企业中必备的五大 DDoS 防护技术你知道几个？--粉丝服务平台-粉丝头条-fensifuwu.com

企业中必备的五大 DDoS 防护技术你知道几个？

科技 07-04 来源：太平洋电脑网

【PConline 深度】我们说，分布式拒绝服务 ( DDoS ) 攻击已经进入了 1Tbps 的 DDoS 攻击时代。根据 Radware 的最新研究结果显示，DDoS 攻击不仅规模越来越大，也越来越复杂。黑客们不断提出新的可以绕过传统 DDoS 防护措施的创新方法，损害企业的服务可用性。

同样，在线安全提供商也在加快脚步，推出新技术来阻止攻击者。然而，并不是所有的 DDoS 防护措施都是生来平等的。DDoS 防护服务的质量和所能提供的的防护措施有很大差别。为了确保能够防御最新和最强大的 DDoS 攻击，企业必须确定其安全提供商可以提供应对这些最新威胁的最佳工具和技术。

那么，企业现代 DDoS 防护措施中的 5 项必备功能，你知道几个？

应用层 DDoS 防护

应用层 ( L7 ) DDoS 攻击已经超过网络层 ( L3/4 ) 攻击，成为了最广泛的攻击矢量。据 Radware 2017-2018 年 ERT 报告称，64% 的企业都面临着应用层攻击，相比之下，面临网络层攻击的企业仅为 51%。

事实上，据 ERT 报告称，在所有攻击类型中 ( 包括网络层和应用层 ) ，HTTP 洪水是排名第一的攻击矢量。此外，SSL、DNS 和 SMTP 攻击也是常见的应用层攻击类型。

许多在线安全服务都承诺可以通过 WAF 实现 L7 层 DDoS 防护。然而，这通常需要在 DDoS 防护机制的基础之上订阅昂贵的附加 WAF 服务。

这些趋势暗示了，现代 DDoS 防护已经不只是为了防御网络层 DDoS 攻击。为了让企业得到充分保护，现代 DDoS 防护措施必须包含可以防御应用层 ( L7 ) 攻击的内置防御措施。

SSL DDoS 洪水防护

目前，加密流量占了互联网流量的一大部分。根据 Mozilla 的 Let ’ s Encrypt 项目，全球 70% 以上的网站都是通过 HTTPS 传输的，这一比例在美国和德国等市场中更高。这些发现在 Radware 最新的 ERT 报告中都有所体现，目前，96% 的企业都在一定程度上采用了 SSL，其中 60% 的企业证实了，他们的大部分流量都是经过加密的。

然而，这种增长也带来了重大的安全挑战：与常规请求相比，加密请求可能需要高达 15 倍以上的服务器资源。这就意味着，复杂的攻击者即使利用少量流量也可以击垮一个网站。

由于越来越多的流量都是经过加密的，SSL DDoS 洪水成为了黑客越来越常用的攻击矢量。据 Radware 最新的 ERT 报告称，过去一年间，30% 的企业都声称遭受了基于 SSL 的攻击。

鉴于基于 SSL 的 DDoS 攻击的威力，对希望得到充分保护的企业而言，可以防御 SSL DDoS 洪水的高水平防护措施是必不可少的。

零日防护

攻击者在不断寻找新的方法，绕过传统的安全机制，并利用前所未见的攻击方法攻击企业。即使对攻击特征码做一些微小修改，黑客也能创造出手动特征码无法识别的攻击。这类攻击通常被称为 " 零日 " 攻击。

例如，一种常见的零日攻击就是脉冲式 DDoS 攻击，在切换到另一个攻击矢量之前，该攻击会利用高容量攻击的短时脉冲。这些攻击通常会结合许多不同的攻击矢量，依赖需要手动优化的传统安全解决方案的企业在面对这些打了就跑的战术时往往会陷入困境。

另一类零日攻击是放大攻击。放大攻击通常会采用请求和响应包大小严重不对称的通信协议。此类攻击会将流量从不参与攻击的第三方服务器上反射出来，放大攻击流量，进而击垮攻击目标。

据 Radware 2017-2018 年 ERT 报告称，42% 的企业都遭受了脉冲式攻击，40% 的企业声称遭受了放大 DDoS 攻击。这些趋势说明了零日攻击防护功能在现代 DDoS 防护机制中的必要性。

行为防护

由于 DDoS 攻击变得越来越复杂，区分合法流量和恶意流量也随之变得越来越困难。对于可以模仿合法用户行为的应用层 ( L7 ) DDoS 攻击而言尤为如此。

许多安全厂商采用的常见机制就是基于流量阈值来检测攻击，并使用速率限制来限制流量峰值。然而，这是一种非常粗糙的攻击拦截方式，因为此方法无法区分合法流量和恶意流量。在流量显著增加的购物季等活动高峰期，这是一个非常严重的问题。速率限制等单一的防护机制无法区分合法流量和攻击流量，最终会拦截合法用户。

然而，一种可以更有效检测并拦截攻击的方法就是采用了解什么是正常用户行为的行为分析技术，并拦截所有不符合这种行为的流量。这不仅可以提供更高水平的防护，而且可以实现更低的误报率，并且不会在流量高峰期拦截合法用户。