我们来自五湖四海,不为别的,只因有共同的爱好,为中国互联网发展出一分力!

SYN 攻击原理以及防范技术

2012年02月23日19:56 阅读: 14956 次

标签: SYN

从网络攻击的各种方法和所产生的破坏情况来看,DoS算是一种很简单但又很有效的进攻方式。它的目的就是拒绝你的服务访问,破坏组织的正常运行,最终它会使你的部分Internet连接和网络系统失效,DoS拒绝服务攻击来袭如何应对呢?

AD:

 

DoS的英文全称是Denial of Service,也就是“拒绝服务”的意思。从网络攻击的各种方法和所产生的破坏情况来看,DoS算是一种很简单但又很有效的进攻方式。它的目的就是拒绝你的服务访问,破坏组织的正常运行,最终它会使你的部分Internet连接和网络系统失效。DoS的攻击方式有很多种,最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源,从而使合法用户无法得到服务。

我们可以看出DoS攻击的基本过程:首先攻击者向服务器发送众多的带有虚假地址的请求,服务器发送回复信息后等待回传信息,由于地址是伪造的,所以服务器一直等不到回传的消息,分配给这次请求的资源就始终没有被释放。当服务器等待一定的时间后,连接会因超时而被切断,攻击者会再度传送新的一批请求,在这种反复发送伪地址请求的情况下,服务器资源最终会被耗尽。

如何阻挡DoS

对付DoS,目前还没有十分有效的防范办法。阻挡DoS常用方法之一是在网络上设立过滤器或侦测器,在信息到达网站服务器之前阻挡信息。过滤器会侦察可疑的访问行动。如果可疑访问经常出现,过滤器就会接受指示,阻挡相应的信息,让服务器的对外连接保持畅通。针对DoS消耗系统资源的作法,一些用户通过采用增加系统资源、扩充主机集群数量等方式可以在一定程度上缓解攻击,这种做法显然增加了硬件成本开销和维护开销,不适于资金有限的用户采用。

防火墙和VPN是目前阻挡“拒绝服务攻击”的常用设备。其中,防火墙作为访问控制设备,通过设计访问策略,能够对拒绝服务攻击起到一定防范作用。不过,防火墙必须经过正确设置才能发挥防护作用。当防火墙依据多重安全规则,对不同服务进行数据包过滤和代理时,容易导致系统管理者将防火墙的环境设定错误,而留下一些系统安全漏洞,让入侵者有机可乘。

目前防火墙在防范DoS 攻击方面存在缺陷。一是防火墙是由人工去设定,不适合动态设定,而且由于每次攻击方式是不同的,用户无法得知攻击者的地址和用来攻击的协议。二是目前防火墙的设定通常不会分辨正常封包与攻击封包之不同。以抵挡ICMP Ping攻击为例,网管员将防火墙设置为能够阻挡所有进来的ICMP Ping封包,但这时防火墙并不阻挡ICMP Ping Response封包,这种方式使防火墙外部的用户无法Ping到防火墙内部的IP地址,但却不是一个好办法,目前的黑客已经采用传送大量伪造的ICMP Ping Response 封包的方式进行攻击,防火墙只有挡掉ICMP Ping Response 的封包,才能阻挡这类攻击,这给防火墙内部用户造成了不便。而对付DDoS,人们只能从网络源头、网络运营商一级设置防火墙、过滤器等安全设备才能有效。 

分享到: 更多
蓝客门户
©2001-2017 中国蓝客联盟 版权所有.
关于蓝客联盟历史宗旨章程技术服务联系我们蓝客社区