1 DDoS攻击发展示状
据有关安全平台监测数据显示
，散布式回绝服务攻击（DDoS攻击）激增
，数量、规模和复杂性都在增长。从前的DDoS攻击以Flood型攻击为主
，更多的针对运营商的网络和基础架构。而当前的DDoS攻击越来越多的是针对具体利用和业务
，例如：针对企业门户利用、在线购物、在线视频、在线游戏、DNS、E-mail等。攻击的指标越发宽泛
，攻击行为更为复杂和仿真。若何有效防御DDoS攻击已成为企业网络安全关注的沉点。

2 DDoS攻击防御机造
为了；ば畔⑹莅踩
，企业在进行网络建设时通常会使用专业的安全防护设备
，例如路由器、网关、防火墙等
，并将其部署在企业网络的出入口
，对所有出入的数据包进行过滤
，查抄天堑安全规定
，确保输出的数据流受到正确限度。以防火墙产品为例
，网络部署如下图所示。
图2-1    安全防护产品网络部署示意图

为有效鉴别正常数据流和攻击数据流
，数据流经过安全防护产品时通常会经过攻击检测和攻击防备是两个至关沉要的阶段。通过度析经过设备的报文的内容和行为
，判断报文是否拥有攻击特点
，并凭据配置对拥有攻击特点的报文执行相应的防御措施。安全防护设备中常用的攻击查抄和攻击防备个性蕴含：
●    异常检测：统计模型和机械进建算法（例如神经网络
，决策树和近邻算法）可用于分析网络流量
，并将流量模式分类为正；駾DoS攻击
，还可检测网络机能成分中的异常
，例如设备CPU利用率或带宽使用情况。
●    基于知识的步骤：使用诸如特点码分析、状态转换分析、专家系统、描述剧本和自组织映射等步骤
，能够通过将流量与已知攻击的特定模式进行比力来检测DDoS。
●    ACL和防火墙规定：除了入口/出口流量过滤之表
，接见节造列表（ACL）和防火墙规定可用于加强流量可见性。通过度析ACL日志
，能够判断通过网络运行的流量类型；凭据特定的规定、署名和模式配置利用防火墙战术来阻止可疑的传入流量。
●    入侵防御系统和入侵检测系统：入侵防御系统（IPS）和入侵检测系统（IDS）提供了额表的流量可见性。IPS和IDS识此外报警能够作为异常和潜在恶意流量的早期批示。
凭据DDoS攻击的特点及产生的影响
，通常将其大体分为单包攻击、扫描攻击、泛洪攻击。系统在进行攻击防御时也会分阶段处置
，先检测是否为单包攻击
，再检测是否为扫描攻击和泛洪攻击。针对分歧的攻击类型
，攻击检测及防御措施有所分歧：

除了安全防护设备的使用
，以下措施也能够有效降低攻击产生：
●    装置新的安全补丁
由于大无数攻击针对特定的软件或硬件缝隙
，且攻击特点不休更新
，因而实时装置新的补丁也能够有效降低攻击风险。
●    禁用未使用的服务
黑客攻击的利用法式和服务越少越好。确保禁用所有不必要和未使用的服务和利用法式
，以提高网络的安全性。

3 总结
固然DDoS攻击的指标越发宽泛
，攻击行为更为复杂和仿真
，DDoS攻击防不胜防
，但人为智能、机械进建等智能化的步骤逐步利用到攻击防御技术中
，散布式集群防御、高防智能DNS解析、高防云服务等技术相继出现
，使得DDoS防御造成一项系统工程
，能够越发专业化、精准化地守护网络安全。
此表
，企业网络治理人员的网络攻击根基知识和防护意识也不休提高
，网络安全意识与技术伎俩的结合
，更好地阐扬网络防护的效力
，使网络更壮实、更安全。

有关链接

什么是DDoS攻击

你不成忽视的园区网ARP安全防护