什么是資源消耗型攻擊

CC攻擊（Distributed HTTP flood，分布式HTTP洪水攻擊）

CC攻擊使用代理服務器向受害服務器發送大量貌似合法的請求（通常為HTTP GET)。攻擊者創造性地使用代理，利用廣泛可用的免費代理服務器發動DDoS攻擊。許多免費代理服務器支持匿名，這使追蹤變得非常困難。
2004年，一位匿名為KiKi的中國黑客開發了一種用于發送HTTP請求的DDoS攻擊工具以攻擊名為“Collapsar”的NSFOCUS防火墻，因此該黑客工具被稱為“Challenge Collapsar”（挑戰黑洞，簡稱CC），這類攻擊被稱作“CC攻擊”。[5]

僵尸網絡攻擊

僵尸網絡是指大量被命令與控制（C&C）服務器所控制的互聯網主機群。攻擊者傳播惡意軟件并組成自己的僵尸網絡。僵尸網絡難于檢測的原因是，僵尸主機只有在執行特定指令時才會與服務器進行通訊，使得它們隱蔽且不易察覺。僵尸網絡根據網絡通訊協議的不同分為IRC、HTTP或P2P類等。
應用程序級洪水攻擊（Application level floods）
與前面敘說的攻擊方式不同，應用程序級洪水攻擊主要是針對應用軟件層的，也就是高于OSI的。它同樣是以大量消耗系統資源為目的，通過向IIS這樣的網絡服務程序提出無節制的資源申請來破壞正常的網絡服務。

回答所涉及的環境：聯想天逸510S、Windows 10。

資源耗盡攻擊也被稱為“DDoSTCPSYN攻擊”，它利用TCP功能將僵尸程序偽裝的TCPSYN請求發送給受害服務器，從而飽和服務處理器資源并阻止其有效地處理合法請求。它專門利用發送系統和接收系統間的三向信號交換來發送大量欺騙性的原IP地址TCP SYN數據包給受害系統。最終，大量TCP SYN攻擊請求反復發送，導致受害系統內存和處理器資源耗盡，致使其無法處理任何合法用戶的請求。

預防DDOS攻擊的措施有以下這些：

• 反向代理CDN：反向代理服務器位于用戶與目標服務器之間，但是對于用戶而言，反向代理服務器就相當于目標服務器，即用戶直接訪問反向代理服務器就可以獲得目標服務器的資源。同時，用戶不需要知道目標服務器的地址，也無須在用戶端作任何設定。反向代理服務器通常可用來作為Web加速，即使用反向代理作為Web服務器的前置機來降低網絡和服務器的負載，提高訪問效率。

• 采用高性能的網絡設備：抗DDoS攻擊首先要保證網絡設備不能成為瓶頸，因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、口碑好的產品。再就是假如和網絡提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網絡接點處做一下流量限制來對抗某些種類的DDoS攻擊是非常有效的。

• 盡量避免NAT的使用：無論是路由器還是硬件防護墻設備都要盡量避免采用網絡地址轉換NAT的使用，除了必須使用NAT，因為采用此技術會較大降低網絡通信能力，原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網絡包的校驗和進行計算，因此浪費了很多CPU的時間。

• 充足的網絡帶寬保證：網絡帶寬直接決定了能抗受攻擊的能力，假若僅有10M帶寬，無論采取何種措施都很難對抗現在的 SYNFlood攻擊，當前至少要選擇100M的共享帶寬,1000M的帶寬會更好，但需要注意的是，主機上的網卡是1000M的并不意味著它的網絡帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等于就有了百兆的帶寬，因為網絡服務商很可能會在交換機上限制實際帶寬為10M。

• 升級主機服務器硬件：在有網絡帶寬保證的前提下，盡量提升硬件配置，要有效對抗每秒10萬個SYN攻擊包，服務器的配置至少應該為：P4 2.4G/DDR512M/SCSI-HD，起關鍵作用的主要是CPU和內存，內存一定要選擇DDR的高速內存，硬盤要盡量選擇SCSI的，要保障硬件性能高并且穩定，否則會付出高昂的性能代價。

• 把網站做成靜態頁面：大量事實證明，把網站盡可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給黑客入侵帶來不少麻煩。

回答所涉及的環境：聯想天逸510S、Windows 10。