應(yīng)用服務(wù)器通常會含有定制的，自帶的，或者是第三方的應(yīng)用程序。任何的零日漏洞都會導(dǎo)致被黑客攻擊而使您的服務(wù)器或網(wǎng)絡(luò)資源成為僵尸網(wǎng)絡(luò)的活動區(qū)域。梭子魚Web應(yīng)用防火墻提供健壯的安全特性來防止惡意軟件的上傳，命令注入，目錄遍歷，或者任何其他諸如探測或者攻擊等的入侵應(yīng)用服務(wù)器的行為。

防御HTTP GET和POST洪水攻擊

Web應(yīng)用通常會有一些調(diào)用數(shù)據(jù)庫，內(nèi)存或者CPU運算等的比較消耗資源的頁面或者接口。例如，文本搜索，僵尸網(wǎng)絡(luò)會頻繁地訪問這些頁面導(dǎo)致Web應(yīng)用崩潰。

對于這種情況，梭子魚第一層的保護是為特定的應(yīng)用設(shè)定合適的人為訪問閥值。例如，人們訪問銀行業(yè)務(wù)的應(yīng)用大概會在1分鐘內(nèi)訪問10個頁面，那我們就把這個閥值設(shè)置好，而且，人為的訪問會帶有有效的客戶端報頭，如Cookies和Referrers報頭。一般通過腳本程序來訪問的話都不會有這方面的信息。

 
防御HTTP“Slow Attacks”

一些攻擊手段會使僵尸主機與攻擊目標的交互停留在局部的請求與應(yīng)答當(dāng)中，并且提供滿足最低交互要求的數(shù)據(jù)以防止服務(wù)器訪問超時關(guān)閉會話。這種攻擊以消耗系統(tǒng)資源來使得應(yīng)用處理效率降低，最后導(dǎo)致服務(wù)器沒有能力再處理新來的請求流量。這種攻擊稱為“low and slow”攻擊，因為只需要小部分的客戶端通過較低的網(wǎng)絡(luò)帶寬就可以暗地里地和慢慢地完成對服務(wù)器的DDOS攻擊，這種攻擊目前非常流行。

Slowloris攻擊是典型的Slow攻擊，它會在一定的時間間隔內(nèi)向攻擊目標服務(wù)器重復(fù)初始化和發(fā)送HTTP報頭，但是卻不會把報頭發(fā)送完畢，這使得服務(wù)器線程和網(wǎng)絡(luò)資源不能被釋放出來，最終導(dǎo)致服務(wù)器資源耗盡達到拒絕服務(wù)攻擊的效果。從協(xié)議的合規(guī)性分析，這種攻擊流量是正常的流量，所以依靠特征庫和黑名單技術(shù)的防護設(shè)備是檢測不出這種攻擊的。
憑借著反向代理技術(shù)，協(xié)議和應(yīng)用可視性的優(yōu)勢，梭子魚Web應(yīng)用防火墻可以識別和阻斷不正常的流量，通過自適應(yīng)安全算法監(jiān)控不斷增長和聚合的通訊流量，關(guān)閉惡意連接，從而防止這些惡意流量過度地消耗系統(tǒng)資源。

基于客戶端完整性檢查防御僵尸網(wǎng)絡(luò)攻擊

除了像Google和百度這些搜索引擎索引Web頁面之外，面向互聯(lián)網(wǎng)訪問的絕大部分的Web應(yīng)用流量都是來自于用戶的瀏覽器，如Internet Explorer, Firefox, Chrome, 或者 Safari等。然而來自僵尸網(wǎng)絡(luò)的流量通常由自動化的腳本程序產(chǎn)生，和瀏覽器正常產(chǎn)生的流量不一樣。因此，采用一些探測性的算法可以把人為產(chǎn)生的流量和僵尸網(wǎng)絡(luò)產(chǎn)生的流量區(qū)分開來。

梭子魚Web應(yīng)用防火墻提供兩種方法來檢測和過濾產(chǎn)生這些流量的源頭。第一種方法是，通過在可疑的客戶端訪問中插入檢測指令來檢驗Web瀏覽器和應(yīng)用會話是否正常，這是一種被動的挑戰(zhàn)應(yīng)答方式，這種方式不會干涉正常的人為訪問流量，但是可以檢測和阻斷僵尸網(wǎng)絡(luò)產(chǎn)生的流量。第二種方法是主動的挑戰(zhàn)應(yīng)答方式，通過驗證碼的方式驗證客戶端的訪問是否正常，這種方法不需要修改后端Web服務(wù)器的任何配置。

 
由于驗證碼驗證方式會干涉用戶的訪問，所以企業(yè)和組織可以合理利用這兩種被動和主動的檢測算法，只對經(jīng)過被動式檢測到的可疑客戶端使用主動式的驗證碼驗證方式。

使用地理位置IP信息降低DDOS攻擊的可能性

僵尸網(wǎng)絡(luò)分布于世界各個角落，在某些國家和地區(qū)尤為嚴重，在不同的地理位置發(fā)動攻擊。梭子魚Web應(yīng)用防火墻具有內(nèi)置的地理位置IP信息庫，可以定位具體發(fā)動攻擊的IP地址的地理位置。在攻擊發(fā)生過程中，可以使用該功能阻斷來自某個發(fā)動攻擊的主要國家或地區(qū)的攻擊流量。

 
根據(jù)僵尸網(wǎng)絡(luò)分布的足跡，大約30%-70%的攻擊流量可以被基于地理位置的訪問控制策略阻斷。這不僅僅可以使您可以繼續(xù)為正常地區(qū)的用戶提供Web應(yīng)用服務(wù)，而且可以釋放系統(tǒng)資源和網(wǎng)絡(luò)帶寬。

使用客戶端IP地址信譽過濾僵尸網(wǎng)絡(luò)流量

僵尸網(wǎng)絡(luò)逐步發(fā)展得越來越大規(guī)模，通常可以被利用來發(fā)垃圾郵件，DDOS攻擊，APTs等。梭子魚網(wǎng)絡(luò)在郵件安全，上網(wǎng)安全，網(wǎng)絡(luò)安全和Web應(yīng)用安全等領(lǐng)域可以提供成熟的安全解決方案，并且全球客戶數(shù)已經(jīng)超過150000。梭子魚擁有業(yè)界領(lǐng)先的信譽數(shù)據(jù)庫，包括惡意威脅分類規(guī)則庫和惡意IP信息庫，這就是由梭子魚實驗室維護的梭子魚信譽黑名單（BRBL）。

梭子魚Web應(yīng)用防火墻集成BRBL來防御僵尸網(wǎng)絡(luò)的攻擊。在持續(xù)不斷的DDOS攻擊期間，梭子魚的信譽技術(shù)可以很好地檢測和阻斷針對您的服務(wù)器的僵尸網(wǎng)絡(luò)流量攻擊。另外，梭子魚Web應(yīng)用防火墻具有阻斷來自于匿名和中繼代理的流量的能力，這些代理經(jīng)常被黑客用來探測和執(zhí)行高級持續(xù)性的威脅攻擊。

 
所有上述的信譽地址庫都可以自動實時地通過梭子魚的活力更新（EU）下載到設(shè)備上，從而可以保證設(shè)備使用最新的規(guī)則地址信息庫而不需要管理員的人工干預(yù)。

綜述防御應(yīng)用層DDOS攻擊

綜上所述，企業(yè)需要采用一套綜合的防護策略來對付僵尸網(wǎng)絡(luò)以及基于應(yīng)用層的DDOS攻擊，應(yīng)用層流量的可視性和可控性是網(wǎng)絡(luò)分層防御策略的關(guān)鍵元素，可有效地防御多元化的DDOS攻擊。

有時，企業(yè)或組織不太愿意采用DDOS防御系統(tǒng)的原因主要是考慮到成本、效果和投資回報率等問題。梭子魚Web應(yīng)用防火墻是一個硬件或者虛擬化的應(yīng)用層解決方案。它整合了實時狀態(tài)分析技術(shù)和歷史數(shù)據(jù)智能分析技術(shù)來防御應(yīng)用層的DDOS攻擊。梭子魚Web應(yīng)用防火墻可以基于應(yīng)用閥值，協(xié)議檢測，會話完整性，主動和被動的客戶端挑戰(zhàn)應(yīng)答方式，客戶端歷史訪問信譽，地理位置，匿名代理檢查等技術(shù)來防御應(yīng)用層的攻擊。所有這些技術(shù)都已經(jīng)集成到加固了的應(yīng)用防火墻系統(tǒng)平臺，提供卓越的ROI和合規(guī)性的功能。不像一些服務(wù)提供商解決方案那樣根據(jù)流量收費，梭子魚Web應(yīng)用防火墻防御DDOS攻擊不會根據(jù)攻擊的流量和頻率來收費，可以最低的成本提供實時的防護手段。

renxinbo