Connection Flood(TCP多連接攻擊,CC攻擊等通過(guò)建立大量連接請(qǐng)求導(dǎo)致拒絕服務(wù)的攻擊類(lèi)型的總稱)是典型的并且非常的有效的利用小流量沖擊大帶寬網(wǎng)絡(luò)服務(wù)的攻擊方式,這種攻擊方式目前已經(jīng)越來(lái)越猖獗。這種攻擊的原理是利用真實(shí)的IP地址向服務(wù)器發(fā)起大量的連接,并且建立連接之后很長(zhǎng)時(shí)間不釋放,占用服務(wù)器的資源,造成服務(wù)器服務(wù)器上殘余連接(WAIT狀態(tài))過(guò)多,效率降低,甚至資源耗盡,無(wú)法響應(yīng)其他客戶所發(fā)起的連接。
其中一種攻擊方法是每秒鐘向服務(wù)器發(fā)起大量的連接請(qǐng)求,這類(lèi)似于固定源IP的SYN Flood攻擊,不同的是采用了真實(shí)的源IP地址。通常這可以在防火墻上限制每個(gè)源IP地址每秒鐘的連接數(shù)來(lái)達(dá)到防護(hù)目的。但現(xiàn)在已有工具采用慢速連接的方式,也即幾秒鐘才和服務(wù)器建立一個(gè)連接,連接建立成功之后并不釋放并定時(shí)發(fā)送垃圾數(shù)據(jù)包給服務(wù)器使連接得以長(zhǎng)時(shí)間保持。這樣一個(gè)IP地址就可以和服務(wù)器建立成百上千的連接,而服務(wù)器可以承受的連接數(shù)是有限的,這就達(dá)到了拒絕服務(wù)的效果。
另外,蠕蟲(chóng)大規(guī)模爆發(fā)的時(shí)候,由于蠕蟲(chóng)代碼則比較簡(jiǎn)單,傳播過(guò)程中會(huì)出現(xiàn)大量源IP地址相同的包,對(duì)于 TCP 蠕蟲(chóng)則表現(xiàn)為大范圍掃描行為。這是在判斷Connection Flood時(shí)需要注意的。
在受攻擊的服務(wù)器上使用netstat –an來(lái)看:
存在大量連接狀態(tài),來(lái)自少數(shù)的幾個(gè)源。如果統(tǒng)計(jì)的話,可以看到連接數(shù)對(duì)比平時(shí)出現(xiàn)異常。并且增長(zhǎng)到某一值之后開(kāi)始波動(dòng),說(shuō)明此時(shí)可能已經(jīng)接近性能極限。因此,對(duì)這種攻擊的判斷:在流量上體現(xiàn)并不大,甚至可能會(huì)很小;大量的ESTABLISH狀態(tài);新建的ESTABLISH狀態(tài)總數(shù)有波動(dòng)。
金盾防火墻在默認(rèn)的設(shè)置下就能很有效的防御此類(lèi)攻擊,見(jiàn)下圖:
金盾防火墻的“防護(hù)參數(shù)”面板,其中的“連接數(shù)量保護(hù)”和“連接空閑超時(shí)”這2個(gè)設(shè)置項(xiàng)就是專門(mén)針對(duì)此類(lèi)攻擊的防御設(shè)置,默認(rèn)配置下就能很好的防御Connection Flood類(lèi)型的攻擊了。可以參考:金盾軟件防火墻部分界面截圖與功能介紹
如果是針對(duì)CC攻擊進(jìn)行防御,請(qǐng)參考:設(shè)置金盾80端口防護(hù),完美防御網(wǎng)站CC攻擊(不影響搜索引擎的收錄)
報(bào)價(jià)計(jì)算
服務(wù)熱線
售后服務(wù)
今天已有1593位獲取了等保預(yù)算
產(chǎn)品含:
長(zhǎng)河 Web應(yīng)用防火墻(WAF) 堡壘機(jī) 主機(jī)安全 SSL證書(shū)
詳情咨詢等保專家
聯(lián)系人:潘成豪
13055239889