黑客并(bing)不只是竊取數據那么簡單;他(ta)們還(huan)可能使用(yong)某些(xie)垃圾郵件的(de)(de)請求和流量(liang)來讓應用(yong)運(yun)行崩潰(kui)。可以使用(yong)一(yi)些(xie)工具和技術來保護您的(de)(de)云(yun)免(mian)受(shou)DDoS攻擊的(de)(de)危害。

公(gong)共云服(fu)務(wu)(wu)并不是IT世界中(zhong)(zhong)的(de)(de)(de)世外桃源(yuan)，它(ta)無(wu)法(fa)(fa)對安全(quan)方面的(de)(de)(de)威脅免疫，它(ta)一樣會受到那些致命攻擊(ji)的(de)(de)(de)入侵(qin)，其中(zhong)(zhong)就包括(kuo)了(le)拒絕服(fu)務(wu)(wu)攻擊(ji)。即便(bian)攻擊(ji)者(zhe)無(wu)法(fa)(fa)入侵(qin)某(mou)(mou)個(ge)工(gong)作負載(zai)或(huo)者(zhe)竊取存儲(chu)在公(gong)共云中(zhong)(zhong)的(de)(de)(de)數據，他(ta)們仍(reng)然(ran)能夠通過超(chao)量的(de)(de)(de)合法(fa)(fa)服(fu)務(wu)(wu)請求或(huo)流量來堵塞(sai)網絡(luo)，從而降低(di)云應用(yong)的(de)(de)(de)運行性(xing)能，或(huo)者(zhe)完全(quan)禁(jin)止某(mou)(mou)個(ge)應用(yong)或(huo)服(fu)務(wu)(wu)。

雖然公共云用(yong)戶(hu)無法防止(zhi)每一次進(jin)攻，但卻可(ke)以(yi)采用(yong)一些重要措施(shi)來降低拒(ju)絕服務(DoS)或分布(bu)式(shi)拒(ju)絕服務(DDoS)攻擊(ji)的(de)(de)負(fu)面影響(xiang)。一個強大的(de)(de)云DDoS和(he)Dos保護計(ji)劃可(ke)保護您的(de)(de)基礎設施(shi)，以(yi)免(mian)在惡意攻擊(ji)壓力下岌(ji)岌(ji)可(ke)危。

什么是云計算中的Dos或DDoS攻擊?

在(zai)云中，每一個(ge)應(ying)用(yong)都是在(zai)一個(ge)網絡、計算和存儲的(de)(de)基(ji)礎(chu)(chu)設施中運行(xing)的(de)(de)。而(er)其(qi)中每一種資源都有著一個(ge)最大的(de)(de)可用(yong)上限(xian)。例如，一臺網絡交換機每秒鐘(zhong)只能轉發和擴(kuo)散一定數量(liang)的(de)(de)數據包。當基(ji)礎(chu)(chu)設施收到更多(duo)的(de)(de)請(qing)求或流量(liang)超出其(qi)應(ying)用(yong)限(xian)值時(shi)，應(ying)用(yong)程序就會忽略那(nei)些(xie)多(duo)余(yu)的(de)(de)請(qing)求并拒絕服(fu)務。

對于任何(he)計算基(ji)(ji)礎設施(shi)來說，這種拒絕服務行(xing)為(wei)都是(shi)一個正常(chang)的行(xing)為(wei)。但是(shi)，DoS攻擊(ji)就是(shi)通過有意(yi)識地使用(yong)超大(da)流量請求消(xiao)耗(hao)基(ji)(ji)礎設施(shi)的可用(yong)資源來惡(e)意(yi)擴大(da)這種拒絕服務的負面影(ying)響。如果(guo)攻擊(ji)成功(gong)，DoS攻擊(ji)可能會讓一個應用(yong)(甚至整個計算基(ji)(ji)礎設施(shi))在數(shu)小時、數(shu)天(tian)乃至數(shu)周時間(jian)內都無法被訪問。

一(yi)個(ge)DoS攻(gong)擊(ji)通(tong)常(chang)都是從(cong)同一(yi)個(ge)IP地(di)址(zhi)發出(chu)的(de)，所以使(shi)用防火墻(qiang)技術(shu)發現并禁止其訪(fang)問是相(xiang)對比(bi)較容易的(de)。而DDoS攻(gong)擊(ji)則不(bu)同，它(ta)(ta)常(chang)常(chang)比(bi)DoS攻(gong)擊(ji)要更加(jia)的(de)危險，因為(wei)它(ta)(ta)發起攻(gong)擊(ji)的(de)IP數量更多，從(cong)而讓管理(li)人(ren)員(yuan)更難(nan)以識(shi)別(bie)它(ta)(ta)們，更不(bu)用說(shuo)如(ru)何來防范它(ta)(ta)們了。

DoS或DDoS攻(gong)擊對(dui)云應(ying)(ying)(ying)用(yong)的(de)(de)影(ying)響(xiang)效(xiao)果與對(dui)本地部署應(ying)(ying)(ying)用(yong)的(de)(de)影(ying)響(xiang)相類似;即，運(yun)行性能(neng)(neng)下降，應(ying)(ying)(ying)用(yong)可(ke)能(neng)(neng)無法訪問(wen)(wen)。使用(yong)云監(jian)控資(zi)源，例(li)如公共云供應(ying)(ying)(ying)商所提供的(de)(de)監(jian)控工具(ju)(ju)或日志(zhi)記錄工具(ju)(ju)就可(ke)發現(xian)并解決這一問(wen)(wen)題(ti)。

什(shen)么工(gong)具可以有助于防范(fan)云DDoS或(huo)DoS攻擊?

 針(zhen)對惡意服務請求(qiu)的(de)最基本云(yun)DDoS和DoS保(bao)護措施就(jiu)是傳統(tong)的(de)防火墻(qiang)。但是，防火墻(qiang)本身(shen)的(de)管理與(yu)配置(zhi)也是一(yi)個難題，而且非常耗時，特(te)別對于DDoS攻擊來說(shuo)尤是如此。基于云(yun)的(de)應用程序讓這(zhe)個問題變得更復雜了，因為企業(ye)用戶幾乎或根本就(jiu)沒有辦法(fa)了解公(gong)共云(yun)中的(de)流量信息。

這(zhe)(zhe)一狀況也(ye)推動了保(bao)護(hu)本地與(yu)云應(ying)用(yong)程序(xu)的(de)第三方服(fu)(fu)務(wu)(wu)的(de)發(fa)展。市場上有(you)著無數(shu)的(de)云DDoS保(bao)護(hu)工具與(yu)服(fu)(fu)務(wu)(wu)，其中(zhong)包括了來自于Imperva、CloudFlare、Akamai以及Verisign等公司(si)的(de)產品。這(zhe)(zhe)些服(fu)(fu)務(wu)(wu)通常都是(shi)以代(dai)理服(fu)(fu)務(wu)(wu)器(qi)形(xing)式工作：一個應(ying)用(yong)程序(xu)的(de)流量(liang)首先(xian)被送入代(dai)理服(fu)(fu)務(wu)(wu)，由這(zhe)(zhe)個代(dai)理服(fu)(fu)務(wu)(wu)來識別和(he)過濾惡(e)意服(fu)(fu)務(wu)(wu)請求。然后(hou)，剩下(xia)的(de)非惡(e)意服(fu)(fu)務(wu)(wu)請求就會(hui)被送至(zhi)應(ying)用(yong)程序(xu)。

采(cai)用第三方云(yun)DDoS或DoS保護服(fu)務的企業(ye)用戶必須同時考(kao)慮可用性和可靠性兩方面;如果這個服(fu)務出現故障，那么受保護的應用程序也可能(neng)變得不可用。

谷歌選擇使(shi)用SDN來(lai)應對DoS攻擊

不同的(de)供(gong)應商采用(yong)(yong)不同的(de)措施來幫(bang)助(zhu)用(yong)(yong)戶保護他們存儲在云中的(de)數據。例(li)如(ru)，谷歌公司有一個(ge)可用(yong)(yong)于提供(gong)、配(pei)置和管(guan)理虛(xu)擬(ni)網絡的(de)Andromeda，這是一個(ge)軟件定義(yi)網絡。其(qi)目的(de)在于創建一個(ge)安(an)全、高性能和可編程的(de)環(huan)境(jing)，以(yi)用(yong)(yong)于托管(guan)谷歌計算引(yin)擎的(de)虛(xu)擬(ni)機(ji)。

Andromeda架構包括了(le)(le)一(yi)個DDoS攻擊保護措施(shi)，同時還提(ti)供(gong)了(le)(le)透明負載均(jun)衡、路由、訪問控制列表和防火墻，上述所有這些(xie)功(gong)能都使用了(le)(le)底層的(de)Andromeda API和基(ji)礎設施(shi)。

用(yong)戶(hu)還(huan)能如何防止云DDoS或(huo)DoS攻擊?

雖然目(mu)前還沒有(you)哪一個服務或工具能夠(gou)確保完全防范(fan)DoS和DDoS攻擊(ji)(ji)，但還是有(you)一些應用(yong)設計(ji)和部署策略能夠(gou)有(you)助于減少這些惡意(yi)攻擊(ji)(ji)的(de)負面影響(xiang)，特別(bie)是當在公共云中(zhong)部署工作負載(zai)時(shi)尤是如此。

充分(fen)利用公共(gong)云(yun)平臺(tai)(tai)(例(li)如谷歌云(yun)平臺(tai)(tai)或(huo)亞(ya)馬(ma)遜網絡服(fu)(fu)務)中(zhong)的可用冗余資源，并(bing)在多個地區(qu)或(huo)區(qu)域部署實(shi)例(li)。如果一個地區(qu)或(huo)區(qu)域因中(zhong)斷或(huo)攻(gong)擊事件受(shou)到(dao)影響，那(nei)么用戶仍然(ran)有可以正常接收(shou)服(fu)(fu)務請求并(bing)做出響應(ying)的替代實(shi)例(li)。

應(ying)(ying)當向(xiang)軟件(jian)開發人員和云供應(ying)(ying)商工程(cheng)師咨詢，設計出一(yi)個可(ke)以為每一(yi)個特定應(ying)(ying)用(yong)(yong)程(cheng)序(xu)提供所(suo)需(xu)彈性(xing)的(de)(de)云架構。請記(ji)住，所(suo)有的(de)(de)應(ying)(ying)用(yong)(yong)都(dou)是不(bu)一(yi)樣的(de)(de)，其中只(zhi)有最關鍵任務工作負載才需(xu)要這樣的(de)(de)彈性(xing)。

當然，還(huan)有一些通用的應(ying)對(dui)措施可以幫(bang)助用戶檢(jian)測和(he)防范(fan)云DDoS和(he)DoS攻擊。安裝和(he)維護反(fan)惡意(yi)軟(ruan)件綜合工(gong)具;定期(qi)對(dui)操作(zuo)(zuo)系統和(he)應(ying)用程(cheng)序(xu)進行(xing)打補(bu)丁(ding)和(he)升級等操作(zuo)(zuo);對(dui)API調用使用認(ren)證機(ji)制;以及對(dui)本地(di)防火墻或公共云防火墻進行(xing)配(pei)置以關(guan)閉不(bu)使用的端口。

文(wen)章(zhang)編輯：CobiNet(寧波(bo))，本公司專(zhuan)注于電訊配件(jian),銅纜(lan)綜合布(bu)線系列領(ling)域產(chan)品研發生產(chan)超五類(lei)(lei)，六類(lei)(lei),七類(lei)(lei)屏蔽網(wang)線/屏蔽模(mo)塊及相關模(mo)塊配件(jian),歡迎(ying)來電咨詢(xun)0574 88168918,網(wang)址aliance.cn

我們是萬兆屏蔽模塊，10G屏蔽模塊，屏蔽線生產廠家。