Muchas empresas han sufrido ataques DDoS a largo plazo, especialmente las de las industrias del ajedrez y de las cartas y las industrias financieras. En la actualidad, el costo de los ataques es demasiado bajo, lo que hace que muchas empresas se enfrenten a ataques DDoS de la competencia u otras organizaciones durante mucho tiempo. Para cambiar esta situación, puede optar por comprar Alibaba Cloud DDoS IP de alta defensa, pero el precio es demasiado caro, entonces, ¿cómo mitigar los ataques DDoS?
Formas de mitigar los ataques DDoS
Alguien le lanza un ataque DDoS, esa es una causa externa y no podemos cambiarla. Pero podemos defendernos desde adentro y mitigar los ataques DDoS. Generalmente parte de varios aspectos como la reducción de la exposición, la optimización de la arquitectura, el refuerzo del servidor, la supervisión empresarial y las soluciones empresariales.
Reducir la exposición
Antes del ataque, la otra parte escaneará sus puertos abiertos y apuntará a los servicios que proporciona, lo que permitirá que la botnet ocupe legalmente sus recursos. Por tanto, intentamos evitar exponer el puerto del servidor a la red pública. El grupo de seguridad de Alibaba Cloud puede evitar que el sistema sea escaneado o expuesto accidentalmente.
Optimizar la estructura empresarial
En la etapa inicial de operación, el equipo técnico pondrá a prueba la arquitectura del negocio, sin embargo, en muchos casos, la empresa está en consideraciones de costos y no lo ha hecho bien con flexibilidad y redundancia, lo que nos hace vulnerables a ataques.
Implementación de escalado elástico + equilibrio de carga: el equilibrio de carga puede reducir la presión de un único ECS y puede aliviar eficazmente los ataques DDoS de la capa de conexión dentro de un cierto rango de tráfico; el equilibrio de carga puede aliviar eficazmente los ataques de la capa de sesión y la capa de aplicación, y aumentar automáticamente los servidores cuando están bajo ataque , Mejore el rendimiento del procesamiento, evite un impacto comercial grave.
Ancho de banda de margen: utilice el protocolo de enlace de tres vías TCP para iniciar ataques DDoS, ocupando sus recursos de banda ancha, por lo que al comprar ancho de banda, asegúrese de que haya un cierto margen de ancho de banda, lo que puede evitar la situación en la que el ancho de banda es mayor que el uso normal y afecta a los usuarios normales cuando está bajo ataque.
Fortalecimiento de la seguridad del servicio
Refuerce el sistema operativo y los servicios de software en el servidor para reducir los puntos que pueden ser atacados y aumentar el costo de ataque del atacante:
- Asegúrese de que el archivo del sistema del servidor sea la última versión y actualice el parche del sistema a tiempo.
- Verifique todos los hosts del servidor para conocer la fuente de visitantes.
- Filtra servicios y puertos innecesarios. Por ejemplo, para el servidor WWW, solo abra el puerto 80, cierre todos los demás puertos o establezca una política de bloqueo en el firewall.
- Limite el número de semiconexiones SYN abiertas al mismo tiempo, acorte el tiempo de espera de las semiconexiones SYN y limite el tráfico SYN / ICMP.
- Revise cuidadosamente los registros de los dispositivos de red y los sistemas de servidor. Una vez que ocurre una laguna o un cambio de hora, significa que el servidor puede haber sido atacado.
- Restrinja el uso compartido de archivos de red fuera del firewall. Reduce la posibilidad de que los piratas informáticos intercepten los archivos del sistema. Si los piratas informáticos lo reemplazan con un caballo de Troya, la función de transferencia de archivos se paralizará.
- Aproveche al máximo los equipos de red para proteger los recursos de la red. Al configurar el enrutador, debe considerar la configuración de la política para el control de flujo, filtrado de paquetes, tiempo de espera de semiconexión, descarte de paquetes basura, descarte de paquetes de datos falsificados en origen, umbral SYN, deshabilitación de la transmisión ICMP y UDP.
- Utilice cortafuegos de software como iptable para restringir las nuevas conexiones TCP de IP sospechosas de ser maliciosas y limitar la conexión y la velocidad de transmisión de las IP sospechosas de ser maliciosas.
Seguimiento empresarial
El servicio de monitoreo en la nube de Alibaba Cloud se puede utilizar para recopilar y obtener indicadores de monitoreo de recursos de Alibaba Cloud o indicadores de monitoreo definidos por el usuario, detectar la disponibilidad del servicio y admitir la configuración de alarmas para los indicadores.
Solución de seguridad comercial
De hecho, cuando las empresas han estado sufriendo ataques DDoS a gran escala, los métodos de defensa mencionados anteriormente parecen ser muy pequeños. El tráfico de ataques de decenas de gigabytes o cientos de gigabytes por minuto solo puede resolverse buscando soluciones de seguridad comerciales.
Por ejemplo, el producto estrella de Alibaba Cloud en defensa contra ataques DDoS: la IP de alta defensa DDoS de Alibaba Cloud , pero es costosa. En segundo lugar, Alibaba Cloud ha lanzado un paquete de protección DDoS . El paquete de protección DDoS puede brindar protección contra ataques DDoS dentro de 100G.
Además, si ha estado sufriendo ataques http Flood (ataque CC), puede considerar utilizar Web Application Firewall (WAF) . Waf puede proporcionar servicios de defensa efectivos contra ataques de capa de conexión, ataques de capa de sesión y ataques de capa de aplicación.