世界上有一种职业秘不见光，从业者却拥有惊人的才华；企业有一种公敌因为变幻莫测，所以各大企业屡败屡战。根据之前卡巴斯基统计的数据显示，一个单个的DDoS攻击将对企业造成至少40万美元的伤害，从此，黑客这个群体，因为拥有高超的技术水平，令各大企业谈之色变。

　　在今年年初，猖獗的DDoS攻击已经攻陷了银行的体系，并且因为对方的顽强抵抗，DDOS攻击持续时间长达两个星期。那么，究竟什么才是DDOS攻击呢？

　　分布式拒绝服务(DDoS：Distributed Denial of Service)攻击是指故意的攻击网络协议实现的缺陷或直接通过野蛮手段残忍地耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务系统停止响应甚至崩溃。

　　然而随着网络上免费的可用DDoS工具增多，DoS攻击也日益增长，至今仍有38％的DDoS攻击的受害者无力保护其核心业务免遭攻击。最新数据显示，2016年年第四季度的DDOS攻击比2015年第四季度增加了140%。由此可见，人们对这个“挣钱最容易”的方式似乎热情不减。

　　大多数DDOS攻击的IP来自美国

　　在过去这一个季度中，DDOS攻击峰值强度有12次超过100Gbps的大型攻击（7次是由Mirai直接导致的），其中2016年第四季度最大型的DDoS攻击来自Spike，峰值强度高达517Gbps。据了解，Spike是一个非物联网僵尸网络，出现于两年多以前。虽然本季度DDoS攻击总数整体上有所下降，但参与DDoS攻击的IP地址数量却大幅上升。

2016年DDOS攻击TOP5（图片来自：Akamai）

　　从2016年第四季度DDOS攻击IP地址来源的国籍来看，24%（超过180，000个）参与DDoS攻击的IP地址来自美国，该国的Web应用程序攻击数量比2016年第三季度增加了72%。英国排名第二，占比约为9.7%，其次为德国6.6%。中国排名第四，占比6.2%，总数为46763。

　　DDOS攻击数量有所下降

　　从攻击向量来看，在2016年第四季度跟踪的25种DDoS攻击向量中，前三大攻击向量分别是UDP分片式攻击（27%）、DNS攻击（21%）和NTP攻击（15%）；DDoS攻击数量整体上下降了16%。

　　Akamai在本季度新增了反射式DDoS攻击向量，而无连接轻量级目录访问协议（Connectionless Lightweight Directory Access Protocol，CLDAP）则经常被攻击者滥用来增强DDoS流量。

图片来自：Akamai

　　最后，《互联网发展状况安全报告》高级安全顾问兼高级编辑Martin McKeay表示：“在第三季度，Mirai僵尸网络攻击呈现上升趋势，不安全的物联网（IoT）设备继续成为DDoS攻击流量的主要来源。物联网设备预计将会激增，这就使得攻击者能够获得更多资源来发起攻击。鉴于此，公司迫切需要增加其安全方面的投资。此外，设备的安全程度预计会跟不上其他新型系统漏洞的出现速度。我们在2016年第四季度的研究分析证明了在Web安全世界，‘时刻做好准备应对意外情况’这句老话是很有道理的。

　　笔者认为，为了避免DDOS攻击，企业网络管理人员要注意及时关闭不必要的服务；启用防火墙的防DDoS属性；禁止对主机的非开放服务访问；限制特定IP地址访问；限制同时打开的Syn半连接数目；缩短Syn半连接的timeout时间；同时及时更新系统补丁。

责任编辑：韩希宇