當前位置:首頁 > 通信技術 > 通信網(wǎng)絡
[導讀] DDoS攻擊在如今已經(jīng)層出不窮,一旦遭受DdoS攻擊,就意味著整個企業(yè)的網(wǎng)絡服務暫停了,特別是DNS服務主機,那么在DDoS攻擊下保護DNS這問題十分嚴重。 如果你的服務器主機中運行了D

DDoS攻擊在如今已經(jīng)層出不窮,一旦遭受DdoS攻擊,就意味著整個企業(yè)的網(wǎng)絡服務暫停了,特別是DNS服務主機,那么在DDoS攻擊下保護DNS這問題十分嚴重。

如果你的服務器主機中運行了DNS服務,那么一定要小心DdoS這個很現(xiàn)實的攻擊行為。而如果你的DNS服務遭受到了DdoS攻擊,那么可以想象,最低的損失也是丟失電子郵件和暫停Web服務。而如果你的DNS服務主機位于企業(yè)內(nèi)部,并且與企業(yè)用戶的網(wǎng)絡瀏覽等服務共用網(wǎng)絡連接,那么一旦遭受DdoS攻擊,就意味著整個企業(yè)的網(wǎng)絡服務暫停了。就算你的DNS服務只是用于測試或其它有限的目的,一旦被攻擊,所波及的范圍也會很廣。

其它會威脅到DNS的情況還包括對外網(wǎng)開啟FTP服務,這個服務本來不應該從企業(yè)內(nèi)部對外開放的。因為管理員都明白,一旦你這樣做了,黑客和各種機器人程序會通過各種手段,包括暴力破解方式,來取得FTP的賬戶和密碼。就算你采用了很復雜的密碼,當多個暴力破解程序運行時,由此產(chǎn)生的失敗的FTP訪問流量就足以耗光網(wǎng)絡資源。

總之,企業(yè)自己搭建和管理DNS總會存在一定程度的安全風險。換句話說,目前公認的較好的解決方案就是DNS服務托管。對于那些還沒有為自己管理DNS服務做好萬全準備的企業(yè)來說,唯一的建議就是找個信任ISP或其它專業(yè)的托管機構,將這個事兒交給他們?nèi)プ觥?/p>

DDoS攻擊親身體驗

之所以撰寫這篇文章,也是因為我經(jīng)歷了一場真實的DdoS攻擊。當時的受害者是位于北美的一個小辦公室,擁有一個DSL路由器和一個靜態(tài)IP地址。辦公室的服務器對外開啟了DNS。被攻擊的早期征兆有兩點,一是接收到的電子郵件數(shù)量比平時有所下降,二是Web瀏覽速度下降。在經(jīng)過幾天的不良癥狀后,該辦公室再也收不到來自外界的電子郵件了,同時也無法進行網(wǎng)絡瀏覽了。使用最簡單的ping命令到互聯(lián)網(wǎng)大型網(wǎng)站地址,得到的結果要么是失敗,要么就是超過1000ms的響應時間,這也基本算是無法連接了。

很明顯此時有某個網(wǎng)絡進程充斥在DSL連接中。辦公室中的每臺電腦都關機重啟了,并沒有解決問題。重啟DSL也沒有解決問題。但是在重啟DNS服務器后,會有短暫的時間恢復到正常的互聯(lián)網(wǎng)連接狀態(tài),幾分鐘后,這種正常的連接速度再次變得不正常,并很快無法連接任何網(wǎng)站??紤]到可能是電子郵件系統(tǒng)或基于Web的進程出現(xiàn)故障,便先后將服務器中的Exchange服務和Web服務關停,但是沒有效果。在接下來的逐項嘗試中,我們發(fā)現(xiàn)關閉DNS服務會產(chǎn)生明顯的效果,于是我們最終將問題鎖定在DNS服務上。

但是DNS服務的日志中并沒有任何警告事件,而且服務器本身也安裝了最新的補丁,包括DNS服務補丁和DoS溢出補丁。另一個找尋線索的位置就是防火墻的日志文件。雖然這個辦公室的防火墻沒有歷史日志文件,但是我們可以查看選定網(wǎng)絡協(xié)議的實時日志。從實時的防火墻日志可以觀察到,有兩個互聯(lián)網(wǎng)上的IP地址在不斷向辦公室的服務器發(fā)送DNS請求數(shù)據(jù)。這兩個IP地址所代表的服務器都位于歐洲,分別屬于兩個不同的國家,但是它們都在向這個相同的DNS服務地址發(fā)送大量的數(shù)據(jù)。如果有兩個或兩個以上的遠程地址在進行DoS攻擊,就可以將其歸類為DDoS攻擊,即分布式DoS攻擊。。

在DDoS攻擊下保護DNS

一旦你知道了攻擊方的IP地址,就可以簡單在防火墻中設置一個IP規(guī)則,阻止來自該IP地址的任何數(shù)據(jù)通過防火墻。在我們阻止了一個IP地址后,ping主流網(wǎng)站的結果已經(jīng)達到300ms了。當我們將第二個IP地址阻擋后,ping主流網(wǎng)站的結果已經(jīng)恢復到正常水平,大概30ms,并且所有網(wǎng)絡功能恢復了正常。這個辦公室很幸運,所遭受的DDoS攻擊只有兩個攻擊源,兩個固定IP地址。如果攻擊源有幾十甚至上百個(或者攻擊源IP地址是變化的),該辦公室的處境就艱難的多了,同時對日常業(yè)務的沖擊也會更大。

正如我前面提到的,防止DNS服務器遭遇DDoS攻擊的最佳方案是將DNS服務交給DNS服務供應商去實現(xiàn),比如你的ISP或知名的DNS注冊機構,或者可靠的托管機構。雖然這種做法無法從根本上杜絕黑客對于供應商展開DoS攻擊的威脅,但是起碼能夠防止在發(fā)生DoS攻擊時,你企業(yè)的各種網(wǎng)絡功能會不受影響。

如果出于某種原因,你必須要在企業(yè)內(nèi)部建立DNS服務,那么一定要制定一個針對DNSDoS攻擊的應對策略。比如在不同地點建立多個DNS服務器,使用強化或?qū)S玫腄NS服務器或應用程序并采用獨立的互聯(lián)網(wǎng)連接線路。Verisign在2011年5月發(fā)布了一份DNS可用性狀態(tài)報告,確認就算是最頂級的電子商務網(wǎng)站,其DNS的可用性也面臨潛在風險,尤其是那些自己建立和管理DNS服務的企業(yè)。

本站聲明: 本文章由作者或相關機構授權發(fā)布,目的在于傳遞更多信息,并不代表本站贊同其觀點,本站亦不保證或承諾內(nèi)容真實性等。需要轉(zhuǎn)載請聯(lián)系該專欄作者,如若文章內(nèi)容侵犯您的權益,請及時聯(lián)系本站刪除。
換一批
延伸閱讀

9月2日消息,不造車的華為或?qū)⒋呱龈蟮莫毥谦F公司,隨著阿維塔和賽力斯的入局,華為引望愈發(fā)顯得引人矚目。

關鍵字: 阿維塔 塞力斯 華為

加利福尼亞州圣克拉拉縣2024年8月30日 /美通社/ -- 數(shù)字化轉(zhuǎn)型技術解決方案公司Trianz今天宣布,該公司與Amazon Web Services (AWS)簽訂了...

關鍵字: AWS AN BSP 數(shù)字化

倫敦2024年8月29日 /美通社/ -- 英國汽車技術公司SODA.Auto推出其旗艦產(chǎn)品SODA V,這是全球首款涵蓋汽車工程師從創(chuàng)意到認證的所有需求的工具,可用于創(chuàng)建軟件定義汽車。 SODA V工具的開發(fā)耗時1.5...

關鍵字: 汽車 人工智能 智能驅(qū)動 BSP

北京2024年8月28日 /美通社/ -- 越來越多用戶希望企業(yè)業(yè)務能7×24不間斷運行,同時企業(yè)卻面臨越來越多業(yè)務中斷的風險,如企業(yè)系統(tǒng)復雜性的增加,頻繁的功能更新和發(fā)布等。如何確保業(yè)務連續(xù)性,提升韌性,成...

關鍵字: 亞馬遜 解密 控制平面 BSP

8月30日消息,據(jù)媒體報道,騰訊和網(wǎng)易近期正在縮減他們對日本游戲市場的投資。

關鍵字: 騰訊 編碼器 CPU

8月28日消息,今天上午,2024中國國際大數(shù)據(jù)產(chǎn)業(yè)博覽會開幕式在貴陽舉行,華為董事、質(zhì)量流程IT總裁陶景文發(fā)表了演講。

關鍵字: 華為 12nm EDA 半導體

8月28日消息,在2024中國國際大數(shù)據(jù)產(chǎn)業(yè)博覽會上,華為常務董事、華為云CEO張平安發(fā)表演講稱,數(shù)字世界的話語權最終是由生態(tài)的繁榮決定的。

關鍵字: 華為 12nm 手機 衛(wèi)星通信

要點: 有效應對環(huán)境變化,經(jīng)營業(yè)績穩(wěn)中有升 落實提質(zhì)增效舉措,毛利潤率延續(xù)升勢 戰(zhàn)略布局成效顯著,戰(zhàn)新業(yè)務引領增長 以科技創(chuàng)新為引領,提升企業(yè)核心競爭力 堅持高質(zhì)量發(fā)展策略,塑強核心競爭優(yōu)勢...

關鍵字: 通信 BSP 電信運營商 數(shù)字經(jīng)濟

北京2024年8月27日 /美通社/ -- 8月21日,由中央廣播電視總臺與中國電影電視技術學會聯(lián)合牽頭組建的NVI技術創(chuàng)新聯(lián)盟在BIRTV2024超高清全產(chǎn)業(yè)鏈發(fā)展研討會上宣布正式成立。 活動現(xiàn)場 NVI技術創(chuàng)新聯(lián)...

關鍵字: VI 傳輸協(xié)議 音頻 BSP

北京2024年8月27日 /美通社/ -- 在8月23日舉辦的2024年長三角生態(tài)綠色一體化發(fā)展示范區(qū)聯(lián)合招商會上,軟通動力信息技術(集團)股份有限公司(以下簡稱"軟通動力")與長三角投資(上海)有限...

關鍵字: BSP 信息技術
關閉
關閉