![如何减轻 LAN 客户端参与 DDOS 的威胁?](https://linux22.com/image/701892/%E5%A6%82%E4%BD%95%E5%87%8F%E8%BD%BB%20LAN%20%E5%AE%A2%E6%88%B7%E7%AB%AF%E5%8F%82%E4%B8%8E%20DDOS%20%E7%9A%84%E5%A8%81%E8%83%81%EF%BC%9F.png)
我读过的关于缓解 DDOS 的大多数参考资料都涉及边缘路由器。
但是,您可以采取什么措施来防止您的 LAN 客户端在不知情的情况下参与 DDOS 攻击?
比如阻止广播数据包?这是假设您没有合法使用广播数据包的客户端应用程序。
或者使用可以使用公共阻止列表阻止传出流量的主机解析的 DNS 服务器?
答案1
边缘路由器通常(据我所知)用作保护传入DDOS 攻击。
为了防止内部客户“不知情的情况下参与”出站攻击——我会考虑 DDOS 可能以哪些方式“涉及”你的客户。
例如,WordPress 中的漏洞经常被利用;因此,如果您的客户端是运行 WordPress 的网络服务器,请及时修补它们(和/或在它们前面安装 WAF)。确保您的安全策略合理、维护和执行 - 我已经看到太多的盒子被入侵并被悄悄用作 DDOS 攻击的一部分。文件完整性监控是合理的,定期(甚至自动化程度更高!)监控系统用户帐户等也是合理的。
如果你的客户端是台式机/笔记本电脑,那么防病毒和理智的(本地)防火墙规则显然是一个开始,再加上阻止任何疯狂的核心交换层上的事情(广播通常对于各种各样的事情都是必要的,甚至可能是 DDOS 的一部分 - 它们通常是有针对性的 [“单播”],但您的网络真的需要传递 UDP 流量> 端口 1000 吗?或者具有大有效负载或速率>每端口每秒 10 个的 ICMP 数据包?)会有所帮助。
用户培训和限制也是明智的——谁有权访问这些设备?他们是否可以随心所欲地安装任何他们想要的东西?
最后,只需对网络吞吐量进行一些合理的监控。我们使用 Zabbix,但还有很多选择。由于网络 I/O 突然出现无法解释的峰值,我捕获了不止一次出站 DDOS 尝试……当事情在很长一段时间内远远超出您认为的“正常”范围时,稍微注意设置警报通常不是一个坏主意。
答案2
这不完全是对你问题的回答,但我指出了你问题中解决方案的错误。
DDoS 不涉及广播数据包,因为它们的攻击只有一个目标。
DNS 服务器主机解析阻止也是没用的,DDoS 攻击也可以使用 IP 地址。
此外,DDoS 攻击针对的是知名服务,因此您必须阻止该服务的域在 DNS 服务器上进行解析,这将完全阻止使用该服务。
此外,您无法预先知道哪个域名将成为 DDoS 目标。因此,您需要阻止所有域名的解析。
答案3
确保您的计算机已更新并使用防病毒软件。
大多数僵尸网络攻击来自远程用户控制安装的病毒/恶意软件来发起攻击,因此最终用户几乎不知道他正在参与攻击。
答案4
防止 LAN 客户端行为不当的常用方法是拒绝他们直接不受限制的互联网访问。
您提供通常需要的在线服务访问的本地替代方案(即提供具有您自己的缓存名称服务器的 DNS、本地 NTP 时间源、邮件中继等),您可以轻松监控和配置合理的(每个用户)使用策略。仅通过 HTTP 代理服务器提供对更大互联网的访问,并要求进行身份验证。
如果仍然需要直接访问互联网,则仅将特定连接列入白名单。