拒绝服务攻击

拒绝服务攻击即攻击者想办法让目标机器停止提供服务，是黑客常用的攻击手段之一。其实对网络带宽进行的消耗性攻击只是拒绝服务攻击的一小部分，只要能够对目标造成麻烦，使某些服务被暂停甚至主机死机，都属于拒绝服务攻击。拒绝服务攻击问题也一直得不到合理的解决，究其原因是因为这是由于网络协议本身的安全缺陷造成的，从而拒绝服务攻击也成为了攻击者的终极手法。攻击者进行拒绝服务攻击，实际上让服务器实现两种效果：一是迫使服务器的缓冲区满，不接收新的请求；二是使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。

拒绝服务攻击方式是多样的，但是仔细研究攻击的模式，可以分为以下四种情况：

a.消耗包括网络带宽、存储空间、CPU 时间等资源；

b.破坏或者更改配置信息；

C.物理破坏或者改变网络部件；

d.利用服务程序中的处理错误使服务失效。按照攻击发起的位置，拒绝服务攻击又可以分为传统的拒绝服务攻击和分布式拒绝服务攻击。

根据对以往的各种DoS攻击事件和手段的经验，DoS攻击会有如下发展趋势：

(1)DoS攻击将越来越多地采用IP欺骗技术；

(2)DDoS技术和工具将不断推陈出新；

(3)DoS攻击将会不断智能化，具有躲过IDs检测跟踪和规避防火墙防御体系等特点；

(4)针对路由器弱点的Dos攻击将会增多；

(5)DOS攻击将更多地利用路由器的多点传送功能；

(6)针对他TCP/IP协议先天缺陷攻击将是新的DoS攻击趋势。

拒绝服务攻击会造成时间和金钱上的重大损失，成为网络经济和电子商务的拦路虎.因此制定防范策略，实施保护措施，提高系统的防御能力十分迫切和重要。

下面针对攻击方式的不同，分别给出不同的解决方案：

1.破坏物理设备

物理设备包括：计算机、路由器、电源、冷却设备、网络配线室等 防范这种破坏的主要措施有：例行检查物理实体的安全，使用窖错和冗余网络硬件的方法。

2.破坏配置文件

由于系统很可能因错误配置而无法继续提供正常的服务，固此，管理员应首先正确设置系统及相关软件的配置信息.并在安全介质上保留备份；利用工具及时发现配置文件的变化，并快速恢复这些配置信息保证系统和网络的正常运行。

利用网络协议或系统的设计弱点和实现漏洞这类攻击主要指SYN flooding攻击，Ping of Death攻击，Teardrop攻击，Land攻击等，前面的分析中已经给出了详细的解决方案和防护措施，这里不再赘述。

3.消耗系统资源

系统资源包括CPU资源，内存资源，磁盘空间，网络带宽等，攻击者剃用资源有限的特点，恶意消耗系统资源，使系统无法提供正常的服务。Smurf，DDoS等都属于该类型。全球网络管理员和ISP管理好自己的网络不被人滥用迫在眉睫。针对这种情况，管理员可以采取下面这些行之有效的防范措施：

(1)及时地给系统打补丁，设置正确的安全策略；

(2)定期检查系统安全，检查是否被安装了DDoS攻击程序，是否存在后门等；

(3)建立资源分配模型，设置阈值，统计敏感资源的使用情况；

(4)优化路由器配置：正确配置路由器的内、外网卡：设置他P拦截；限制TCP连接超时阈值；禁止IP广播包流^内部网络；禁止外出的ICMP不可达消息；

(5)使用第三方的13志分析系统来保留线索，顺藤摸瓜，将肇事者绳之以法。