服務(wù)器安全狗DDOS防火墻怎么設(shè)置讓服務(wù)器免遭攻擊
防火墻借由監(jiān)測(cè)所有的封包并找出不符規(guī)則的內(nèi)容，可以防范電腦蠕蟲或是木馬程序的快速蔓延。服務(wù)器安全狗DDOS防護(hù)功能是一個(gè)非常重要的功能，設(shè)置得好，別人攻擊也就沒那么容易。下面一起看看具體設(shè)置!
接下來我們來進(jìn)行詳細(xì)的了解下DDOS攻擊防護(hù)能力及其設(shè)置：
用戶可以通過單擊操作界面右上方的“已開啟”/“已關(guān)閉”按鈕來開啟/關(guān)閉DDOS防火墻功能。建議用戶安裝完服務(wù)器安全狗之后，立即開啟DDOS防火墻。只有DDOS防火墻開啟，才能實(shí)現(xiàn)防御DDOS攻擊的功能，如下圖所示：
參數(shù)設(shè)置：DDOS防火墻各項(xiàng)參數(shù)，全部是針對(duì)單個(gè)IP的設(shè)置。所有參數(shù)都是根據(jù)實(shí)驗(yàn)測(cè)試得出的最佳值，所以一般情況下建議用戶直接使用系統(tǒng)默認(rèn)設(shè)置。同時(shí)，在使用過程中，用戶也可以根據(jù)實(shí)際攻擊情況隨時(shí)修改各項(xiàng)參數(shù)值，如圖所示：
“IP凍結(jié)時(shí)間”用以設(shè)置被安全狗判斷為攻擊的IP將會(huì)被禁止訪問的時(shí)間長(zhǎng)度，時(shí)間單位為分鐘，取值需為大于1的整數(shù)，用戶可以視攻擊情況修改限制訪問的時(shí)間長(zhǎng)度，如下圖所示：
“SYN攻擊”設(shè)置單位時(shí)間內(nèi)單個(gè)IP的TCP連接請(qǐng)求響應(yīng)次數(shù)，此功能用于SYN攻擊防護(hù)，時(shí)間單位為秒鐘，取值需為大于1的整數(shù)，一般使用默認(rèn)的參數(shù)500，如果攻擊情況比較嚴(yán)重，可以適當(dāng)調(diào)低連接請(qǐng)求參數(shù)，那什么是TCP呢?這個(gè)就要涉及到TCP/IP協(xié)議了。
TCP/IP(Transmission Control Protocol/Internet Protocol) 即傳輸控制協(xié)議/網(wǎng)間協(xié)議,是一個(gè)工業(yè)標(biāo)準(zhǔn)的協(xié)議集,它是為廣域網(wǎng)(WAN)設(shè)計(jì)的。
那什么又是TCP連接請(qǐng)求呢?
具體大家可以到網(wǎng)絡(luò)上找到大量的比較正式的解釋，這里我們先稍微介紹下。舉個(gè)例子，比如你要去朋友家玩，這個(gè)朋友是新認(rèn)識(shí)的，所以你不知道他家地址，那你就需要問他家的地址，然后你找個(gè)時(shí)間去找他。這里“TCP連接”代表“你和朋友面對(duì)面接觸并商量好”的這個(gè)過程，而“朋友給你的地址”就代表了IP地址。那就如我們?cè)O(shè)置的10秒響應(yīng)TCP連接請(qǐng)求數(shù)500，就代表了你10秒內(nèi)要向這個(gè)朋友問他的地址500次(當(dāng)然這個(gè)只是比喻現(xiàn)實(shí)不太可能實(shí)現(xiàn))，這樣就造成了很大的負(fù)載，導(dǎo)致計(jì)算機(jī)可能負(fù)載很大就無法正常運(yùn)行了。比喻可能比較通俗也不是非常的準(zhǔn)確，但最少可以讓大家知道是這么個(gè)意思
掃描攻擊指的是通過一些軟件對(duì)服務(wù)器的端口或者漏洞進(jìn)行掃描然后入侵計(jì)算機(jī)。“掃描攻擊”主要是設(shè)置單位時(shí)間內(nèi)的服務(wù)器請(qǐng)求響應(yīng)次數(shù)，時(shí)間單位為秒鐘，取值需為大于1的整數(shù)，一般使用默認(rèn)的參數(shù)500，如果攻擊情況比較嚴(yán)重，可以適當(dāng)調(diào)低響應(yīng)請(qǐng)求次數(shù)
“流量攻擊”設(shè)置單位時(shí)間內(nèi)服務(wù)器最多接收單個(gè)IP發(fā)送的TCP/UDP包次數(shù)，時(shí)間單位為秒鐘，取值需為大于1的整數(shù)，一般使用默認(rèn)的參數(shù)500，如果攻擊情況比較嚴(yán)重，可以適當(dāng)調(diào)低響應(yīng)請(qǐng)求次數(shù)，這種攻擊消耗網(wǎng)絡(luò)帶寬或使用大量數(shù)據(jù)包淹沒一個(gè)或多個(gè)路由器、服務(wù)器和防火墻;帶寬攻擊的普遍形式是大量表面看合法的TCP、UDP或ICMP數(shù)據(jù)包被傳送到特定目的地，我們通過安全狗設(shè)置當(dāng)這些數(shù)據(jù)包達(dá)到一定數(shù)的時(shí)候進(jìn)行防御。
當(dāng)全部都設(shè)置完成之后，點(diǎn)擊“保存”，這樣就完成了設(shè)置。
DDOS攻擊防護(hù)很重要，大家一定要認(rèn)真設(shè)置，以達(dá)到最佳的防護(hù)效果。
補(bǔ)充閱讀：防火墻主要使用技巧
一、所有的防火墻文件規(guī)則必須更改。
盡管這種方法聽起來很容易，但是由于防火墻沒有內(nèi)置的變動(dòng)管理流程，因此文件更改對(duì)于許多企業(yè)來說都不是最佳的實(shí)踐方法。如果防火墻管理員因?yàn)橥话l(fā)情況或者一些其他形式的業(yè)務(wù)中斷做出更改，那么他撞到槍口上的可能性就會(huì)比較大。但是如果這種更改抵消了之前的協(xié)議更改，會(huì)導(dǎo)致宕機(jī)嗎?這是一個(gè)相當(dāng)高發(fā)的狀況。
防火墻管理產(chǎn)品的中央控制臺(tái)能全面可視所有的防火墻規(guī)則基礎(chǔ)，因此團(tuán)隊(duì)的所有成員都必須達(dá)成共識(shí)，觀察誰進(jìn)行了何種更改。這樣就能及時(shí)發(fā)現(xiàn)并修理故障，讓整個(gè)協(xié)議管理更加簡(jiǎn)單和高效。
二、以最小的權(quán)限安裝所有的訪問規(guī)則。
另一個(gè)常見的安全問題是權(quán)限過度的規(guī)則設(shè)置。防火墻規(guī)則是由三個(gè)域構(gòu)成的：即源(IP地址)，目的地(網(wǎng)絡(luò)/子網(wǎng)絡(luò))和服務(wù)(應(yīng)用軟件或者其他目的地)。為了確保每個(gè)用戶都有足夠的端口來訪問他們所需的系統(tǒng)，常用方法是在一個(gè)或者更多域內(nèi)指定打來那個(gè)的目標(biāo)對(duì)象。當(dāng)你出于業(yè)務(wù)持續(xù)性的需要允許大范圍的IP地址來訪問大型企業(yè)的網(wǎng)絡(luò)，這些規(guī)則就會(huì)變得權(quán)限過度釋放，因此就會(huì)增加不安全因素。服務(wù)域的規(guī)則是開放65535個(gè)TCP端口的ANY。防火墻管理員真的就意味著為黑客開放了65535個(gè)攻擊矢量?
三、根據(jù)法規(guī)協(xié)議和更改需求來校驗(yàn)每項(xiàng)防火墻的更改。
在防火墻操作中，日常工作都是以尋找問題，修正問題和安裝新系統(tǒng)為中心的。在安裝最新防火墻規(guī)則來解決問題，應(yīng)用新產(chǎn)品和業(yè)務(wù)部門的過程中，我們經(jīng)常會(huì)遺忘防火墻也是企業(yè)安全協(xié)議的物理執(zhí)行者。每項(xiàng)規(guī)則都應(yīng)該重新審核來確保它能符合安全協(xié)議和任何法規(guī)協(xié)議的內(nèi)容和精神，而不僅是一篇法律條文。
四、當(dāng)服務(wù)過期后從防火墻規(guī)則中刪除無用的規(guī)則。
規(guī)則膨脹是防火墻經(jīng)常會(huì)出現(xiàn)的安全問題，因?yàn)槎鄶?shù)運(yùn)作團(tuán)隊(duì)都沒有刪除規(guī)則的流程。業(yè)務(wù)部門擅長(zhǎng)讓你知道他們了解這些新規(guī)則，卻從來不會(huì)讓防火墻團(tuán)隊(duì)知道他們不再使用某些服務(wù)了。了解退役的服務(wù)器和網(wǎng)絡(luò)以及應(yīng)用軟件更新周期對(duì)于達(dá)成規(guī)則共識(shí)是個(gè)好的開始。運(yùn)行無用規(guī)則的報(bào)表是另外一步。黑客喜歡從來不刪除規(guī)則的防火墻團(tuán)隊(duì)。
服務(wù)器安全狗DDOS防火墻相關(guān)文章：