系统漏洞分析：DoS拒绝服务攻击来袭如何应对

DoS的英文全称是Denial of Service，也就是“拒绝服务”的意思。从网络攻击的各种方法和所产生的破坏情况来看，DoS算是一种很简单但又很有效的进攻方式。它的目的就是拒绝你的服务访问，破坏组织的正常运行，最终它会使你的部分Internet连接和网络系统失效。DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。
我们可以看出DoS攻击的基本过程：首先攻击者向服务器发送众多的带有虚假地址的请求，服务器发送回复信息后等待回传信息，由于地址是伪造的，所以服务器一直等不到回传的消息，分配给这次请求的资源就始终没有被释放。当服务器等待一定的时间后，连接会因超时而被切断，攻击者会再度传送新的一批请求，在这种反复发送伪地址请求的情况下，服务器资源最终会被耗尽。

如何阻挡DoS

对付DoS，目前还没有十分有效的防范办法。阻挡DoS常用方法之一是在网络上设立过滤器或侦测器，在信息到达网站服务器之前阻挡信息。过滤器会侦察可疑的访问行动。如果可疑访问经常出现，过滤器就会接受指示，阻挡相应的信息，让服务器的对外连接保持畅通。针对DoS消耗系统资源的作法，一些用户通过采用增加系统资源、扩充主机集群数量等方式可以在一定程度上缓解攻击，这种做法显然增加了硬件成本开销和维护开销，不适于资金有限的用户采用。

防火墙和VPN是目前阻挡“拒绝服务攻击”的常用设备。其中，防火墙作为访问控制设备，通过设计访问策略，能够对拒绝服务攻击起到一定防范作用。不过，防火墙必须经过正确设置才能发挥防护作用。当防火墙依据多重安全规则，对不同服务进行数据包过滤和代理时，容易导致系统管理者将防火墙的环境设定错误，而留下一些系统安全漏洞，让入侵者有机可乘。

目前防火墙在防范DoS 攻击方面存在缺陷。一是防火墙是由人工去设定，不适合动态设定，而且由于每次攻击方式是不同的，用户无法得知攻击者的地址和用来攻击的协议。二是目前防火墙的设定通常不会分辨正常封包与攻击封包之不同。以抵挡ICMP Ping攻击为例，网管员将防火墙设置为能够阻挡所有进来的ICMP　Ping封包，但这时防火墙并不阻挡ICMP　Ping Response封包，这种方式使防火墙外部的用户无法Ping到防火墙内部的IP地址，但却不是一个好办法，目前的黑客已经采用传送大量伪造的ICMP Ping Response 封包的方式进行攻击，防火墙只有挡掉ICMP Ping　Response 的封包，才能阻挡这类攻击，这给防火墙内部用户造成了不便。而对付DDoS，人们只能从网络源头、网络运营商一级设置防火墙、过滤器等安全设备才能有效。