34、网络攻击防护与SRX设备的应对策略

网络攻击防护与SRX设备的应对策略

1. 常见网络攻击类型

网络中存在多种恶意攻击类型，了解这些攻击是进行有效防护的基础。以下是一些常见的攻击类型：
- 恶意IP数据包攻击 ：基本的IP攻击包括SYN/FIN数据包、IP欺骗数据包和SYN片段。这些数据包在生产网络中不应出现，通常可安全阻止。
- 预定义DoS攻击 ：像Teardrop和Land攻击这类已有10 - 15年历史的攻击，虽年代久远，但在许多大型网络的IDS日志中仍能看到，可能导致编写不佳的应用程序或平台出现异常。
- 应用层攻击 ：这是较高端的攻击，利用应用程序漏洞或设计问题，意图使终端主机或服务离线。例如Skinny Client Control Protocol (SCCP) 呼叫洪水攻击，通常以合法请求形式出现，但有恶意的资源耗尽意图。
- 洪水攻击与资源耗尽 ：这是最古老的DoS攻击形式之一，通过大量请求或虚假数据包使主机或服务离线或性能下降。例如，大量受感染主机向服务器或网络发送请求，耗尽网络带宽或占用套接字/连接，使合法用户无法访问资源。

2. 网络防护工具概述

为了保护网络免受上述攻击，有多种防护工具可供使用，它们各有特点和适用场景。
| 防护工具 | 特点 | 适用场景 |
| ---- | ---- | ---- |
| 防火墙过滤器 | 无状态过滤器，基于第2层或第3层头部信息阻止或丢弃流量，类似于Cisco IOS防火墙的访问控制列表（ACLs），应用于入站或出站接口，能快