当前很多DDoS攻击峰值出现Tb级，该如何防护？

随着网络技术的发展，DDoS攻击也呈现出攻击强度越来越激烈的新特征。相关研究团队发现：年上半年已经出现持续2个月攻击接近Tb级的情况，大流量攻击以TCP类攻击为主，单一网段攻击流量持续且流量大，目前已监控到单一C段流量近200G。DDoS攻防的本质是资源对抗，抗D是DDoS攻击防护系统的一个简称，是针对DDoS攻击的有效防御手段。传统的防御方法通过硬件设备来清洗流量，成本非常高昂，低端的2U设备也通常动辄几十上百万一台。如果互联网接入的带宽不够大，一旦有大流量注入，带宽资源就会耗尽致使服务器再次中断。当前的Tb级攻击时代，基本都是“有钱人”的游戏。基于云计算的DDoS防护解决方案应运而生，成为了新一代的智能抗D黑魔法。可以选择一个国内的抗D的公司，比如腾讯云、长亭等，这些公司可以提供有效、响应迅速的抗D解决方案，具有遍布全国多个城市的T级防护容量的高防节点。

首选CDN技术！那么对于一个网站来说，使用CDN有什么好处呢？

1.加速缩短主机之间访问时信息传递的距离，分发至不同线路的节点后可以让不同线路的访问者在访问时提升实际的响应速度（比如电信和联通网络的访问差异）。

2.稳定当攻击者攻击一个节点仅仅是影响一个节点的缓存访问而已，CDN的“内容路由”会自动的启用为你配置另一个节点，以保持网站访问稳定。

3.安全保护CDN因为节点分散，攻击者比较难下手，分发后的不同节点IP地址不同，而且会自然的隐藏掉源寄存主机的真实IP，这样可以防止一些恶意攻击。做了CDN后，如果再在承载网之上、由分布在不同区域的边缘节点服务器群组成的分布式网络，替代传统以WEBServer为中心的数据传输模式，防御攻击。只需将网站域名跟IP解析到对应节点上，才能真正帮助网站抵御DDoS攻击，它应该还具备以下功能：

1、节点缓存各节点具备高速读写固态硬盘SSD存储，配合SSD加速能力，大幅减少用户访问等待时间，提高可用性。

2、精准调度自主研发的调度系统，单机支持百万级别域名调度

3、多场景的业务支持，多组件配合服务不论您的站点属于门户资讯类网站、多媒体视音频类网站、游戏类网站或是移动应用类APP等等，CDN会智能分配调度域提供针对需求的业务支持，全面站点提速。

5、自助式管理自助式控制台，自定义配置分钟级全节点智能部署

6、实时监控全面的网络监控，丰富的数据分析，做到全景监控信息的作用！最后，也是那句老话，技术一直在进步，保持自己的技术不落后，才能真正的保护自己！

我们要想有效的防护DDoS攻击，首先要了解不同的DDoS攻击所针对的不同网络组件和协议。攻击分类及应对基于不同的层级，攻击可以分为三类：应用层攻击：对第七层也就是应用层的攻击，这种攻击的目的是耗尽目标的应用资源。比如HTTP洪水攻击，大量的请求耗尽HTTP服务器的响应能力，导致拒绝服务。防御的做法通常是监视访问者的行为，阻止已知的僵尸网络情报源，或者是通过JS测试、cookie、验证码等技术来识别可疑或者无法识别的源实体。协议攻击：通常通过消耗服务器、防火墙或者负载均衡设备之类的中间资源，使网络三层或者四层的协议的新建数、可连接数、可用状态表等达到极限，导致拒绝服务。这种攻击一般需要在恶意流量未到达站点之前就对其进行阻断，因为此类DDoS攻击就是想建立连接，并长时间占用连接。可以利用访问者识别技术将合法的访问者和恶意的客户端分开，从而缓解此类攻击。Volumetric攻击：此类攻击近几年经常出现，也应该是提问者提到的Tb级别的攻击类型。它通常消耗目标与之间的所有带宽来造成访问的阻塞。通过放大流量的形式，将大量的恶意数据发送给攻击目标。这种攻击一般需要专业的DDoS防护厂商（Arbor，Cloudflare和Akamai等），利用分布在全球的清理中心对洪水般的攻击流量进行吸收清理，极端情况下直接引入黑洞路由之类的设施进行全量丢弃。防护的整体策略公司安全解决方案就是采用多级保护的策略，包括专业的异常流量管理系统，结合防火墙、内容过滤、负载均衡和其他的DDoS防御技术，共同配合来缓解DDoS攻击的影响。对于Tb级的DDoS攻击，我们最明智的选择是借助专业的云服务DDoS防护商。因为：

1.一般企业没有必要花费大量的资金来组建一套Tb级的防御工事；

2.我们借助于专业厂商，可以依据DDoS事件的资源使用量来付费；

3.他们的重要工作就是监视全球的最新DDoS动态，应急响应更有的放矢。而对于我们，这样可以方便在安全性和灵活性之间找到一个属于自己公司的平衡点。比如GitHub在年遭受的Memcached服务器DDoS攻击，从上图可以看到其峰值达到了1.35Tbps。GitHub的防御系统面对突发的Tb级的攻击，仅仅坚持了10分钟，就顶不住了。他们找来了Akamai托管了所有访问GitHub的流量，利用后者的数据清理中心对恶意流量进行清理。8分钟后，攻击未果，于是攻击者才就此作罢。当然云服务DDoS防护商也是按照回答开头所说的，根据不同的攻击类型进行不同的防御，只是相比于公司，其拥有更大的带宽和资源。新的趋势随着大数据和5G时代的到来，据报道将有千亿级的物联网设备会逐步联网。所以，现在DDoS攻击呈现出一种新的发展趋势：loT设备的僵尸网络。比如比较火的Mirai及其各种变种、Torii亦或是劫持Hadoop集群的DemonBot。我们必须对此重点关注。以上，希望对您有所帮助，也欢迎大家一起交流。