DDOS攻击，网站防御的办法
CDN确实是一个很好的办法，不过也需要高防的CDN，目前DDOS没有任何有效的解决办法，你可以找一下中型IDC商，租个高防的服务器，还可以买个软防安装在自己的服务器上面，安全狗 金盾之类的 30G流量大约成本在3W左右，一个月的，
为什么网站被ddos攻击？应该怎么防御？
DDOS要看流量的，如果攻击节点很多，你又是自己建立服务器，还没有买堡垒机，除了被瘫痪没有别的办法，只能报警哈哈。
目前阿里能防御DDOS攻击到了TB级别。一般黑客哪怕老的也没撒办法。不过国家级就有了，因为掌握了百万台，甚至千万台肉鸡同时ddos，阿里一样会瘫痪。
实际上攻击阿里这样大公司，用ddos太费成本了，一般人吃不消还没效，用邮件攻击反而更好，将病毒放入邮件附件，进行伪装。将最新变种勒索病毒放入进去。
你讲他内网瘫痪了，比从外部攻击更厉害。
如何防御DDOS？网站平时应该怎么做？
防御DDOS是一个系统工程，现在的DDOS攻击是分布、协奏更为广泛的大规模攻击阵势，当然其破坏能力也是前所不及的。这也使得DDOS的防范工作变得更加困难。想仅仅依靠某种系统或高防防流量攻击服务器防住DDOS是不现实的，可以肯定的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御99.9%的DDOS攻击是可以做到的，基于攻击和防御都有成本开销的缘故，若通过适当的办法增强了抵御DDOS的能力，也就意味着加大了攻击者的攻击成本，那么绝大多数攻击者将无法继续下去而放弃，也就相当于成功的抵御了DDOS攻击。
近年来随着 *** 的不断普及，流量攻击在互联网上的大肆泛滥，DDOS攻击的危害性不断升级，面对各种潜在不可预知的攻击，越来越多的企业显的不知所措和力不从心。单一的高防防流量攻击服务器就像一个大功率的防火墙一样能解决的问题是有限的，而集群式的高防防流量攻击技术，也不是一般企业所能掌握和使用的。怎么样可以确保在遭受DDOS攻击的条件下，服务器系统能够正常运行呢或是减轻DDOS攻击的危害性?
对于企业来讲，这个系统工程往往要投入大量的 *** 设备、购买大的 *** 带宽，而且还需要把网站做相应的修改，还要配备相关人员去维护，这个工程过完成后，能不能够抵挡住外部攻击可能还是未知数。亚洲数据认为防御DDOS攻击应综合考虑到基于BGP的流量清洗技术的多层面、多角度、多结构的多元立体系安全防护体系的构建和从主动防御、安全应急、安全管理、物理安全、数据容灾几大体系入手，从而整合"高防服务器""高防智能DNS""高防服务器集群""集群式防火墙架构"" *** 监控系统""高防智能路由体系"从而实现智能的、完善的、快速响应机制的"一线式"安全防护架构。DDOS防御不是靠广告来 的，请不要发广告。
什么是DDOs，怎么防御？
分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。
DDOS防御方案：
DDOS攻击防御 *** 一：需要能够进行定期的扫描。
DDOS攻击防御 *** 二：需要能够在骨干节点配置相关防火墙。
DDOS攻击防御 *** 三：使用多的计算机以能承受ddos攻击。
DDOS攻击防御 *** 四：好的利用 *** 设备来进行保护 *** 资源。
DDOS攻击防御 *** 五：需要过滤不必要的服务和端口。
DDoS 攻击与防御
分布式拒绝服务攻击（Distributed Denial of Service），是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击。由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击。
DDoS 是一种基于 DoS 的特殊形式的拒绝服务攻击。单一的 DoS 攻击一般是采用一对一方式，利用 *** 协议和操作系统的缺陷，采用欺骗和伪装的策略来进行 *** 攻击，使网站服务器充斥大量要求回复的信息，消耗 *** 带宽或系统资源，导致 *** 或系统不胜负荷以至于瘫痪而停止提供正常的 *** 服务。与 DoS 相比，DDos 借助数百上千台攻击机形成集群，发起的规模更大，更难防御的一种进攻行为。
ICMP 用于在 IP 主机，路由器之间传递控制消息（ *** 是否连通，主机是否可达，路由是否可用等）。ICMP 虽然不传递用户数据，但是对于用户数据的传递起着重要的作用。ICMP Flood 通过对目标系统发送海量的数据报，就可以令目标主机瘫痪，形成洪泛攻击。
UDP 协议是一种无连接的协议，在 UDP Flood 中，攻击者通常发送大量伪造 IP 地址的 UDP 报去冲击 DNS 服务器，Radius 认证服务器，流媒体视频服务器等，造成服务不可用。 上述的两种是比较传统的流量型攻击，技术含量较低，以占满 *** 带宽使得正常用户无法得到服务为攻击方式，攻击效果通常依赖于攻击者本身的 *** 性能，而且容易被查找攻击源头。
NTP 是标准的基于 UDP 协议的 *** 时间同步协议。由于 UDP 无连接的特性，NTP 服务器并不能保证收到报文的源 IP 的正确性。所以，攻击者通过将 IP 报文的源 IP 地址换为靶机的 IP 地址，并向 NTP 服务器发送大量的时间同步报文，这样，NTP 服务器的响应报文就会达到靶机上，沾满靶机 *** 段的带宽资源，同时也很难去追溯攻击源头。
SYN Flood 是一种利用 TCP 协议缺陷，发送大量伪造的 TCP 连接请求，从而使目标服务器资源耗尽的攻击方式。如果客户端只发起之一次握手，而不响应服务端的第二次握手，那么这条连接就处于半连接状态，服务端会维持这条连接一段时间（SYN Timeout）并不断地重试。但攻击者大量的模拟这种情况，就会沾满整个服务端的连接符号表，并消耗大量的 CPU 资源进行重试操作。而对于 SNY Flood 的防御目前有两种常见的方式，一种是算短 SYN Timeout，另一种是设置 SYN Cookie，并开辟一个数组存放 Cookie，单连接没有真正建立时，不去占用连接符号表。
DNS Query Flood 通过操纵大量的傀儡机，向本网段的域名服务器发送大量域名解析请求，通常这些请求解析的域名是随机生成或 *** 上根本不存在的域名，由于本地域名服务器无法找到对应的结果，就会通过层层上次给更高级的域名服务器，引起连锁反应，导致本网段内的域名解析服务瘫痪，但一般最多只会瘫痪一小段 *** 。
HashDos 是一种新型的，基于 Hash 碰撞形成的攻击。随着现在 RESTful 风格的不断普及，json 格式作为数据传输的格式愈发成为主流。但是 json 反序列化为对象时，底层是通过 hash 算法来将字段与属性，属性值进行一一匹配。所以，一旦攻击者知道了我们序列化方式，构造出一段具有严重哈希碰撞的 json 数据，就会使我们服务端序列化的复杂度从 O(1) 暴增到 O(n)。
DDos 的防御主要有两种，一种是针对流量带宽，一种是针对服务端资源。流量带宽一般需要通过运营商采用 ISP 黑洞，近源清洗等策略，在源头（即攻击者所在的网段）进行拦截，而不是等到所有的细流汇聚成猛水时才进行拦截。
而对于服务端的资源，则是当下 DDos 的重灾区，本文以攻防对抗的方式讲述 DDos 的发展历程。
参考文献：
0条大神的评论