华纳云：高防服务器能扛住哪些攻击，防护能力有多大？

沙漠live.

高防服务器是一种能够帮助网站应对拒绝服务攻击，可以抵御 DDoS攻击， CC攻击的云服务器，并且能够有效地识别和清理恶意流量，为用户提供网络安全维护。所以，高防御服务器能抵御哪些攻击呢？高防服务器是一种能够帮助网站应对拒绝服务攻击，可以抵御 DDoS攻击， CC攻击的云服务器，并且能够有效地识别和清理恶意流量，为用户提供网络安全维护。所以，高防御服务器能抵御哪些攻击呢？

与传统的静态高防御相比，高防御服务器主要体现在更好的网络稳定性和传输体验，提高服务器响应速度和稳定性，网络带宽是高防御服务器保护的首要考虑因素。

该系统充分利用了全球高防御服务器清洗中心的能力，采用分布式技术，将 DDOS攻击流量自动引导到离攻击源最近的清洗中心进行清洗，同时还具有多机房自动容灾功能。

一、带宽消耗攻击

DDoS带宽消耗攻击主要是直接洪泛攻击，利用攻击者的资源，当代理发送的大量攻击流量汇聚到目标对象上时，就足以耗尽其网络访问带宽。常见的带宽消耗攻击类型有TCP flood攻击、UDP flood攻击、ICMP flood攻击，可以单独使用，也可以同时使用。

TCP洪流攻击是利用 TCP协议缺陷，使用假 IP或 IP区段发送大量伪造的连接请求，从而导致被攻击方资源枯竭(CPU满负荷或内存不足)的攻击。因为 TCP协议是许多重要应用层服务的基础，它很大程度上会严重影响服务器的性能。

UDP洪水攻击是一种日益猖獗的 DoS流量攻击，通常使用大量 UDP包来攻击 DNS服务器或 Radius认证服务器、流媒体视频服务器，不过100 kbps的 UDP洪水攻击通常导致线路上的主要设备如防火墙瘫痪，导致整个网段瘫痪。所以，有时主机连接到受影响的系统周围的网络时，也会遇到网络连接问题。

ICMP flood攻击方式是利用了代理向受害主机发送大量的“ping”消息，这些消息涌向目标，使其对消息做出响应。合并的流量将使受害主机的网络带宽饱和，并导致拒绝服务。ping/smurf攻击软件是一种比较常见的基于ICMP协议的攻击软件。当发生ICMP泛洪攻击时，只需禁止ping即可。

二、系统资源消耗攻击

DDoS系统资源消耗攻击有恶意误用TCP/IP协议通信(TCP SYN攻击和TCP PSH+ACK攻击)和格式错误的消息攻击，两种攻击都会占用系统资源。

1.SYN攻击利用了TCP协议的缺陷，通过发送大量的半连接请求来消耗CPU和内存资源。除了影响主机，还可能危害路由器、防火墙等网络系统。在DDoS模式下，其攻击强度增加了数百倍。SYN攻击无法完全防范，只能通过加强TCP/IP协议栈，部署防火墙/路由器等过滤网关来防御，将危害降到最低。。

2.TCP PUSH+ACK攻击和TCP SYN攻击一样，目的是消耗完受害系统的资源。当代理向受害主机发送PSH和确认标志设置为1的TCP消息时，它将使接收系统清除所有TCP缓冲区数据，并以确认消息进行响应。如果这个过程重复多次，系统将无法处理大量传入的消息，导致服务崩溃。。

3.异常消息攻击，指攻击者利用代理将有缺陷的 IP消息发送到受害主机，使目标系统在处理此类 IP包时发生崩溃，给目标系统造成损失。大型畸形信息攻击如 Ping of Death (发送超大尺寸 ICMP信息)、 Teardrop (利用 IP数据包碎片攻击)、 TCP畸形信息、IP-fragment攻击等。

4.对于一些特殊的应用/服务，应用层攻击会缓慢地消耗应用层上的资源。在低流量情况下，应用层攻击非常有效，从协议的角度来看，攻击涉及的流量可能是合法的。与其他类型的 DDoS攻击相比，这使得应用层攻击更难检测。HTTP攻击， CC攻击， DNS攻击等等都是应用层攻击的例子。

HTTP泛滥是指通过僵尸网络，利用看似合法的 HTTP GET或 POST请求攻击网页服务器或应用程序。通过将大量的主机感染 bot程序病毒，形成一对多的控制网，黑客可以控制这些僵尸网络向目标主机发起拒绝服务攻击，从而使 HTTP洪灾攻击难以检测和拦截。。

CC攻击是基于页面攻击的，模拟很多用户不间断地访问服务器，攻击对象往往是服务器上开销较大的动态页面，涉及数据库访问操作。由于使用代理作为攻击的发源地，具有很强的隐蔽性，系统很难区分是正常用户操作还是恶意流量，从而导致数据库及其连接池负载过大，无法对正常请求作出响应。

DNS攻击主要有两种形式：发起大量 DNS请求，使 DNS服务器无法响应普通用户的请求；发起大量伪造的 DNS应答包，使 DNS服务器带宽拥塞；两者都会导致普通用户无法解析 DNS，从而无法获得服务。

对服务器的安全漏洞进行全面细致的检查，修改权限和端口，防止黑客入侵，安装必要的攻击保护软件，制定允许 IP访问的策略，隐藏云服务器的真实 IP地址等。较小攻击小于10 G，可以使用攻击防护软件来减轻攻击，提高接入场景覆盖范围和防护成功率，降低成本。