾條對抗DDOS建議，適合絕大多數擁有自己主機的用戶，但假如采取以上措施后仍然不能解決DDOS問題，就有些麻煩了，可能需要更多投資，增加服務器數量并采用DNS輪巡或負載均衡技術，甚至需要購買七層交換機設備，從而使得抗DDOS攻擊能力成倍提高，只要投資足夠深入。
預防為主保證安全
DDOS應付方法
DdoS攻擊是黑客最常用的攻擊手段，下面列出了對付它的一些常規方法。
（1）定期掃描
要定期掃描現有的網絡主節點，清查可能存在的安全漏洞，對新出現的漏洞及時進行清理。骨干節點的計算機因為具有較高的帶寬，是黑客利用的最佳位置，因此對這些主機本身加強主機安全是非常重要的。而且連接到網絡主節點的都是服務器級別的計算機，所以定期掃描漏洞就變得更加重要了。
（2）在骨干節點配置防火墻
防火墻本身能抵御DdoS攻擊和其他一些攻擊。在發現受到攻擊的時候，可以將攻擊導向一些犧牲主機，這樣可以保護真正的主機不被攻擊。當然導向的這些犧牲主機可以選擇不重要的，或者是linux以及unix等漏洞少和天生防范攻擊優秀的系統。
（3）用足夠的機器承受黑客攻擊
這是一種較為理想的應對策略。如果用戶擁有足夠的容量和足夠的資源給黑客攻擊，在它不斷訪問用戶、奪取用戶資源之時，自己的能量也在逐漸耗失，或許未等用戶被攻死，黑客已無力支招兒了。不過此方法需要投入的資金比較多，平時大多數設備處于空閑狀態，和目前中小企業網絡實際運行情況不相符。
（4）充分利用網絡設備保護網絡資源
所謂網絡設備是指路由器、防火墻等負載均衡設備，它們可將網絡有效地保護起來。當網絡被攻擊時最先死掉的是路由器，但其他機器沒有死。死掉的路由器經重啟后會恢復正常，而且啟動起來還很快，沒有什么損失。若其他服務器死掉，其中的數據會丟失，而且重啟服務器又是一個漫長的過程。特別是一個公司使用了負載均衡設備，這樣當一臺路由器被攻擊死機時，另一臺將馬上工作。從而最大程度的削減了DdoS的攻擊。
（5）過濾不必要的服務和端口
過濾不必要的服務和端口，即在路由器上過濾假IP……只開放服務端口成為目前很多服務器的流行做法，例如WWW服務器那么只開放80而將其他所有端口關閉或在防火墻上做阻止策略。
（6）檢查訪問者的來源
使用Unicast Reverse Path Forwarding等通過反向路由器查詢的方法檢查訪問者的IP地址是否是真，如果是假的，它將予以屏蔽。許多黑客攻擊常采用假IP地址方式迷惑用戶，很難查出它來自何處。因此，利用Unicast Reverse Path Forwarding可減少假IP地址的出現，有助于提高網絡安全性。
（7）過濾所有RFC1918 IP地址
RFC1918 IP地址是內部網的IP地址，像10.0.0.0、192.168.0.0 和172.16.0.0，它們不是某個網段的固定的IP地址，而是Internet內部保留的區域性IP地址，應該把它們過濾掉。此方法并不是過濾內部員工的訪問，而是將攻擊時--的大量虛假內部IP過濾，這樣也可以減輕DdoS的攻擊。
（8）限制SYN/ICMP流量
用戶應在路由器上配置SYN/ICMP的最大流量來限制SYN/ICMP封包所能占有的最高頻寬，這樣，當出現大量的超過所限定的SYN/ICMP流量時，說明不是正常的網絡訪問，而是有黑客入侵。早期通過限制SYN/ICMP流量是最好的防范DOS的方法，雖然目前該方法對于DdoS效果不太明顯了，不過仍然能夠起到一定的作用。
抗DDOS產品主要廠家
綠盟科技
綠盟科技從2001年5月開始進行針對DoS攻擊的產品研發，次年，該公司完成了抗拒絕服務攻擊的克星—“黑洞Collapasar”的全部研發工作，并申請了國家發明專利。
中新金盾
安徽中新軟件有限公司創立于2002年，是集網絡安全產品、軟硬件開發的高科技公司。公司針對DDOS 攻擊的產品自主研發、生產的金盾系列安全產品包括金盾防火墻、金盾抗拒絕服務系統、流量牽引設備、信息過濾系統。自創立至今一直在市場上獲得良好、堅實的口碑。
傲盾
傲盾安全網的的知名品牌“傲盾防火墻”是一套全面、創新、高安全性、高性能的網絡安全系統。傲盾ddos防火墻具有ddos、dos攻擊防御、NAT地址轉換功能、特有TCP標志位檢測功能，傲盾ddos防火墻具有世界領先的數據流指紋檢測技術、獨立開發的高效率系統核心等特點，是國內一家可完全抵御ACK、DOS、DDOS、SYN、FLOOD、FATBOY及各種變種如Land，Teardrop，Smurf，Ping of Death，FATBOY等攻擊的安全防御安全產品，致力于為個大企業、事業機關及網絡服務商提供完整的信息安全的解決方案及全面的技術支持服務。
冰盾
冰盾抗DDOS防火墻（Bing噸 Anti-DDOS Firewall）來自IT技術世界一流的美國硅谷，由華人留學生Mr.BingleWang和Mr.Buick Zhang設計開發，采用國際領先的生物基因鑒別技術智能識別各種DDOS攻擊和黑客入侵行為，防火墻采用MircroKernel微內核和ActiveDefeense主動防御引擎技術實現，工作在系統的最底層，充分發揮CPU的效能，僅耗費少許內存即獲得驚人的處理效能。經高強度攻防實驗測試表明：在抗DDOS攻擊方面，工作于100M網卡冰盾約可抵御每秒25萬個SYN包攻擊，工作于1000M網卡冰盾約可抵御160萬個SYN攻擊包；在防黑客入侵方面，冰盾可智能識別Port掃描、Unicode惡意編碼、SQL注入攻擊、Trojan木馬上傳、Exploit漏洞利用等2000多種黑客入侵行為并自動阻止，是迄今為止在抗DDOS領域功能最為強大的防火墻產品之一。
天鷹
天鷹ddos防火墻天鷹抗DDOS防火墻》：是國內目前防御攻擊種類最多、運行效率最高的專業抗DDOS防火墻。獨有“天鷹網絡行為分析”專利技術使得天鷹抗DDOS防火墻完全不同其它同類產品：不僅能夠準確防御已知的網絡攻擊，而且還具備防御未知攻擊的能力；出類拔萃的防御能力和運行效率，使得天鷹抗DDOS防火墻成為全球最大華人網站《新浪網》、國內頂級防黑客技術網站《黑客防線》、國際知名社區聊天網站《CamFrog World》等眾多有影響力、遠見卓識的知名網站的一致選擇。
