分布式拒绝服务攻击自出现以来就成为最难防御的方式。仅在过去一年中，几起滴滴涕的爆发就令人大开眼界: 2016年4月，黑客组织对暴雪娱乐公司(Blizzard Entertainment)发起了DDoS攻击，导致魔兽世界和手表先锋中的许多游戏停机。2016年5月，黑客组织对全球银行机构发起了分布式拒绝服务攻击，导致约旦、韩国、摩纳哥等国的央行系统崩溃。2016年9月，法国东道主OVH受到峰值为1吨/秒的敌敌畏攻击。2016年10月，DynDNS遭到DDoS的攻击，这使得北美的许多网站无法访问，受影响的网站排名第一。 在你我之间，分布式拒绝服务在互联网上可能很猖獗。 在讨论攻击和防御的历史之前，让我们先看看DDoS攻击的原理。了解你的敌人，了解你自己，你会赢得每一场战斗。 什么是DDos攻击？ 分布式拒绝服务攻击(DDoS attack)是分布式拒绝服务(DistributedDenitionofService)的缩写，其核心是拒绝服务攻击。由于目标计算机上的网络或系统资源不足，服务暂时中断或停止，使其普通用户无法访问。攻击可以分为带宽消耗类型和资源消耗类型。带宽消耗类型包括UDP泛洪攻击、ICMP泛洪攻击和其他攻击类型。资源消耗类型包括抄送攻击、同步洪水攻击、僵尸网络攻击等。对于不同类型的攻击，我们的应对措施是不同的。但是，在我们的日常工作中，我们使用的DDoS攻击一般都是消耗带宽的攻击，也就是黑客会向您的服务器发送大量的UDP包和SYN包，从而使您的服务器带宽充满攻击流量，无法向外界提供服务。例如，一个通过互联网访问您的服务器的用户就像一个过桥来找您的客人。然而，因为你只有足够的钱来建造一座双向四车道的桥，攻击者派了100辆大卡车在你的桥前堵住，没有一个普通的客人能过桥找到你。 在这种情况下，如果你想让你的客人继续参观，你需要升级你的桥，让你的客人通过免费车道。但是，中国的带宽是由三大运营商——中国移动联通电信(China Mobile联通Telecom)提供的，互联网带宽成本非常高，而攻击者使用肉鸡攻击，攻击成本要低得多，所以我们不能无限期升级我们的带宽。 在互联网的早期，人们是如何抵御分布式拒绝服务攻击的？ DDO现在不会发生。当没有防御时，人们如何抵抗DDoS攻击？在互联网早期，IDC没有提供保护的能力，也没有黑洞，所以攻击流量给服务器和交换机带来了巨大的压力，导致网络拥塞，甚至服务器无法正常工作。许多国际数据中心经常以简单粗暴的方式做出回应，比如拔掉网络插头。后来，一些IDC在进入清理程序时会攻击简单的过滤过程，大大减轻了服务器和内部网交换机的压力。然而，机房的承载能力是有限的。如果攻击总数超过了机房的承载能力，整个机房的入口将被封锁，导致机房内的所有服务器因网络拥塞而无法提供服务。 后来出现了一个黑洞，但黑洞当时也配置在计算机房的入口处，这只是减轻了服务器上的压力。如果攻击总量超过了机房的承载能力，整个机房的服务器就无法向外界提供服务，因为入口被堵塞。在这种情况下，声明攻击者已经成功，没有必要全心全意地攻击。但是，如果攻击者因为无法访问目标而没有停止攻击，计算机室入口处仍然存在拥塞的风险。 后来，黑洞被进一步升级，操作员连接的黑洞被采用在计算机房黑洞的顶部。在流量大的情况下，DDoS防御系统会呼叫运营商的黑洞，丢弃运营商一侧的流量，这可以大大减轻DDoS攻击对机房带宽的压力。 云计算平台也广泛使用这种黑洞技术来隔离被攻击的用户，确保机房和独立用户不受DDoS攻击的影响。此外，云计算平台的优势在于它提供灵活且可扩展的计算资源和网络资源。通过整合这些资源， 最常用的黑洞防御方法的流程如图所示。在攻击过程中，黑客会收集来自世界各地的攻击流量，攻击流量会收集并进入运营商的主干网，然后从主干网进入下一级运营商，通过运营商的线路进入云计算机房，直到到达云主机。我们的防御策略正好相反。云服务提供商与运营商签署协议。运营商支持云服务提供商发布的黑洞路由，将黑洞路由传播到整个网络，并丢弃附近指定的IP流量。当云服务提供商检测到攻击并超过自由防御的极限时，为了防止攻击流量达到机房的阈值，云计算系统会向上级运营商发送一条特殊的路由并丢弃该IP流量，从而导致流量被丢弃在附近运营商的黑洞中。 为什么托管服务提供商不对你进行无限制的攻击？ 一般来说，服务模块将帮助您抵御少量攻击，因为大部分时间可能是检测流量等。而不是真正的攻击。如果你一次扔一个黑洞，用户体验会很差。分布式拒绝服务攻击是我们的共同敌人。大多数云计算平台试图免费保护大多数分布式拒绝服务客户，客户分担分布式拒绝服务的风险。当你受到大规模DDoS攻击时，你不是唯一的受害者。整个机房和车队将受到严重影响，所有服务的稳定性无法得到保证。此外，正如我们前面提到的，DDoS是一种带宽消耗攻击。如果你想解决它，带宽消耗攻击需要增加带宽，但机房本身最大的成本是带宽成本。带宽由机房从电信、联通、移动和其他通信运营商处购买。运营商的费用基于带宽。充电时，运营商不会清理DDoS攻击流量，但它也包含在充电中，这导致了高成本的机房。如果你不承担相应的费用，机房的无奈选择就是把你的服务器扔进黑洞。 当您的主机受到攻击时，服务提供商会怎么做？ 目前，随着每个人都走向云计算，我们已经整理出市场上几家云计算服务提供商的黑洞策略，供您选择。 AWS AWS的AWSSELD服务为用户提供DDoS防御服务。该服务分为免费标准版和收费高级版。免费标准版本不保证保护效果，可能会阻止公共网络的知识产权。付费版本只需每月支付3000美元即可享受保护服务。 蔚蓝的 Azure为用户提供了针对DDoS攻击的免费服务，但没有承诺保护的效果。如果攻击强度过大并影响云平台本身，就有可能屏蔽公共网络知识产权。 阿里云 Aliyun的云盾服务为用户提供防御DDoS攻击的能力。在成本控制的情况下，阿里云将为用户提供针对DDoS攻击的免费防御。当攻击超过阈值时，阿里云将屏蔽被攻击的知识产权。Aliyun免费为用户提供高达5Gbps的恶意流量攻击保护。您可以在每个产品的产品销售页面上看到相关的说明和条款(欧洲商品安全中心、SLB、EIP等)。)。相关服务的限制也在其帮助文档中进行了解释。 腾讯云 腾迅云还为用户提供免费的DDoS攻击防护服务。免费防御服务的标准���下:当外部网络上的知识产权攻击峰值超过2Gbps(被扔进黑洞)时，将执行知识产权拦截操作。一般来说，黑洞的持续时间是2小时，在大流量攻击中，阻塞持续时间从24小时到72小时不等。 普通国际数据中心 最常见的国际数据中心不提供防御能力。如果遭到攻击，就有可能拔掉网线。 如何利用云计算能力合理抵御DDoS攻击 合理利用云计算能力可以尽可能减少攻击时的损失:1 .充分利用云平台灵活可扩展的资源。设计一个可以横向扩展的系统架构，以避免耗尽知识产权资源或中央处理器资源，不仅可以有效地减轻分布式拒绝服务攻击的影响，还可以提高系统的可靠性。2、减小攻击半径。设计系统时，将应用层与数据层分开，将网络接入层与系统服务分开