《网络安全应急响应技术实战指南》知识点总结（第8章 DDoS攻击网络安全应急响应）

一、DDoS攻击概述

1、DDoS攻击简介

DDoS攻击是Distributed Denial of Service Attrak（分布式拒绝服务攻击）的缩写。DoS表示信息技术中实际上应可用的因特网服务的不可用性，最常见的是数据网络拥塞。而分布式拒绝服务攻击是一种大规模的DoS攻击，攻击者使用多个ip地址或计算机对目标进行攻击。
绝大部分的DDoS攻击是通过僵尸网络产生的。僵尸网络采用一对多的控制方法进行控制。当确定受害者的IP地址或域名后，僵尸网络控制者发送攻击指令，随后就可以使网络断开连接，指令在僵尸程序之间自行传播和运行，每台僵尸主机都将做出响应，同时向目标主机发送请求，可能导致目标主机或网络出现溢出，从而拒绝服务。

2、DDoS攻击目的

1）进行勒索
2）打击竞争对手
3）报复行为或政治目的

3、常见DDoS攻击方法

DDoS攻击通过利用分布式的客户端，向攻击目标发送大量看似合法的请求，耗尽目标资源，从而造成目标服务不可用。

以下是常见的攻击方法：
1）消耗网络带宽资源
攻击者主要利用受控主机发送大量的网络数据包，占满攻击目标的带宽，使得正常请求无法达到即使有效的响应。
（1）ICMP Flood （ICMP洪水攻击）
ICMP是网络控制消息协议，是TCP/IP协议簇的一个子协议，主要用于在IP主机、路由器之间传递控制消息，进行诊断或控制，以及响应IP操作中的错误。ICMP洪水攻击是指通过受控主机（僵尸网络）向目标发送大量的ICMP请求，以消耗目标的带宽资源。

（2）UDP Flood
是目前主要的DDoS攻击手段，攻击者通过受控主机向目标发送大量的udp请求，以达到拒绝服务的目的。通常会使用大包和小包的攻击方法。小包是指以太网传输数据值最小数据包，数据包越小，使用数量就越多。因此使用小包可增加