DDoS攻擊，又叫分布式拒絕服務(wù)攻擊，指借助于客戶/服務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來(lái)作為攻擊平臺(tái)，對(duì)一個(gè)或多個(gè)目標(biāo)發(fā)動(dòng)DDoS攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力。

　　防御DDOS是一個(gè)系統(tǒng)工程，攻擊花樣多，防御的成本高瓶頸多，防御起來(lái)即被動(dòng)又無(wú)奈。DDOS的 特點(diǎn)是分布式，針對(duì)帶寬和服務(wù)攻擊，也就是四層流量攻擊和七層應(yīng)用攻擊，相應(yīng)的防御瓶頸四層在帶寬，七層的多在架構(gòu)的吞吐量。對(duì)于七層的應(yīng)用攻擊，我們還 是可以做一些配置來(lái)防御的，例如前端是Nginx，主要使用nginx的http_limit_conn和http_limit_req模塊來(lái)防御。 ngx_http_limit_conn_module 可以限制單個(gè)IP的連接數(shù)，ngx_http_limit_req_module 可以限制單個(gè)IP每秒請(qǐng)求數(shù)，通過(guò)限制連接數(shù)和請(qǐng)求數(shù)能相對(duì)有效的防御CC攻擊。

　　如果遭遇DDOS攻擊該如何應(yīng)對(duì)，或者如何預(yù)防?

　　1、大數(shù)據(jù)智能分析

　　黑客為了構(gòu)造大量的數(shù)據(jù)流，往往需要通過(guò)特定的工具來(lái)構(gòu)造請(qǐng)求數(shù)據(jù)，這些數(shù)據(jù)包不具有正常用戶的一些行為和特征。為了對(duì)抗這種攻擊，可以基于對(duì)海量數(shù)據(jù)進(jìn)行分析，進(jìn)而對(duì)合法用戶進(jìn)行模型化，并利用這些指紋特征，如：Http模型特征、數(shù)據(jù)來(lái)源、請(qǐng)求源等，有效地對(duì)請(qǐng)求源進(jìn)行白名單過(guò)濾，從而實(shí)現(xiàn)對(duì)DDoS流量的精確清洗。

　　2、使用高防服務(wù)器

　　這個(gè)可能是比較簡(jiǎn)便的方式，一般現(xiàn)在IDC服務(wù)商都提供高防服務(wù)器來(lái)幫助企業(yè)抵御各式各樣的流量攻擊，它的原理也是非常簡(jiǎn)單，就是給服務(wù)器增加了一個(gè)防護(hù)層，面對(duì)攻擊的時(shí)候能夠抵擋住攻擊。一般來(lái)說(shuō)，高防服務(wù)器都至少能夠抵擋五十G以上的攻擊，并且還能定期掃描節(jié)點(diǎn)，是非常好的防護(hù)手段。

　　3.資源隔離

       可以看作是用戶服務(wù)的一堵防護(hù)盾，這套防護(hù)系統(tǒng)擁有無(wú)比強(qiáng)大的數(shù)據(jù)和流量處理能力，為用戶過(guò)濾異常的流量和請(qǐng)求。如：針對(duì)Syn Flood，防護(hù)盾會(huì)響應(yīng)Syn Cookie或Syn Reset認(rèn)證，通過(guò)對(duì)數(shù)據(jù)源的認(rèn)證，過(guò)濾偽造源數(shù)據(jù)包或發(fā)功攻擊的攻擊，保護(hù)服務(wù)端不受惡意連接的侵蝕。資源隔離系統(tǒng)主要針對(duì)ISO模型的第三層和第四層進(jìn)行防護(hù)。

　　4.選擇專業(yè)安全服務(wù)商

　　滴盾網(wǎng)絡(luò)已為超過(guò)90萬(wàn)的網(wǎng)站提供了安全支持，過(guò)程中累計(jì)了海量的DDoS防御經(jīng)驗(yàn)。在超4T防護(hù)能力的加持下，還配合有7*24小時(shí)的專家服務(wù)，國(guó)內(nèi)山東BGP數(shù)據(jù)中心，廣東BGP高防數(shù)據(jù)中心，全力打造高速穩(wěn)定的網(wǎng)絡(luò)運(yùn)輸環(huán)境，五星機(jī)房可以根據(jù)不同業(yè)務(wù)的特點(diǎn)，以不同的安全策略，努力幫助企業(yè)用戶做到不再懼怕DDoS攻擊。