网络安全—DDoS攻防

背景简述：DDoS攻击分为很多类型，有消耗网络带宽的流量攻击，有消耗服务器资源的应用层攻击等。影响巨大，且让无论大公司还是小公司都肃然“起敬”的当属：流量攻击。在流量越来越廉价的今天，攻击流量小则几百兆，大则几个G，甚至更多。DDoS攻击的重灾区一般在竞争比较激烈的游戏行业，特别是在前几年私服流行的时候，各种攻击防不胜防。

常用防御方法：

1、  企业级DDoS防火墙：用过不少厂家的DDoS防火墙，金盾、绿盟、傲盾等，这些防火墙原理上都类似，基本上都有强大的计数计时器，然后结合TCP/IP协议族的特点来进行防御，比如：每秒产生多少SYN半开连接算是攻击，每IP每秒产生多少ICMP流量算是攻击，还有某些协议中从那些位开始携带了某些特殊的字节算是攻击等等。对于一些流量不算大的攻击防御效果还是比较明显的。

2、  运营商级DDoS防护：对于流量较大的攻击，也只有运营商来防护了，运营商拥有较大的网络资源优势。运营商一般会提供两种防御方法，一种是直接进行封IP处理，比如使用RTBH技术等；还有就是对IP进行流量清洗，比如上海提供在四核心下的流量清洗服务，很多银行、互联网企业所喜好选择的服务。

DDoS防火墙常用部署方式，如下图：