客户提问：
如何防御云服务器DDOS攻击
凯铧互联技术回复：
DDOS攻击在不断进化，攻击成本越来越低，而攻击力度却成倍加大，使得 DDOS 更加难以防范。可以说目前没有根治之法，只能尽量提升自身“抗压能力”来缓解攻击，比如购买高防服务。
分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动 DDoS 攻击，从而成倍地提高拒绝服务攻击的威力。
通常，攻击者将攻击程序通过代理程序安装在网络上的各个“肉鸡”上，代理程序收到指令时就发动攻击。
随着网络技术发展，DDOS 攻击也在不断进化，攻击成本越来越低，而攻击力度却成倍加大，使得 DDOS 更加难以防范。比如反射型 DDoS 攻击就是相对高阶的攻击方式。攻击者并不直接攻击目标服务 IP，而是通过伪造被攻击者的 IP 向全球特殊的服务器发请求报文，这些特殊的服务器会将数倍于请求报文的数据包发送到那个被攻击的 IP（目标服务 IP）。
DDOS 攻击让人望而生畏，它可以直接导致网站宕机、服务器瘫痪，对网站乃至企业造成严重损失。而且 DDOS 很难防范，可以说目前没有根治之法，只能尽量提升自身“抗压能力”来缓解攻击，比如购买高防服务。
DDoS 攻击简介
分布式拒绝服务攻击（DDoS 攻击）是一种针对目标系统的恶意网络攻击行为，DDoS 攻击经常会导致被攻击者的业务无法正常访问，也就是所谓的拒绝服务。
常见的 DDoS 攻击包括以下几类：
网络层攻击：比较典型的攻击类型是 UDP 反射攻击，例如：NTP Flood 攻击，这类攻击主要利用大流量拥塞被攻击者的网络带宽，导致被攻击者的业务无法正常响应客户访问。
传输层攻击：比较典型的攻击类型包括 SYN Flood 攻击、连接数攻击等，这类攻击通过占用服务器的连接池资源从而达到拒绝服务的目的。
会话层攻击：比较典型的攻击类型是 SSL 连接攻击，这类攻击占用服务器的 SSL 会话资源从而达到拒绝服务的目的。
应用层攻击：比较典型的攻击类型包括 DNS flood 攻击、HTTP flood 攻击、游戏假人攻击等，这类攻击占用服务器的应用处理资源极大的消耗服务器处理性能从而达到拒绝服务的目的。
DDoS 攻击缓解最佳实践
建议阿里云用户从以下几个方面着手缓解 DDoS 攻击的威胁：
缩小暴露面，隔离资源和不相关的业务，降低被攻击的风险。
优化业务架构，利用公共云的特性设计弹性伸缩和灾备切换的系统。
服务器安全加固，提升服务器自身的连接数等性能。
做好业务监控和应急响应。
DDOS 攻击应对策略
这里我们分享一些在一定程度范围内，能够应对缓解 DDOS 攻击的策略方法，以供大家借鉴。
1.定期检查服务器漏洞
定期检查服务器软件安全漏洞，是确保服务器安全的最基本措施。无论是操作系统（Windows 或 linux），还是网站常用应用软件（mysql、Apache、nginx、FTP 等），服务器运维人员要特别关注这些软件的最新漏洞动态，出现高危漏洞要及时打补丁修补。
2.隐藏服务器真实 IP
通过 CDN 节点中转加速服务，可以有效的隐藏网站服务器的真实 IP 地址。CDN 服务根据网站具体情况进行选择，对于普通的中小企业站点或个人站点可以先使用免费的 CDN 服务，比如百度云加速、七牛 CDN 等，待网站流量提升了，需求高了之后，再考虑付费的 CDN 服务。
其次，防止服务器对外传送信息泄漏 IP 地址，最常见的情况是，服务器不要使用发送邮件功能，因为邮件头会泄漏服务器的 IP 地址。如果非要发送邮件，可以通过第三方代理（例如 sendcloud）发送，这样对外显示的 IP 是代理的 IP 地址。
3.关闭不必要的服务或端口
这也是服务器运维人员最常用的做法。在服务器防火墙中，只开启使用的端口，比如网站 web 服务的 80 端口、数据库的 3306 端口、SSH 服务的 22 端口等。关闭不必要的服务或端口，在路由器上过滤假 IP。
4.购买高防提高承受能力
该措施是通过购买高防的盾机，提高服务器的带宽等资源，来提升自身的承受攻击能力。一些知名 IDC 服务商都有相应的服务提供，比如阿里云、腾讯云等。但该方案成本预算较高，对于普通中小企业甚至个人站长并不合适，且不被攻击时造成服务器资源闲置，所以这里不过多阐述。
5.限制 SYN/ICMP 流量
用户应在路由器上配置 SYN/ICMP 的最大流量来限制 SYN/ICMP 封包所能占有的最高频宽，这样，当出现大量的超过所限定的 SYN/ICMP 流量时，说明不是正常的网络访问，而是有黑客入侵。早期通过限制 SYN/ICMP 流量是最好的防范 DOS 的方法，虽然目前该方法对于 DdoS 效果不太明显了，不过仍然能够起到一定的作用。
6.网站请求 IP 过滤
除了服务器之外，网站程序本身安全性能也需要提升。系统安全机制里的过滤功能，通过限制单位时间内的 POST 请求、404 页面等访问操作，来过滤掉次数过多的异常行为。虽然这对 DDOS 攻击没有明显的改善效果，但也在一定程度上减轻小带宽的恶意攻击。
2.3 部署 DNS 智能解析
通过智能解析的方式优化 DNS 解析，可以有效避免 DNS 流量攻击产生的风险。同时，建议您将业务托管至多家 DNS 服务商。
屏蔽未经请求发送的 DNS 响应信息
丢弃快速重传数据包
启用 TTL
丢弃未知来源的 DNS 查询请求和响应数据
丢弃未经请求或突发的 DNS 请求
启动 DNS 客户端验证
对响应信息进行缓存处理
使用 ACL 的权限
利用 ACL，BCP38 及 IP 信誉功能
2.4 提供余量带宽
通过服务器性能测试，评估正常业务环境下所能承受的带宽和请求数。在购买带宽时确保有一定的余量带宽，可以避免遭受攻击时带宽大于正常使用量而影响正常用户的情况。
3. 服务安全加固
对服务器上的操作系统、软件服务进行安全加固，减少可被攻击的点，增大攻击方的攻击成本：
确保服务器的系统文件是最新的版本，并及时更新系统补丁。
对所有服务器主机进行检查，清楚访问者的来源。
过滤不必要的服务和端口。例如，对于 WWW 服务器，只开放 80 端口，将其他所有端口关闭，或在防火墙上设置阻止策略。
限制同时打开的 SYN 半连接数目，缩短 SYN 半连接的 timeout 时间，限制 SYN/ICMP 流量。
仔细检查网络设备和服务器系统的日志。一旦出现漏洞或是时间变更，则说明服务器可能遭到了攻击。
限制在防火墙外进行网络文件共享。降低黑客截取系统文件的机会，若黑客以特洛伊木马替换它，文件传输功能将会陷入瘫痪。
充分利用网络设备保护网络资源。在配置路由器时应考虑针对流控、包过滤、半连接超时、垃圾包丢弃、来源伪造的数据包丢弃、SYN 阀值、禁用 ICMP 和 UDP 广播的策略配置。
通过 iptable 之类的软件防火墙限制疑似恶意 IP 的 TCP 新建连接，限制疑似恶意 IP 的连接、传输速率。
4. 业务监控和应急响应
4.1 关注基础 DDoS 防护监控
当您的业务遭受 DDoS 攻击时，基础 DDoS 默认会通过短信和邮件方式发出告警信息，针对大流量攻击基础 DDoS 防护也支持电话报警，建议您在接受到告警的第一时间进行应急处理。
5.1 Web 应用防火墙（WAF）
针对网站类应用，例如常见的 http Flood(CC 攻击)攻击，可以使用 WAF 可以提供针对连接层攻击、会话层攻击和应用层攻击进行有效防御。建议使用 360 磐云 Web 应用防火墙服务。
5.2 DDoS 防护包
5.3 DDoS 高级防护
针对大流量 DDoS 攻击，建议使用 360 磐云高防 IP 服务。
应当避免的事项
DDoS 攻击是业内公认的行业公敌，DDoS 攻击不仅影响被攻击者，同时也会对服务商网络的稳定性造成影响，从而对处于同一网络下的其他用户业务也会造成损失。目前而言，DDOS 攻击并没有最好的根治之法，做不到彻底防御，只能采取各种手段在一定程度上减缓攻击伤害。所以平时服务器的运维工作还是要做好基本的保障，并借鉴本文分享的方案，将 DDOS 攻击带来的损失尽量降低到最小。
阿里云合作伙伴凯铧互联，长期合作，安全稳定。如果亲们对云服务器有需求，可以直接咨询我们的在线客服，通过我们购买阿里云的产品可享受满减优惠、折扣优惠、返利优惠！我们7*24小时随时随地提供技术服务！
本文适用于:
如何防御云服务器DDOS攻击
上述就是云服务器如何选择操作系统的简述，如果您还有阿里云服务器/阿里云产品折扣以及阿里云技术服务等，请您直接联系本站客服,阿里云代理商凯铧互联为您提供一对一服务。 阿里云代理商凯铧互联会为您提供专业全面的技术服务，同时还能为您提供阿里云产品购买的专属折扣优惠。通过凯铧互联购买可以获得折上折优惠！若您需要帮助可以直接联系我方客服，阿里云代理商凯铧互联专业技术团队为您提供全面便捷专业的7×24技术服务。 电话专线：136-5130-9831，QQ:3398234753。
凯铧互联已为大批中小科技企业的创业创新活动提供了免费的技术培训服务，凯铧互联的核心优势如下：
1、一对一的客户经理服务：专业的上云架构咨询与指导、完整的售前支持与解决方案、及时的售后支持
2、云运维服务专家：上云迁移环境搭建服务、云计算相关培训、一站式运维服务
3、全面的ISV.SI能力：提供包括云基础资源+ISV.SI服务在内的一体化服务
4、选择我们的服务，我们将成立以1名服务经理为组长的服务小组，现场技术人员一主一备，长期稳定。
作为阿里云代理的凯铧互联建立有一支高素质的专业技术队伍支撑阿里云相关业务，现有一名阿里认证架构师ACE、五名阿里认证工程师ACP，随时响应客户的服务需求，服务范围已覆盖东北、华北、西北、华中等地多座城市，并为全国多家上市公司和大型集团的上云项目提供了从咨询、设计、采购到实施的一体化综合服务。按照阿里云官网解释其就是“由阿里云官方授仅的本地服务的4S店“，业务可以覆盖全国范围。
说明：本站的技术类文章，均为内部学习交流使用，并不能代表产品厂家，或者是第三方的观点。非专业技术类人员，请勿对云服务器等设备进行操作，以免造成设备不可使用或数据丢失。同时凯铧互联小编建议用户一定要定期对云服务器等数据进行备份保存！
北京凯铧互联科技有限公司（简称凯铧互联）由多名前阿里云资深技术专家创立,核心员工来自阿里巴巴、腾讯等,作为阿里云、腾讯云、华为云、天翼云、百度智能云重要的合作伙伴,专注于为企业用户提供云计算及云计算的解决方案。阿里云、腾讯云、华为云、天翼云、百度智能云优惠购买专线：158-0160-3153（微信同步）
