DDoS（分布式拒绝服务）攻击是无解的吗？

随便、先森。

panhc00：

首先了解DDOS 攻击的三种类型：
1、带宽消耗型攻击；例如TCPSYN-ACK Flood、IPFragment Flood、UDPFLOOD；通过大量的数据包占用带宽；

2、资源消耗型攻击； 利用了HTTP 服务器的一些漏洞，构建特殊结构的数据包或者请求，从而导致服务器计算资源耗尽无法提供服务。 例如HTTP Get Flood。

3、DNS 攻击; 向应用系统发送大量的错误DNS解析请求，通过DNS递归查询机制（NS服务器需要进行频繁的字符串匹配，本地无法查到结果，必须使用递归查询向上层域名服务器提交解析请求），占用服务器的缓存，导致资源不足无法正常提供服务。例如DNS query flood、DNS reply flood；

其次针对性的了解应对措施：
1、带宽消耗型攻击，部署流量清洗设备，设定一定的阈值，超过阈值则丢弃数据包。 也可加大带宽，提供业务访问带宽保障；或者识别出DDOS攻击网段，在本地的运营商配合在骨干路由器上将流量引入“路由黑洞”。

2、资源消耗型。部署流量清洗设备过滤异常流量。对应用系统进行补丁、设置加固，消除漏洞。

3、DNS 攻击类型。 需要流量清洗设备进行攻击防护，需要进行相关的安全设置。如限制每个源 IP 地址每秒的域名解析请求次数，对突然发起大量频度较低的域名解析请求的源 IP 地址进行带宽限制等等。

  通过分析可以了解到，DDOS攻击是多种类型的，每种攻击都有一定的防护手段，采取有效的手段是完全可以控制DDOS攻击的影响范围。但是要拦截DDOS攻击，需要耗费大量的人力物力，并协调运营商解决等等，非常难以有效防范。

如果没有做好充足的应对措施，短时间内使无法防范DDOS攻击的影响。


作者：panhc00
链接：https://www.zhihu.com/question/26741164/answer/52835083
来源：知乎

172721404

说得好 讲得对