如何保护自己免受付费 DDoS 服务的侵害？

信息安全 网络 防火墙 攻击预防 ddos 拒绝服务
2021-08-11 19:25:46

我是家庭用户，我经常被一个讨厌我的人攻击。

这是背景故事：那个人使用 Skype 解析器（付费 DDoS 服务提供的工具）根据我的 Skype ID 找出我的 IP。他这样做是因为我有动态 IP，所以每当我上网并登录 Skype 时，他都会使用 Skype 解析器发现我的新 IP。现在我知道我可以通过创建一个新的 Skype ID（我做了）或使用 Skype 的代理服务（这并不总是方便）来避免这种情况，但我想知道如果他通过其他方式发现我的 IP，我该如何防止攻击方法。

我可以肯定的是，他正在使用 2-3 次付费 DDoS 服务，所以他没有从他的 PC 进行攻击。我有 100 Mbps 的下载和上传能力，我的 CPU 是 Core i7-920（2.7 GHz 四核），我使用的是 Jetico Personal Firewall，我使用的是 Window 7 x64。当我受到攻击时，没有太多带宽使用，但 CPU 压力高达 50-60%，我无法访问任何互联网资源（浏览不起作用、聊天客户端离线等）。防火墙尽最大努力拒绝攻击（如您在下面的屏幕截图中所见），它不会崩溃或挂起，但这还不够。我的互联网连接是桥接的，所以他没有攻击路由器，所有数据包都直接到达我的系统。无论哪种方式，我都不认为路由器可以做得更好。

在此处输入图像描述

如您所见，所有数据包都是传入的 40 字节 TCP 数据包，通过端口 1234 发送并到达我系统上的端口 80（我没有在该端口上侦听任何服务，即使我是，我也不会让它可从外部访问）。我认为源 IP 是欺骗地址，因为它们来自世界各地。在一次攻击中，我收到了数百万个这样的数据包，阻止攻击的唯一方法是断开与互联网的连接并重新连接（使用不同的 IP）。

我的问题：有什么方法可以保护自己免受此类攻击，而不必断开与 Internet 的连接并承受主要的 CPU 压力？

3个回答

有一个专用的路由器或防火墙来进行过滤。

您的 CPU 受到压力的原因是您系统上的软件防火墙正试图处理您的系统可以容忍的更多数据包。

让硬件路由器或防火墙在数据包到达您的计算机之前丢弃数据包应该可以解决问题。当然，即使是专用路由器或防火墙也是有限制的。因此，这实际上取决于攻击者愿意使用多少资源来对您进行 DDoS。

除此之外，除了与您的 ISP 协调以阻止传入数据包或向执法部门报告此事外，您实际上无法阻止攻击者。

在您当前的设置中，您可以做的第一件事是添加规则以删除此特定流量。我不知道您正在使用的防火墙产品，所以 YMMV。

  • 规则应基于第 3 层 - 第 4 层属性，即 src 端口 1234 和 dst 端口 80
  • 规则应放在规则集之上 - 这可能有助于 CPU
  • 规则应静默丢弃流量（不拒绝），原因有两个：
    • 发送重置会占用您的带宽和 CPU
    • 发送重置确认您的主机处于活动状态并要求更多

对于这种特殊情况——带有访问列表的小型托管交换机可能会做得非常出色，例如 Cisco 2960-C 无风扇紧凑型系列。

@LucasKauffman 很抱歉不同意，但我知道没有 DDoS 缓解服务的成本“几十万美元”......

一个反向代理 PCI DDS 兼容的 Web 应用程序防火墙（谈论最好的那种）每月只会让你花掉几十美元，甚至完全成熟的网络 DDoS 缓解通常花费不到 1,000 美元（除非你试图阻止真的很重的攻击，但即使那样也最多几千美元）。

在这种情况下，我认为我们正在研究由一个（或多个）僵尸网络执行的小型网络 DDoS。

像@Terry_Chia 建议的那样，路由器可以对抗小型攻击。（+1 顺便说一句）但是更大的 DDoS 攻击仍然会给你带来沉重的打击。

更多地了解这个案例将是非常有趣和有教育意义的。

@IneedHelp，你是如何解决这个问题的？

其它你可能感兴趣的问题
上一篇如何使用 sqlmap 的 sql-query 命令将数据插入到表中 下一篇各种浏览器“隐私模式”有什么作用？