利用高防服务器防DDoS时 常见的七个误区
时间 : 2016-03-31 16:55
来源 : 未知
如果说在网络攻击的众多手段中，最可怕、有效、防御困难的是谁，肯定都会说是DDoS攻击，也就是常说的流量攻击。众多企业、站长和游戏运营商深受其害，防御成本又是不小，我们该如何选择适合自己的DDoS流量攻击防御方案，或者直接说如何选择合适的高防服务器，才能避免无谓的增加成本，让自己的对防御的投资得到最有效的回报。本文中小编就为大家总结了七个防御DDoS攻击的误区，以及必须注意的地方。
选择防火墙或入侵检测IPS来清洗DDoS
防火墙与入侵检测IPS通常串行部署在网络下游的网关位置，是基于状态检测的访问控制系统，本身就是DDoS的攻击目标，在新建连接与状态连接耗尽时成为瓶颈。DDoS最佳防护实践就是：流量清洗中心加上运营商BGP路由调度控制。
选择清洗设备的性能远高于自己的出口带宽
有些客户网络出口带宽只有100M，厂商却推荐选择1G甚至4G清洗设备。标准的云清洗说法是本地清洗应用型DDoS攻击，云端清洗流量型DDoS攻击。
选择清洗系统时只看设备硬件指标，忽视厂家攻击清洗技术专业能力
厂家缺乏有经验和技能的清洗专家，不具备与上游运营商实时沟通，快速检测攻击与攻击应急灾备能力。客户只是买到一个硬件盒子，平时没人看，急用现调试。DDoS清洗的最佳实践理念是“三分产品技术，七分设计服务”。
选择云清洗服务商的清洗位置过于靠近下游，且不具备BGP路由调度控制能力。
大规模DDoS攻击发生时，整个网络上下游均出现故障，客户最大的问题是不知道电话打给谁去解决。云清洗服务商需要具备自治域AS号进行BGP路由调度控制与DNS全网策略控制能力，才能带给客户良好的网络服务可用性。
选择清洗设备时只看端口吞吐量性能，忽视小包处理能力与正则匹配下的处理性能。
清洗设备标称的处理性能指标通常是实验室测试标准，在现网实际小包攻击与正则匹配下性能剧降，10G性能指标的清洗设备现网小包清洗能力不过4G左右。
选择清洗系统只看硬件清洗异常流量性能，忽视清洗后正常业务流量的通过性能。
清洗设备没有可预期的正常流量通过能力，当清洗DDoS系统的硬件资源被异常流量占用时，正常流量通过能力剧降，系统无法预设与分配处理异常流量与正常流量的硬件资源配置。
选择DDoS云清洗服务同时希望提供加速等一揽子其他功能。
应用加速与流量清洗在同一个数据中心出口下处理时相互干扰。在他人被攻击时，自己易受影响。所以应用加速与流量清洗在小规模攻击的情况下同时提供比较现实。
上一篇：上一篇：新站长福利：全方位解析MySQL与MsSQL的异同之处
下一篇：下一篇：选择服务器托管机房总是难以抉择？让本文来拯救你
选择防火墙或入侵检测IPS来清洗DDoS
防火墙与入侵检测IPS通常串行部署在网络下游的网关位置，是基于状态检测的访问控制系统，本身就是DDoS的攻击目标，在新建连接与状态连接耗尽时成为瓶颈。DDoS最佳防护实践就是：流量清洗中心加上运营商BGP路由调度控制。
选择清洗设备的性能远高于自己的出口带宽
有些客户网络出口带宽只有100M，厂商却推荐选择1G甚至4G清洗设备。标准的云清洗说法是本地清洗应用型DDoS攻击，云端清洗流量型DDoS攻击。
选择清洗系统时只看设备硬件指标，忽视厂家攻击清洗技术专业能力
厂家缺乏有经验和技能的清洗专家，不具备与上游运营商实时沟通，快速检测攻击与攻击应急灾备能力。客户只是买到一个硬件盒子，平时没人看，急用现调试。DDoS清洗的最佳实践理念是“三分产品技术，七分设计服务”。
选择云清洗服务商的清洗位置过于靠近下游，且不具备BGP路由调度控制能力。
大规模DDoS攻击发生时，整个网络上下游均出现故障，客户最大的问题是不知道电话打给谁去解决。云清洗服务商需要具备自治域AS号进行BGP路由调度控制与DNS全网策略控制能力，才能带给客户良好的网络服务可用性。
选择清洗设备时只看端口吞吐量性能，忽视小包处理能力与正则匹配下的处理性能。
清洗设备标称的处理性能指标通常是实验室测试标准，在现网实际小包攻击与正则匹配下性能剧降，10G性能指标的清洗设备现网小包清洗能力不过4G左右。
选择清洗系统只看硬件清洗异常流量性能，忽视清洗后正常业务流量的通过性能。
清洗设备没有可预期的正常流量通过能力，当清洗DDoS系统的硬件资源被异常流量占用时，正常流量通过能力剧降，系统无法预设与分配处理异常流量与正常流量的硬件资源配置。
选择DDoS云清洗服务同时希望提供加速等一揽子其他功能。
应用加速与流量清洗在同一个数据中心出口下处理时相互干扰。在他人被攻击时，自己易受影响。所以应用加速与流量清洗在小规模攻击的情况下同时提供比较现实。
