三个阶段阻止DDoS攻击，你学会了吗？-码上建站

当前位置：首页 >时尚 >三个阶段阻止DDoS攻击，你学会了吗？

三个阶段阻止DDoS攻击，你学会了吗？

发布时间：2025-11-05 11:08:30 来源：码上建站作者：IT科技

分布式拒绝服务 (DDoS) 攻击是个阶S攻一种网络攻击，其中恶意行为者用大量数据淹没目标系统或网络，段阻从而压倒预期目标，击学使合法用户无法使用。个阶S攻

当遭受DDoS攻击时，段阻系统会陷入瘫痪，击学并且经常完全没有响应。个阶S攻防御者必须迅速采取行动阻止攻击，段阻这可能需要外部援助，击学甚至暂时关闭资源；使用日志、个阶S攻警报和其他资源确定DDoS攻击的段阻类型；最后，通过更改安全架构并投资工具来防止未来的击学攻击，从而从攻击中恢复过来。个阶S攻

第一阶段：遏制

一旦遭受DDoS 攻击，段阻资源运行就会变得迟缓，击学甚至保护资源的更改也难以执行。虽然如果不识别攻击就无法完全阻止攻击，但如果系统因恶意流量泛滥而无法访问，则无法识别攻击。

必须停止攻击（即使是暂时的），以恢复内部资源，例如 CPU 容量和内存。将日志发送到其他资源（独立存储、SIEM 解决方案等）的组织可能能够同时阻止攻击并确定 DDoS 攻击的类型。

初始DDoS响应策略

简单的 DDoS 攻击通常可以通过熟练的亿华云内部资源进行阻止。但是，请记住，即使是基本的 DDoS 攻击也可能需要借助主机互联网服务提供商 (ISP) 的帮助在上游进行阻止，否则被阻止的 DDoS 攻击流量仍可能威胁连接带宽和 ISP 基础设施。

您可以选择的初始 DDoS 响应选项包括致电您的服务提供商（如互联网和网络托管）、联系网络安全专家、更改您的网络以阻止攻击并加强 DDoS 防护、关闭您的服务以在重新上线之前进行更改，和/或实施新技术以获得更好的保护。

在某些情况下，只需联系互联网或网络托管提供商并通知他们有关情况，就可以阻止 DDoS 攻击。他们可能已经知道并正在努力阻止流量。服务提供商可以确认攻击的存在并实施一些更改以阻止恶意流量进入网络。其中一些包括：

增加带宽：

更改 IP 地址/范围：

源码下载

虽然联系服务提供商很有帮助，但这可能还不够。典型的互联网机器人 DDoS 攻击规模可达100 到 500 Gbps，一些更大规模的攻击每秒可达到1 亿次以上请求。如果没有专业帮助，即使是最大的企业也难以阻止这种规模的攻击。

利用熟练的专业人员和高端工具和服务的组合是防御 DDoS 攻击以及保护自己免受未来攻击的最有效方法之一。这些方法包括：

网络安全专家：

云服务：

请务必更新您的访问控制列表，以允许服务与受保护系统之间的b2b信息网连接并阻止其他连接，这样就不会有任何东西绕过 DDoS 服务。但是，也请记住，即使是云提供商也无法阻止源自组织网络内的 DDoS 攻击。

虽然拥有专业工具和服务值得投资，但它仍然是一项昂贵的投资，超过任何内部解决方案，可能不是公司愿意承担的费用。此外，在您受到攻击时寻找合格的专业人员可能会很困难且压力很大。

此外，安全专家通常会记录僵尸网络和攻击媒介，以便他们能够迅速采取行动，甚至在攻击发起之前就阻止攻击。

查看日志文件通常会揭示有关您的网络的宝贵信息，包括产生大部分 DDoS 流量的 IP 地址和位置。然后，您可以使用这些信息在您的网络上启用快速且廉价的防御措施。一些选项包括：

IP 过滤：

地理封锁：

这些可以为团队提供急需的时间来开发和部署其他策略，但很少是永久性的解决方案，因为攻击者可以欺骗他们的 IP 地址或利用未封锁地区的僵尸网络，导致安全打地鼠游戏，防御者不断试图跟上攻击者。

此外，来自被阻断区域的任何合法流量都将无法访问您的资源，这可能会导致该地区的财务损失和声誉受损。最后，通常建议在 ISP 级别也应用这些过滤器，以避免被阻断的流量所消耗。

组织应检查其现有资源（服务器软件、路由器固件等），以查找可能尚未激活的 DDoS 保护选项。检查您的网络设备是否有以下安全选项：

路由器上的 DDoS 保护：

速率限制：

由于这些功能已内置于多个网络设备中，因此在攻击发生之前在网络上设置和运行这些功能应该相对容易且成本低廉。它们在攻击期间可能无效，您可能直到攻击之后才能部署这些功能。

有时，关闭受到攻击的系统是最佳选择。在恢复在线状态之前，可以隔离服务或资源并加强其防御能力，防止进一步受到攻击。以下是一些示例：

停止特定请求：

阻止下载：

这是一种快速、廉价且有效的阻止 DDoS 攻击的方法。但停机时间也可能对组织造成破坏和成本高昂。尤其是在系统完全关闭的情况下。

此步骤需要最深入的规划和配置，理想情况下应尽早实施，而不是在攻击发生后实施，因为在攻击发生后，决策可能会仓促做出，考虑事项可能会被忽视。需要考虑的一些工具包括：

防火墙：

安全网关：

DDoS 防护设备：

这些工具的缺点是部署起来成本高昂且耗时，并且需要大量资源进行维护。此外，它们无法防御外部攻击，并且可能无法快速扩展以防御更大规模的攻击。

任何受到攻击的组织都应探索所有选择，并根据其当前情况实施他们认为最有可能成功的措施。

非技术性DDoS响应

即使事件响应团队可能正在努力应对 DDoS 攻击，组织仍必须与其他利益相关者打交道。攻击发生后，请遵循以下非技术响应：

通知高管和利益相关者：

建立内部沟通：

协调公共关系：

联系您的保险提供商：

管理层应将非技术援助纳入事件响应团队，以协调、管理和执行与利益相关者的书面、口头和电话沟通。高管甚至可能希望在团队中嵌入某人，该人有权批准费用或协调从 DDoS 攻击中恢复所需的快速采购授权。

内部攻击与外部攻击

上述初始 DDoS 技术适用于所有攻击。但是，根据 DDoS 攻击的类型和受影响的架构，某些技术会比其他技术更有用。您需要了解保护内部网络和外部资源（如视频游戏系统）免受 DDoS 攻击之间的区别。

阻止内部和外部路由器、服务器和网站DDoS攻击

暴露在互联网上的实用程序、应用程序和网站资产通常会成为 DDoS 攻击者的目标，因为它们最容易受到影响。托管或支持这些资源的服务器通常会遭受 CPU、内存和带宽过载。

这些攻击与针对服务器和路由器的内部 DDoS 攻击截然不同，后者针对的是内部网络协议和资源。不过，一旦攻击开始，保护这些不同资源的步骤将非常相似。

检查日志文件并开始阻止与攻击（内部或外部）相关的 IP 地址，使用地理围栏来阻止特定区域，或者对于内部攻击，甚至关闭产生流量的受损本地设备。

然而，有些情况不允许DDoS攻击者关闭设备。例如，如果攻击者将医院的呼吸机变成僵尸网络，医院就无法简单地关闭呼吸机，否则会严重影响患者的健康。

此外，许多攻击者一旦意识到攻击已被阻止，就会改变策略和攻击源。尽管阻止可能只是暂时有效，但它有助于争取时间实施更有效的保护措施。

如果阻止无效，请尝试更改服务器 IP 地址、路由器 IP 地址或网站 URL，以将服务器移出 DDoS 攻击路径。与阻止攻击一样，这可能只是暂时的缓解，但它可以为实施需要更多时间才能执行的其他策略赢得时间。

如果阻止或避开攻击不起作用，组织可能需要停止受到攻击的服务（例如 PDF 下载、购物车、内部路由器等）。

部分或全部停止网站、应用程序或内部网络将造成严重破坏，因此不应轻视这一步骤。只有在步骤 1 和 2 无法提供足够的时间来执行下面的其他步骤时，才应执行此步骤。

当部分事件响应团队试图阻止现有攻击时，其他成员应致力于通过以下方式启用针对 DDoS 攻击的其他保护措施：

致电 ISP：

评估防火墙保护：

调整速率限制：

添加工具：

获取帮助：

但请注意，额外的保护措施可能会影响现有的架构或性能。例如，负载均衡器可能会被 DDoS 工具绕过，或者 DDoS 保护设备的数据包检查可能会导致流量延迟。

还请记住，取证或安全调查将成为恢复过程的一部分，特别是对于可能引发网络安全保险索赔的任何攻击。需要找到并删除攻击者引入的初始感染、接入点、恶意软件和系统更改，以防止未来的 DDoS 攻击或其他类型的攻击（勒索软件、数据盗窃等）。

阻止外部路由器或视频游戏系统DDoS攻击

小型企业、游戏服务器和主播通常将路由器直接连接到互联网，攻击者可以找到他们的 IP 地址来攻击他们。由于没有 IT 专业人员支持环境，对这些暴露系统的攻击可能会导致互联网访问完全中断。阻止这些攻击的一些方法是更改您的 IP 地址、在您的设备中启用防御功能以及添加额外的安全层。

避免 DDoS 攻击的最快方法是重置 IP 地址。有几种方法可以实现此目的：

最快捷的方法 — 拔掉电源：

最佳方法——联系 ISP：

管理控制台 IP 重置：

命令提示符 IP 地址重置：

当然，这种技术会导致互联网或网络不可用，直到路由器重新启动，攻击者仍然可以搜索新的IP地址来攻击路由器。

您还可以探索所用装备的防御选项。一些防御选项包括：

路由器保护：

升级设备：

启用隐私模式：

为了阻止未来针对路由器的攻击，请考虑添加额外的保护层：

添加设备：

升级或添加专业级设备：

基于云的保护：

VPN 网络服务：

最佳选择取决于组织或个人的预算和技术能力以及解决方案需要多快实施。

第二阶段：分析

有些攻击会变得明显，因为一切都会停止，但通常会有一段时间，资源在应对 DDoS 攻击的早期阶段时会“表现得很奇怪”。无论哪种情况，除非识别出攻击，否则无法完全阻止攻击，查看日志以确定 DDoS 攻击的类型，并可能追踪攻击的来源。

识别 DDoS 攻击的迹象

DDoS 攻击的最初迹象是延迟。应用程序运行缓慢、网站加载缓慢、服务器响应请求缓慢等。

受到攻击的互联网连接的用户可能会发现自己无法与互联网连接，或无法使用本地资源。网络运营中心、防火墙监控工具、云使用工具和其他监控解决方案可能会捕捉到网络或互联网流量的峰值。

在攻击进行到一定阶段时，资源将变得不可用 — 甚至无法运行诊断工具或访问日志文件和其他报告。团队应尽快做出响应，或确保资源优先发送日志以供分析。

检查并分析日志、警报和记录

理想情况下，第一个故障指标将以日志和警报的形式出现，这些警报来自监控工具和软件，用于检查带宽、应用程序性能、内存或 CPU 问题。警报可以帮助响应团队立即采取行动，并在 DDoS 攻击耗尽资源之前阻止它。

提示：记录所有内容。这些来自 DDoS 攻击的记录为多个团队和利益相关者提供了宝贵的信息，其中包括：

事件响应团队：

网络安全保险：

如果没有警报，组织可能不得不依赖客户或内部投诉，而这些投诉可能会因资源拥塞（应用程序、服务器等）而延迟，或者直到整个网络因 DDoS 攻击而瘫痪。

攻击特征

攻击特征分析有助于区分攻击流量与合法流量，并确定攻击类型。例如，使用协议禁用基础设施的攻击与针对应用程序中特定功能的应用程序级攻击需要不同的响应。

由于 DDoS 攻击类型众多，因此很难确定具体是哪一种攻击。不过，响应团队会分析日志，查找有关攻击和潜在防御措施的信息。

DDoS 攻击可能需要进行数字取证调查，以确定恶意软件如何进入网络并发起 DDoS。调查人员将收集证据并确保攻击者和恶意软件已从网络中清除。

攻击追溯

DDoS 攻击追溯旨在识别 DDoS 攻击的来源。例如，如果攻击可以追溯到一系列 IP 地址，则可以通过 IP 阻止来阻止攻击。但是，追踪可能极具挑战性，并且可能无法找到实际的攻击者。

第三阶段：恢复

能够快速消除 DDoS 攻击的组织可能只会遭受不便。不那么幸运的组织将需要评估损失，根据 DDoS 补救措施做出必要的调整，确定采取哪些紧急措施来防止 DDoS 攻击再次发生，并考虑其他预防措施。

DDoS攻击损害

DDoS 攻击造成的损失因组织而异，取决于受影响的资源。然而，Corero最近的一项调查估计，DDoS 攻击每小时可使组织损失数十万美元，大型组织可损失高达 100 万美元，平均每分钟略高于 6,000 美元。然而，这些报告均未考虑其他成本或业务和声誉损失。

遭受 DDoS 攻击后，组织需要记录其保险成本和损失，并制定预算，用于购买工具和服务以防止未来的 DDoS 攻击。

DDoS 补救措施调整

为了阻止攻击，组织可能会对架构或软件进行更改，而这无意中会导致其他问题。恢复过程的一部分需要检查基础设施以检测和修复那些损坏的组件或链接。例如，将网站移至 DDoS 过滤服务提供商之后可能只会移动主域。子域可能需要手动迁移。

同样，与其他第三方工具的集成可能需要额外的配置。例如，发布网站可能会发现他们的 Web 内容管理系统不再正确连接到受 DDoS 提供商保护的发布内容，并且可能需要进行更改才能重新连接到它。

对于在网络内发起的 DDoS 攻击，可能需要对单个计算机系统进行清理，以消除恶意软件或攻击者访问设备进行未来攻击的能力。有时这还可能触发数据和系统恢复需求。

DDoS 攻击经验教训

生成一份经验教训报告，解释所发生的一切，并清楚地说明如何防范类似的攻击。应立即实施缓解措施，但如果不切实际，则应尽快规划缓解措施并提出预算建议。

补救 DDoS 攻击的成本以及停机造成的任何业务损失将提供一个粗略目标，以便与缓解预算进行比较。

如果攻击规模或影响巨大，请向执法机构或CERT 等行业组织报告事件。报告攻击可以建立主要攻击者的档案，并有助于摧毁911 S5和Raptor Train等主要僵尸网络。

了解三个阶段

事件响应团队经常会同时执行这些阶段。此外，当攻击者观察防御者的行为时，他们通常会改变策略，并要求防御团队在这些阶段及其内部步骤之间进行迭代。

当然，每个阶段的具体内容都将高度定制，并取决于许多因素，首先是 DDoS 攻击的类型、受到攻击的资源（路由器、网站、应用程序、服务器等）以及已经实施的DDoS 保护或缓解措施。

此外，IT 架构、防御者的资源以及攻击者的奉献精神也将在如何进行各个阶段和技术方面发挥重要作用。

幸运的是，ISP 和供应商可以为有需要的人提供专业的DDoS 防护服务。但是，他们执行的几项任务与我们介绍的类似，不同之处在于他们可能拥有更多的经验和更复杂的工具。

OSI 模型和 DDoS 攻击

网络上的所有通信都以网络数据包的形式发送。当每台计算机或防火墙收到数据包时，设备将检查内容并根据标头中的说明处理数据包。DDoS 攻击会滥用这些数据包并试图利用潜在的弱点来使系统过载。OSI 模型的不同层可用于确定DDoS 攻击的类型：

层名称

流量类型

DDoS 攻击类型

物理层

跨越硬件的比特

此等级无攻击

数据链路层

寻址框架

此等级无攻击

网络层

待配送包裹

UDP反射攻击、Ping of Death等

传输层

可靠通信部分

ACK 洪水、SYN 洪水等等。

会话层

主机间通信的数据

Telnet 漏洞（应该已经过时了）

表示层

数据表示和加密

SSL 滥用

应用层

应用程序使用的数据

DNS 查询洪水、HTTP 洪水

然而，知道哪一层受到攻击对于阻止或阻止攻击几乎没有帮助。从本质上讲，所有攻击通常分为两类：

基础设施层攻击（第 3、4 层）：

应用层攻击（第 6、7 层）：这些攻击通过超载信息请求来针对网站和应用程序。它们可以通过

在执行阻止 DDoS 攻击的三个关键阶段后，组织将发现自己处于更有利的位置。但是，仅靠恢复无法阻止未来的 DDoS 攻击，因为它们只能解决最后的攻击。阻止 DDoS 攻击的最佳方法始终是组织采取主动并在受到攻击之前采取防御措施。

预防未来 DDoS 攻击的 5 个步骤

IT 和安全团队可以部署多种方案来应对 DDoS 攻击，这将有助于控制和管理攻击发生时的未来影响。其中包括：

加强防御攻击：

部署反 DDoS 架构：

使用反 DDoS 工具：

设计 DDoS 响应手册：

安装 DDoS 监控：

底线：现在做好准备，否则以后会遭殃

随着攻击者的技术和能力不断提高，防御者必须保持警惕。阻止 DDoS 攻击不仅会变得更加困难，而且攻击者还会继续加快利用机会窗口的速度。组织现在应该为未来的 DDoS 攻击做好准备，并利用可用的强大工具和服务来帮助他们。

随便看看