服务器被ddos攻击和CC攻击怎么解决？
最近随着业务的爆发，很多客户都遭到大大小小的ddos攻击和CC攻击，攻击手法的不断进化以及攻击工具的肆意传播，使得攻击成本的不断降低，互联网类业务遭受到的威胁也在不断攀升。本文主要结合锐速云多年网络安全运维经验以及对DDoS的基本理解，浅谈DDos攻击原理和基本防护思路。
DDoS攻击主要分为两大类：DDoS攻击和CC攻击
DDoS攻击主要是通过大流量来快速消耗用户网络带宽，造成网络堵塞服务器宕机，流量型DDoS又可分为直接型和反射型，直接型主要包括SYN\ACK\ICMP\UDPFLOOD等，反射型主要包括NTP\DNS\SSDP反射FLOOD等。
CC其实也是DDos攻击的一种，CC攻击是通过借助代理服务器模拟真实用户请求，实现DDOS和伪装，通过制造大量的后台数据库查询动作来攻击页面，消耗目标资源，造成服务器宕机。
DDos攻击防护思路
1.本地DDos防护设备
一般大型企业都会在本地数据中心部署DDos防护设备，本地DDos防护设备一般分为DDos检测设备、清洗设备和管理中心，防护效果不错但成本非常高，一般中小型企业是承受不了。
2.运营商清洗服务
当流量型攻击的攻击流量超出互联网链路带宽或本地DDos清洗设备性能不足以应对DDos流量攻击时，需要通过运营商清洗服务或借助运营商临时增加带宽来完成攻击流量的清洗，运营商通过各级DDos防护设备以清洗服务的方式帮助用户解决带宽消耗型的DDos攻击行为。
3.云清洗服务
高防CDN是目前互联网企业最常用的防护方式，通过CNAME接入模式更加方便，只需要在域名解析服务商处修改一次解析配置即可生效，实现引流、清洗、回注，提升抗D能力。当某条线路的高防IP出现异常时，CNAME可以自动调度解析到其他可用的线路上去，避免原本解析到该线路的部分业务受到影响，保证业务的可用性。
CC攻击的防护思路
1.部署架构
可将前端WAF或者负载均衡设备部署于HTTPS卸载器之后，从而实现对HTTPS流量的防护能力。
2.使用IP地址信誉库
对请求IP地址进行甄别和过滤，阻止来自恶意IP的服务请求。
3.轻应用部署
应用部署时考虑页面静态比例，尽量让网站静态化，减少不必要的动态查询等方式，同时应急情况下可以将动态页面临时替换为静态页面，减少后台请求数据库/应用服务器的次数。
4.限制单IP连接数量
限制单IP连接数量，降低同一ip攻击者带来的危害和影响。
5.降低连接超时时间
降低连接超时时间，及时释放系统资源应对TCP连接资源耗尽类型的CC攻击。
以上防护手段可以起到一定的防护作用。不过现在的黑客攻击方式越来越多样化，往往是DDoS+CC这种复合型攻击，靠单一的防DDOS或防CC是不够的。锐速云通过自主研发抗DDoS及CC攻击立体式防御系统，全面抵御任何类型的DDoS及CC类型攻击，最高可防御百W级QPS攻击及T级DDoS攻击峰值流量，保障服务器稳定运行。
游戏服务器如何防御cc攻击？
CC攻击是DDOS（分布式拒绝服务）的一种，相比其它的DDOS攻击CC似乎更有技术含量一些。这种攻击你见不到真实源IP，见不到特别大的异常流量，但造成服务器无法进行正常连接。最让站长们忧虑的是这种攻击技术含量低，利用更换IP代理工具和一些IP代理一个初、中级的电脑水平的用户就能够实施攻击。那下面就为大家介绍一下CC攻击防御的五种方法:
1. 利用Session做访问计数器：
利用Session针对每个IP做页面访问计数器或文件下载计数器，防止用户对某个页面频繁刷新导致数据库频繁读取或频繁下载某个文件而产生大额流量。(文件下载不要直接使用下载地址，才能在服务端代码中做CC攻击的过滤处理)
2. 把网站做成静态页面：
锐速云大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给骇客入侵带来不少麻烦，至少到现在为止关于HTML的溢出还没出现，新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器。
3. 增强操作系统的TCP/IP栈
Win2000和Win2003作为服务器操作系统，本身就具备一定的抵抗DDOS攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约10000个SYN攻击包
4. 在存在多站的服务器上，严格限制每一个站允许的IP连接数和CPU使用时间，这是一个很有效的方法。
5. 服务器前端加CDN中转(免费的有百度云加速、360网站卫士、加速乐、安全宝等)，如果资金充裕的话，可以购买高防的盾机，用于隐藏服务器真实IP，域名解析使用CDN的IP，所有解析的子域名都使用CDN的IP地址。锐速云告诉大家此外，服务器上部署的其他域名也不能使用真实IP解析，全部都使用CDN来解析。
CC攻击的防御办法？
对于CC攻击，其防御必须采用多种方法，而这些方法本质上也是在提高服务器的并发能力。
1、服务器垂直扩展和水平扩容
资金允许的情况下，这是最简单的一种方法，本质上讲，这个方法并不是针对CC攻击的，而是提升服务本身处理并发的能力，但确实提升了对CC攻击的承载能力。垂直扩展：是指增加每台服务器的硬件能力，如升级CPU、增加内存、升级SSD固态硬盘等。水平扩容：是指通过增加提供服务的服务器来提升承载力。上述扩展和扩容可以在服务的各个层级进行，包括：应用服务器、数据库服务器和缓存服务器等等。
2、数据缓存
对于服务中具备高度共性，多用户可重用，或单用户多次可重用的数据，一旦从数据库中检索出，或通过计算得出后，最好将其放在缓存中，后续请求均可直接从缓存中取得数据，减轻数据库的检索压力和应用服务器的计算压力，并且能够快速返回结果并释放进程，从而也能缓解服务器的内存压力。要注意的是，缓存不要使用文件形式，可以使用redis、mem-cached等基于内存的nosql缓存服务，并且与应用服务器分离，单独部署在局域网内。局域网内的网络IO肯定比起磁盘IO要高。为了不使局域网成为瓶颈，千兆网络也是有必要的。
3、页面静态化
与数据缓存一样，页面数据本质上也属于数据，常见的手段是生成静态化的html页面文件，利用客户端浏览器的缓存功能或者服务端的缓存服务，以及CDN节点的缓冲服务，均可以降低服务器端的数据检索和计算压力，快速响应结果并释放连接进程。
4、用户级别的调用频率限制
不管服务是有登陆态还是没登陆态，基于session等方式都可以为客户端分配唯一的识别ID，服务端可以将sid存到缓存中。当客户端请求服务时，如果没有带SID，则由服务端快速分配一个并返回。可以的话，本次请求可以不返回数据，或者将分配SID独立出业务服务。当客户端请求时带了合法SID，便可以依据SID对客户端进行频率限制。而对于SID非法的请求，则直接拒绝服务。相比根据IP进行的频率限制，根据SID的频率限制更加精准可控，可最大程度地避免误杀情况。
5、IP限制
最后，IP限制依然可以结合上述规则一起使用，但是可以将其前置至)JCb层的防火墙或负载均衡器上去做，并且可以调大限制的阈值，防止恶意访问穿透到应用服务器上，造成应用服务器压力。
高防服务器如何防御CC攻击？
高防服务器指独立单个硬防防御50G以上的服务器，针对ddos、cc流量攻击而出现的高防服务器。面对互联网中存在那么多的黑客攻击，通过租用高防服务器，可以通过防火墙，数据监测牵引系统等技术对流量攻击进行有效的削弱，从而起到预防作用。但也正因为高防服务器具有防御功能，与普通服务器最大的区别。
1.定期进行扫描，解除安全隐患
大部分来自于网络恶意攻击都是对骨干节点进行攻击，如果租用高防服务器，IDC服务商会定期扫描骨干节点，找出存在安全隐患的流量病毒进行及时的清理，不让有法分子有机可乘。
2.骨干节点配置防火墙
防火墙的作用就是可以过滤网络的恶意攻击，降低网络恶意攻击带来的风险，提高网络安全。此外，专业的ddos高防服务器直接无视cc攻击、防御ddos攻击，基本上都能实现网络稳定的安全运行。
3.所在机房带宽冗余充足
带宽消耗型攻击是互联网恶意攻击主要的表现之一，大量的攻击数据包会导致服务器带宽堵塞，这就需要高防服务器所在机房带宽冗余充足。
3.能够过滤不必要的IP和端口
在路由器上过滤掉假的IP，并在高防服务器上只开放服务端口将其余端口关闭。或在防火墙上做阻止策略。
0条大神的评论