拒绝服务攻击-经济百科

拒绝服务攻击(Denial of Service，DoS)

什么是拒绝服务攻击

拒绝服务攻击是阻止或拒绝合法使用者存取网络服务器的一种破坏性攻击方式。广义上讲，任何能够导致用户的服务器不能正常提供服务的攻击都属于拒绝服务攻击，例如往服务器上泼一杯水，把网线剪断，都属于广义的拒绝服务攻击的范畴。

拒绝服务攻击的具体实现可以是多种多样的，但是究其根本目的，就是使受害主机或者网络失去及时接受处理外界请求或者无法及时回应外界请求。[1]

拒绝服务攻击方式是多样的，但是仔细研究攻击的模式，可以分为以下四种情况：

a.消耗包括网络带宽、存储空间、CPU 时间等资源；

b.破坏或者更改配置信息；

C.物理破坏或者改变网络部件；

d.利用服务程序中的处理错误使服务失效。按照攻击发起的位置，拒绝服务攻击又可以分为传统的拒绝服务攻击和分布式拒绝服务攻击。

根据对以往的各种DoS攻击事件和手段的经验，DoS攻击会有如下发展趋势：

(1)DoS攻击将越来越多地采用IP欺骗技术；

(2)DDoS技术和工具将不断推陈出新；

(3)DoS攻击将会不断智能化，具有躲过IDs检测跟踪和规避防火墙防御体系等特点；

(4)针对路由器弱点的Dos攻击将会增多；

(5)DOS攻击将更多地利用路由器的多点传送功能；

(6)针对他TCP/IP协议先天缺陷攻击将是新的DoS攻击趋势。

拒绝服务攻击会造成时间和金钱上的重大损失，成为网络经济和电子商务的拦路虎.因此制定防范策略，实施保护措施，提高系统的防御能力十分迫切和重要。

下面针对攻击方式的不同，分别给出不同的解决方案：

1.破坏物理设备

物理设备包括：计算机、路由器、电源、冷却设备、网络配线室等防范这种破坏的主要措施有：例行检查物理实体的安全，使用窖错和冗余网络硬件的方法。

2.破坏配置文件

由于系统很可能因错误配置而无法继续提供正常的服务，固此，管理员应首先正确设置系统及相关软件的配置信息.并在安全介质上保留备份；利用工具及时发现配置文件的变化，并快速恢复这些配置信息保证系统和网络的正常运行。

利用网络协议或系统的设计弱点和实现漏洞这类攻击主要指SYN flooding攻击，Ping of Death攻击，Teardrop攻击，Land攻击等，前面的分析中已经给出了详细的解决方案和防护措施，这里不再赘述。

3.消耗系统资源

系统资源包括CPU资源，内存资源，磁盘空间，网络带宽等，攻击者剃用资源有限的特点，恶意消耗系统资源，使系统无法提供正常的服务。SMUrf，DDoS等都属于该类型。全球网络管理员和ISP管理好自己的网络不被人滥用迫在眉睫。针对这种情况，管理员可以采取下面这些行之有效的防范措施：

(1)及时地给系统打补丁，设置正确的安全策略；

(2)定期检查系统安全，检查是否被安装了DDoS攻击程序，是否存在后门等；

(3)建立资源分配模型，设置阈值，统计敏感资源的使用情况；

(4)优化路由器配置：正确配置路由器的内、外网卡：设置他P拦截；限制TCP连接超时阈值；禁止IP广播包流^内部网络；禁止外出的ICMP不可达消息；

(5)使用第三方的13志分析系统来保留线索，顺藤摸瓜，将肇事者绳之以法。