硬件防火牆能防ddos，網站防ddos是什麼意思

360網站工程師詳細講解DDoS攻擊和防禦

當地時間上周五，巴西世界盃官網遭到黑客DDoS攻擊，導致網站服務器宕機數小時。據報道，一個名為「匿名」的黑客團體進行了攻擊。360網站安全專家表示，「現在DDoS攻擊非常簡單，不了解技術的人都可以發動，這已經成為網站最大的安全威脅。」。這種攻擊不僅是黑客獲取利潤、進行商業競爭的方式，也是網絡對抗的重要手段。

什麼是DDoS攻擊？如何防禦DDoS攻擊？360網站安全專家做了簡要介紹。

什麼是DDoS攻擊？

DDoS攻擊，即分佈式拒絕服務(DDoS)，攻擊者試圖使目標服務器的磁盤空間、內存、進程、網絡帶寬等資源被佔用，使得普通用戶無法訪問，就像普通商店一樣。有人惡意要求大量人群排隊卻不買東西，讓其他顧客買不到東西。

攻擊者進行拒絕服務攻擊，實際上使服務器達到兩個效果：一是迫使服務器的緩衝區滿，無法接收新的請求；二是利用IP欺騙迫使服務器終止合法用戶的連接，影響合法用戶的連接。

攻擊者利用傀儡機(俗稱「肉雞」、病毒木馬控制的計算機或服務器)作為攻擊平台，通過偽裝大量合法請求，佔用大量網絡資源，從而阻止指定的目標網絡或服務。

隨着網絡攻擊技術的發展，攻擊者不僅控制計算機，還控制高性能服務器，甚至自願加入殭屍網絡。

匿名發起的DDoS攻擊利用了殭屍網絡。

DDoS攻擊有哪些？

DDoS攻擊除了洪水攻擊，還會緩慢而堅定地發送請求，長時間佔用資源，一點一點蠶食目標。對巴西世界盃的攻擊是洪水襲擊，導致服務器關閉了幾個小時。

從技術上講，攻擊者通常使用幾種DDoS攻擊：

SYN/ACK Flood攻擊：這種攻擊方式是最經典也是最有效的DDoS方式，主要是向受害主機發送大量偽造源IP和源端口的SYN或ACK數據包，導致主機緩存資源耗盡或忙於發送相應數據包，造成拒絕服務，可以扼殺各種系統的網絡服務。這種攻擊很難追蹤，因為它的來源是假的。但是攻擊難以實施，需要大量高帶寬的殭屍主機。TCP全連接攻擊：這種攻擊是為了繞過常規防火牆的檢查而設計的。一般情況下，常規防火牆大部分都是為正常的TCP連接預留的，但是很多網絡服務程序可以接受的TCP連接數量是有限的。TCP全連接攻擊是指很多殭屍主機不斷與受害服務器建立大量TCP連接，直到服務器內存等資源耗盡被拖垮，造成拒絕服務。這種攻擊的特點是可以繞過一般防火牆的保護，實現攻擊；缺點是需要找到很多殭屍主機，殭屍主機IP暴露，容易被跟蹤。

腳本攻擊：這種攻擊是與服務器建立正常的TCP連接，不斷向腳本程序提交消耗大量數據庫資源的查詢、列表等調用。一般來說，向客戶端提交指令的成本和對帶寬的佔用幾乎可以忽略不計，但是服務器可能要從數萬條記錄中找出某條記錄才能處理這個請求，這就消耗了大量的資源。攻擊者只需要通過代理向目標服務器提交大量的查詢指令，在短短几分鐘內就會消耗服務器資源，導致拒絕服務。這種攻擊的特點是可以完全繞過常見的防火牆保護，輕鬆找到一些代理進行攻擊；缺點是只處理靜態頁面的網站效果會大大降低，攻擊者的IP地址會暴露出來。

DDoS攻擊的目的是什麼？

DDoS攻擊只有通過控制殭屍電腦才能實現，任何熟悉黑客技術的人都可以低成本對目標發動攻擊。所以不僅僅是黑客或者技術人員，普通人也可以僱傭黑客來發動。比如競爭對手，對網站或者組織不滿的人，甚至離職的員工或者撕毀合同的合作夥伴。

總之，大部分攻擊者通過DDoS攻擊是為了敲詐或者競爭，很少是單純的破壞。攻擊巴西，世界盃的組織「匿名者」對巴西的貧困、腐敗和警察暴力表示抗議，並發起了DDoS攻擊。他們甚至制定了一個名為「進攻世界盃」的計劃。

肯定有很多網站說：我的網站小，不會引起攻擊者的注意。恐怕這個想法需要改變。一個網站只要建立了，就有可能被攻擊。而且由於缺乏專業的保護，小網站更容易被黑客得逞。

站長如何防禦DDoS攻擊？

雖然不可能完全消除DDoS，但通過適當的措施抵禦DDoS攻擊是可能的。因為DDoS攻擊畢竟是有代價的，如果通過適當的方法增強了抵抗DDoS的能力，就意味着攻擊者的攻擊成本增加了，那麼大部分攻擊者將無法繼續並放棄，相當於成功抵抗了DDoS攻擊。所以站長可以使用360網站衛士等雲防護產品進行一鍵防護。DDoS攻防在攻防博弈中不斷更新，需要提前建立完整的安全防禦措施。