DDOS攻击分型专题

ICMP洪泛（ICMP Flood）

• 协议: 使用Internet控制消息协议（ICMP）。
• 方法:

  攻击者会发送大量的ICMP回显请求（通常称为“ping”请求）到目标系统，以此来耗尽目标系统的处理能力。如果请求量足够大，正常的请求就无法得到处理，导致服务中断。

  在ICMP洪泛攻击中，攻击者通常使用僵尸网络来放大攻击效果，从多个源发送ICMP请求，使得防御变得更加困难。目标系统必须处理这些请求并发送回显响应，这会消耗大量的网络带宽和系统资源。

• 目的: 消耗目标系统的网络带宽和处理能力。
• 防御: 限制ICMP流量，监控异常的ICMP活动。

SYN洪泛（SYN Flood）

• 协议: 利用传输控制协议（TCP）的三次握手机制。
• 方法:

  SYN洪泛攻击则是一种利用TCP协议的三次握手过程来执行的攻击。在正常的TCP三次握手中，客户端发送一个SYN（同步序列编号）包以开始新的连接，服务器则响应一个SYN-ACK（同步应答）包，最后客户端发送一个ACK（应答）包来完成握手过程。

  在SYN洪泛攻击中，攻击者发送大量的SYN包到目标服务器，但故意不完成最后一步发送ACK包。这导致服务器为每个半开连接分配资源并等待最终的ACK包，从而耗尽服务器的资源和可用的连接槽，使得新的正常连接无法建立。

  SYN洪泛攻击的狡猾之处在于攻击者可以伪造发送SYN包的源IP地址，使得服务器无法找到真正的请求源并导致无法建立连接。这种攻击对于网络服务来说尤其危险，因为它可以很快地耗尽服务器的连接资源，而对于攻击者来说成本却很低。

• 目的: 创建大量半开（未完成的）TCP连接，耗尽服务器资源，阻止新的合法连接。
• 防御: 启用SYN cookies，使用防火墙和入侵检测系统来过滤不合法的SYN包。

UDP洪泛（UDP Flood）

• 协议: 使用用户数据报协议（UDP）。
• 方法: 攻击者发送大量的UDP包到随机端口。
• 目的: 由于目标系统会为每个UDP包尝试查找应用程序并发送ICMP“目的不可达”消息，这会导致系统资源快速耗尽。
• 防御: 防火墙规则限制UDP流量，配置入侵检测系统以识别异常流量模式。

HTTP洪泛（HTTP Flood）

• 协议: 使用超文本传输协议（HTTP）。
• 方法: 发送大量的合法HTTP请求来模仿正常的HTTP流量。
• 目的: 由于HTTP请求需要由服务器的Web应用程序处理，这种攻击能够消耗服务器资源，尤其是CPU和内存，使得正常的Web服务响应变慢或不可用。
• 防御: 使用Web应用防火墙（WAF），限制请求速率，以及应用复杂的挑战响应测试来区分正常用户和攻击者。

总结 

这些攻击的共同特点是目的都是使目标系统的资源耗尽，无法提供正常服务。攻击者通常使用一个由被控制的机器组成的网络（即僵尸网络）来放大攻击效果。防御这些攻击需要一系列的策略和工具，包括流量监控、行为分析、防火墙、抗DDoS解决方案以及应急响应计划。由于攻击者不断地改进方法，网络管理员需要不断地更新和调整防御措施来保护网络资源。