按照攻击类型,可分以下三类:
- flood类攻击, 如sync flood, sync-ack flood, fin flood, ack flood等
主要防御方法:
A, 超阈值做反向检查
B, 首包丢弃
C, 会话检查
- 消耗tcp连接的攻击
主要防御方法:
A. 新建连接限制阈值,超阈值,开始统计一段时间内,某个源发起的连接数,若大于某个阈值,直接扔到黑名单(针对:建立连接后,又马上断开连接,在短时间内建立大量连接)
B。对受保护目标的TCP连接报文数进行检查,在一定时间内,通过的报文数小于阈值,则判断为异常会话,再对异常会话进行统计,若在一段时间内,异常会话数大于阈值,则拉黑。
- TCP异常报文攻击, 如6个标志位全置位1等
主要防御方法:
A. 解析报文,把不符合TCP规则的报文都丢弃