用路由器防止DoS拒絕服務(wù)瘋狂攻擊
2024-09-12 21:54:00
供稿：網(wǎng)友
拒絕服務(wù)(DoS)攻擊是目前黑客廣泛使用的一種攻擊手段，它通過(guò)獨(dú)占網(wǎng)絡(luò)資源、使其他主機(jī)不能進(jìn)行正常訪問(wèn)，從而導(dǎo)致宕機(jī)或網(wǎng)絡(luò)癱瘓。
DoS攻擊主要分為Smurf、SYN Flood和Fraggle三種，在Smurf攻擊中，攻擊者使用ICMP數(shù)據(jù)包阻塞服務(wù)器和其他網(wǎng)絡(luò)資源;SYN Flood攻擊使用數(shù)量巨大的TCP半連接來(lái)占用網(wǎng)絡(luò)資源;Fraggle攻擊與Smurf攻擊原理類似，使用UDP echo請(qǐng)求而不是ICMP echo請(qǐng)求發(fā)起攻擊。
盡管網(wǎng)絡(luò)安全專家都在著力開(kāi)發(fā)阻止DoS攻擊的設(shè)備，但收效不大，因?yàn)镈oS攻擊利用了TCP協(xié)議本身的弱點(diǎn)。正確配置路由器能夠有效防止DoS攻擊。以Cisco路由器為例，Cisco路由器中的IOS軟件具有許多防止DoS攻擊的特性，保護(hù)路由器自身和內(nèi)部網(wǎng)絡(luò)的安全。
使用擴(kuò)展訪問(wèn)列表
擴(kuò)展訪問(wèn)列表是防止DoS攻擊的有效工具。它既可以用來(lái)探測(cè)DoS攻擊的類型，也可以阻止DoS攻擊。Show IP access-list命令能夠顯示每個(gè)擴(kuò)展訪問(wèn)列表的匹配數(shù)據(jù)包，根據(jù)數(shù)據(jù)包的類型，用戶就可以確定DoS攻擊的種類。如果網(wǎng)絡(luò)中出現(xiàn)了大量建立TCP連接的請(qǐng)求，這表明網(wǎng)絡(luò)受到了SYN Flood攻擊，這時(shí)用戶就可以改變?cè)L問(wèn)列表的配置，阻止DoS攻擊。
使用QoS
使用服務(wù)質(zhì)量?jī)?yōu)化(QoS)特征，如加權(quán)公平隊(duì)列(WFQ)、承諾訪問(wèn)速率(CAR)、一般流量整形(GTS)以及定制隊(duì)列(CQ)等，都可以有效阻止DoS攻擊。需要注意的是，不同的QoS策略對(duì)付不同DoS攻擊的效果是有差別的。例如，WFQ對(duì)付Ping Flood攻擊要比防止SYN Flood攻擊更有效，這是因?yàn)镻ing Flood通常會(huì)在WFQ中表現(xiàn)為一個(gè)單獨(dú)的傳輸隊(duì)列，而SYN Flood攻擊中的每一個(gè)數(shù)據(jù)包都會(huì)表現(xiàn)為一個(gè)單獨(dú)的數(shù)據(jù)流。此外，人們可以利用CAR來(lái)限制ICMP數(shù)據(jù)包流量的速度，防止Smurf攻擊，也可以用來(lái)限制SYN數(shù)據(jù)包的流量速度，防止SYN Flood攻擊。使用QoS防止DoS攻擊，需要用戶弄清楚QoS以及DoS攻擊的原理，這樣才能針對(duì)DoS攻擊的不同類型采取相應(yīng)的防范措施。
使用單一地址逆向轉(zhuǎn)發(fā)
逆向轉(zhuǎn)發(fā)(RPF)是路由器的一個(gè)輸入功能，該功能用來(lái)檢查路由器接口所接收的每一個(gè)數(shù)據(jù)包。如果路由器接收到一個(gè)源IP地址為10.10.10.1的數(shù)據(jù)包，但是CEF(Cisco Express Forwarding)路由表中沒(méi)有為該IP地址提供任何路由信息，路由器就會(huì)丟棄該數(shù)據(jù)包，因此逆向轉(zhuǎn)發(fā)能夠阻止Smurf攻擊和其他基于IP地址偽裝的攻擊。
使用RPF功能需要將路由器設(shè)為快速轉(zhuǎn)發(fā)模式(CEF switching)，并且不能將啟用RPF功能的接口配置為CEF交換。RPF在防止IP地址欺騙方面比訪問(wèn)列表具有優(yōu)勢(shì)，首先它能動(dòng)態(tài)地接受動(dòng)態(tài)和靜態(tài)路由表中的變化;第二RPF所需要的操作維護(hù)較少;第三RPF作為一個(gè)反欺騙的工具，對(duì)路由器本身產(chǎn)生的性能沖擊，要比使用訪問(wèn)列表小得多。
