① DDoS攻擊有哪些防禦方法怎麼做好防禦工作
1、採用高性能的網路設備
首先要保證網路設備不能成為瓶頸，因此選擇路由器、交換機、硬體防火牆等設備的時候要盡量選用知名度高、口碑好的產品。再就是假如和網路提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網路接點處做一下流量限制來對抗某些種類的DDoS攻擊是非常有效的。
2、盡量避免NAT的使用
無論是路由器還是硬體防護牆設備要盡量避免採用網路地址轉換NAT的使用，因為採用此技術會較大降低網路通信能力，其實原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網路包的校驗和進行計算，因此浪費了很多CPU的時間，但有些時候必須使用NAT，那就沒有好辦法了。
3、充足的網路帶寬保證
網路帶寬直接決定了能抗受攻擊的能力，假若僅僅有10M帶寬的話，無論採取什麼措施都很難對抗現在的SYNFlood攻擊，當前至少要選擇100M的共享帶寬，最好的當然是掛在1000M的主幹上了。但需要注意的是，主機上的網卡是1000M的並不意味著它的網路帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等於就有了百兆的帶寬，因為網路服務商很可能會在交換機上限制實際帶寬為10M，這點一定要搞清楚。
4、升級主機伺服器硬體
在有網路帶寬保證的前提下，請盡量提升硬體配置，要有效對抗每秒10萬個SYN攻擊包，伺服器的配置至少應該為：P4 2.4G/DDR512M/SCSI-HD，起關鍵作用的主要是CPU和內存，若有志強雙CPU的話就用它吧，內存一定要選擇DDR的高速內存，硬碟要盡量選擇SCSI的，別只貪IDE價格不貴量還足的便宜，否則會付出高昂的性能代價，再就是網卡一定要選用3COM或Intel等名牌的，若是Realtek的還是用在自己的PC上吧。
5、把網站做成靜態頁面或者偽靜態
大量事實證明，把網站盡可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給黑客入侵帶來不少麻煩，至少到現在為止關於HTML的溢出還沒出現，看看吧!新浪、搜狐、網易等門戶網站主要都是靜態頁面，若你非需要動態腳本調用，那就把它弄到另外一台單獨主機去，免的遭受攻擊時連累主伺服器，當然，適當放一些不做資料庫調用腳本還是可以的，此外，最好在需要調用資料庫的腳本中拒絕使用代理的訪問，因為經驗表明使用代理訪問你網站的80%屬於惡意行為。
6、增強操作系統的TCP/IP棧
Win2000和Win2003作為伺服器操作系統，本身就具備一定的抵抗DDoS攻擊的能力，只是默認狀態下沒有開啟而已，若開啟的話可抵擋約10000個SYN攻擊包，若沒有開啟則僅能抵禦數百個，具體怎麼開啟，自己去看微軟的文章吧!《強化 TCP/IP 堆棧安全》。
7、安裝專業抗DDOS防火牆
通過像雲漫網路這樣專業的網路安全公司接入專業抗DDOS防火牆，對惡意攻擊進行流量清洗，保障伺服器的穩定運行。
8、HTTP 請求的攔截
如果惡意請求有特徵，對付起來很簡單：直接攔截它就行了。HTTP 請求的特徵一般有兩種：IP 地址和 User Agent 欄位。比如，惡意請求都是從某個 IP 段發出的，那麼把這個 IP 段封掉就行了。或者，它們的 User Agent 欄位有特徵(包含某個特定的詞語)，那就把帶有這個詞語的請求攔截。
9、部署CDN
CDN 指的是網站的靜態內容分發到多個伺服器，用戶就近訪問，提高速度。因此，CDN 也是帶寬擴容的一種方法，可以用來防禦 DDOS 攻擊。
網站內容存放在源伺服器，CDN 上面是內容的緩存。用戶只允許訪問 CDN，如果內容不在 CDN 上，CDN 再向源伺服器發出請求。這樣的話，只要 CDN 夠大，就可以抵禦很大的攻擊。不過，這種方法有一個前提，網站的大部分內容必須可以靜態緩存。對於動態內容為主的網站(比如論壇)，就要想別的辦法，盡量減少用戶對動態數據的請求。
各大雲服務商提供的高防 IP，背後也是這樣做的：網站域名指向高防 IP，它提供一個緩沖層，清洗流量，並對源伺服器的內容進行緩存。
這里有一個關鍵點，一旦上了 CDN，千萬不要泄露源伺服器的 IP 地址，否則攻擊者可以繞過 CDN 直接攻擊源伺服器，前面的努力都白費。搜一下"繞過 CDN 獲取真實 IP 地址"，你就會知道國內的黑產行業有多猖獗。
10、其他防禦措施
以上幾條對抗DDoS建議，適合絕大多數擁有自己主機的用戶，但假如採取以上措施後仍然不能解決DDoS問題，就有些麻煩了，可能需要更多投資，增加伺服器數量並採用DNS輪巡或負載均衡技術，甚至需要購買七層交換機設備，從而使得抗DDoS攻擊能力成倍提高，只要投資足夠深入。
② 網路安全技術 常見的DDoS攻擊方法有哪些
常見的DDoS攻擊方法有：
1、SYN/ACK Flood攻擊
這種攻擊方法是經典最有效的DDOS攻擊方法，可通殺各種系統的網路服務，主要是通過向受害主機發送大量偽造源IP和源埠的SYN或ACK包，導致主機的緩存資源被耗盡或忙於發送回應包而造成拒絕服務，由於源都是偽造的故追蹤起來比較困難，缺點是實施起來有一定難度，需要高帶寬的僵屍主機支持。少量的這種攻擊會導致主機伺服器無法訪問，但卻可以Ping的通，在伺服器上用Netstat -na命令會觀察到存在大量的SYN_RECEIVED狀態，大量的這種攻擊會導致Ping失敗、TCP/IP棧失效，並會出現系統凝固現象，即不響應鍵盤和滑鼠。普通防火牆大多無法抵禦此種攻擊。
2、TCP全連接攻擊
這種攻擊是為了繞過常規防火牆的檢查而設計的，一般情況下，常規防火牆大多具備過濾TearDrop、Land等DOS攻擊的能力，但對於正常的TCP連接是放過的，殊不知很多網路服務程序（如：IIS、Apache等Web伺服器）能接受的TCP連接數是有限的，一旦有大量的TCP連接，即便是正常的，也會導致網站訪問非常緩慢甚至無法訪問，TCP全連接攻擊就是通過許多僵屍主機不斷地與受害伺服器建立大量的TCP連接，直到伺服器的內存等資源被耗盡而被拖跨，從而造成拒絕服務，這種攻擊的特點是可繞過一般防火牆的防護而達到攻擊目的，缺點是需要找很多僵屍主機，並且由於僵屍主機的IP是暴露的，因此此種DDOS攻擊方式容易被追蹤。
3、刷Script腳本攻擊
這種攻擊主要是針對存在ASP、JSP、PHP、CGI等腳本程序，並調用MSSQLServer、MySQLServer、Oracle等資料庫的網站系統而設計的，特徵是和伺服器建立正常的TCP連接，並不斷的向腳本程序提交查詢、列表等大量耗費資料庫資源的調用，典型的以小博大的攻擊方法。一般來說，提交一個GET或POST指令對客戶端的耗費和帶寬的佔用是幾乎可以忽略的，而伺服器為處理此請求卻可能要從上萬條記錄中去查出某個記錄，這種處理過程對資源的耗費是很大的，常見的資料庫伺服器很少能支持數百個查詢指令同時執行，而這對於客戶端來說卻是輕而易舉的，因此攻擊者只需通過Proxy代理向主機伺服器大量遞交查詢指令，只需數分鍾就會把伺服器資源消耗掉而導致拒絕服務，常見的現象就是網站慢如蝸牛、ASP程序失效、PHP連接資料庫失敗、資料庫主程序佔用CPU偏高。這種攻擊的特點是可以完全繞過普通的防火牆防護，輕松找一些Proxy代理就可實施攻擊，缺點是對付只有靜態頁面的網站效果會大打折扣，並且有些Proxy會暴露DDOS攻擊者的IP地址。
③ 屬於系統安全的技術有哪些
屬於系統安全的技術有：
1、防火牆技術
防火牆是建立在內絡邊界上的過濾機制，內部網路被認為是安全和可信賴的而外部網路被認為是不安全和不可信賴的。防火牆可以監控進出網路的流量，僅讓安全、核準的信息進入，同時抵制對企業構成威脅的數據。防火牆的主要實現技術有:數據包過濾、應用網關和代理服務等。
2、信息加密技術
信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。數據加密技術主要分為數據存儲加密和數據傳輸加密，數據傳輸加密主要是對傳輸中的數據流進行加密。加密是一種主動安全防禦策略，用很小的代價即可為信息提供相當大的安全保護，是一種限制網路上傳輸數據訪問權的技術。
3、身份認證技術
身份認證是系統核查用戶身份證明的過程，其實質是查明用戶是否具有它所請求資源的使用權。身份識別是指用戶向系統出示自己身份證明的過程。身份認證至少應包括驗證協議和授權協議。當前身份認證技術，除傳統的靜態密碼認證技術以外，還有動態密碼認證技術、IC卡技術、數字證書、指紋識別認證技術等。
4、安全協議
安全協議的建立和完善是安全保密系統走上規范化、標准化道路的基本因素。一個較為完善的內部網和安全保密系統，至少要實現加密機制、驗證機制和保護機制。目前使用的安全協議有加密協議、密鑰管理協議、數據驗證協議和安全審計協議等。
5、入侵檢測系統
入侵檢測系統是一種對網路活動進行實時監測的專用系統。該系統處於防火牆之後，可以和防火牆及路由器配合工作，用來檢查一個LAN網段上的所有通信，記錄和禁止網路活動，可以通過重新配置來禁止從防火牆外部進入的惡意活動。入侵檢測系統能夠對網路上的信息進行快速分析或在主機上對用戶進行審計分析，並通過集中控制台來管理、檢測。
④ 網路安全中edr是什麼意思
本教程操作環境：windows7系統、Dell G3電腦。
端點檢測與響應(Endpoint Detection & Response，EDR)是一種主動式端點安全解決方案，通過記錄終端與網路事件，將這些信息本地化存儲在端點或者集中在資料庫。EDR 會集合已知的攻擊指示器、行為分析的資料庫來連續搜索數據和機器學習技術來監測任何可能的安全威脅，並對這些安全威脅做出快速響應。還有助於快速調查攻擊范圍，並提供響應能力。
能力
預測：risk assessment（風險評估）；anticipate threats（預測威脅）；baseline security posture（基線安全態勢）。
防護：harden systems（強化系統）；isolate system（隔離系統）；prevent attacks（防止攻擊）。
檢測：detect incidents（檢測事件）；confirm and prioritize risk（確認風險並確鍵謹閉定優先順序）。contain incidents（包含事件）。
響應：remediate（補救）；design policy change（設計規則變更）；investigate incidents（調查事件）。
安全模型
相比於傳端點安全防護採用預設安全策略的靜態防禦技術，EDR 加強了威脅檢測和響應取證能力，能夠快速檢測、識別、監控和處理端點事件，從而在威脅尚未造成危害前進行檢測和阻止，幫助受保護網路免受零日威脅和各種新出現的威脅。安全模型如圖所示：
1、資產發現
定期通過主動掃描、被動發現、手工錄入和人工排查等多種方法收集當前網路中所有軟硬體資產，包括全網所有的端點資產和在用的軟體名稱、版本，確保整個網路中沒有安全盲點。
2、系統加固
需要定期進行漏洞掃描，打補丁、對安全策略進行更新和進一步細化，通過白名單現在未授權的軟體進行運行，通過防火牆限制為授權就開啟伺服器埠和服務，最好能定期檢查和修改清理內部人員的賬號和密碼還有授權信晌迅息。
3、威脅檢測
通過端點本地的主機入侵檢測進行異常行為分析，針對各類安全威脅，在其發生之前、發生中、和發生後作出相應的防護和檢測行為。
4、響應取證
針對全網的安全威脅進行可視化展示，對威脅自動化地進行隔離、修復和搶救，降低事件響應和取證的門檻，這樣就不需要依賴於外部專家就可以完成應急響應和取證分析。
功能
調查安全事件；
將端點修復為預感染狀態；
檢測安全事件；
包含終端事件；
工作原理
一旦安裝了 EDR 技術，馬上 EDR 就會使用先進的演算法分析系統上單個用戶的行為，並記住和連接他們的活動。
感知系統中的某個或者特定用戶的異常行為，數據會被過濾，防止出現惡意行為的跡象，這些跡象會觸發警報然後我們就去確定攻擊的真假。
如果檢測到惡意活動，演算法將跟蹤攻擊路徑並將其構建回入口點。 （關聯跟蹤）
然後，該技術將所有數據點合稿裂並到稱為惡意操作 (MalOps) 的窄類別中，使分析人員更容易查看。
在發生真正的攻擊事件時，客戶會得到通知，並得到可採取行動的響應步驟和建議，以便進行進一步調查和高級取證。如果是誤報，則警報關閉，只增加調查記錄，不會通知客戶
體系框架
EDR 的核心在於：一方面，利用已有的黑名單和基於病毒特徵的端點靜態防禦技術來阻止已知威脅。另一方面，通過雲端威脅情報、機器學習、異常行為分析、攻擊指示器等方式，主動發現來自外部或內部的各類安全威脅。同時，基於端點的背景數據、惡意軟體行為以及整體的高級威脅的生命周期的角度進行全面的檢測和響應，並進行自動化阻止、取證、補救和溯源，從而有效地對端點進行安全防護。
EDR 包括：端點、端點檢測與響應中心、可視化展現三個部分，體系框架如圖所示：
端點：在 EDR 中，端點只具備信息上報、安全加固、行為監控、活動文件監控、快速響應和安全取證等基本功能，負責向端點檢測與響應中心上報端點的運行信息，同時執行下發的安全策略和響應、取證指令等。
端點檢測與響應中心：由資產發現、安全加固、威脅檢測、響應取證等中心組成。
可視化：展現針對各類端點安全威脅提供實時的可視性、可控性，降低發現和處置安全威脅的復雜度，輔助用戶更加快速、智能地應對安全威脅。
檢測威脅類型
惡意軟體 (犯罪軟體、勒索軟體等)
無文件型攻擊
濫用合法應用程序
可疑的用戶活動和行為
要素類型和收集類型
EDR 是獨一無二的，因為它的演算法不僅可以檢測和打擊威脅，還可以簡化警報和攻擊數據的管理。 使用行為分析來實時分析用戶活動，可以在不幹擾端點的情況下立即檢測潛在威脅。 它通過將攻擊數據合並到可以分析的事件中，與防病毒和其他工具一起使用可以為你提供一個安全的網路，從而增強了取證分析的能力。
端點檢測和響應通過安裝在端點上的感測器運行而不需要重新啟動。 所有這些數據被拼接在一起，形成了一個完整的端點活動圖，無論設備位於何處。
主要技術
智能沙箱技術
針對可疑代碼進行動態行為分析的關鍵技術，通過模擬各類虛擬資源，創建嚴格受控和高度隔離的程序運行環境，運行並提取可疑代碼運行過程中的行為信息，實現對未知惡意代碼的快速識別。
機器學習技術
是一門多學科交叉知識，是人工智慧領域的核心，專門研究計算機如何模擬實現人類的學習行為，通過獲取新的技能知識重組已有的知識體系，並不斷完善自身性能。在大規模數掘處理中，可以自動分析獲得規律，然後利用這些規律預測未知的數據。
數字取證技術
數字取證是指對具有足夠可靠和有說服力的，存在於計算機、網路、電子設備等數字設備中的數字證據，進行確認、保護、提取和歸檔的過程。在 EDR 中，數字取證要克服雲計算環境取證、智能終端取證、大數據取證等關鍵技術，自動定位和採集端點人侵電子證據，降低取證分析的技術門檻，提高取證效率及其分析結果的准確性，為端點安全事件調查、打擊網路犯罪提供技術支持。
EDR 優缺點
優點
EDR 具有精準識別攻擊的先天優勢。端點是攻防對抗的主戰場，通過 EDR 在端點上實施防禦能夠更加全面地搜集安全數據，精準地識別安全威脅，准確判定安全攻擊是否成功，准確還原安全事件發生過程。
EDR 完整覆蓋端點安全防禦全生命周期。對於各類安全威脅事件，EDR 在其發生前、發生中、發生後均能夠進行相應的安全檢測和響應動作。安全事件發生前，實時主動採集端 安全數據和針對性地進行安全加固；安全事件發生時，通過異常行為檢測、智能沙箱分析等各類安全引擎，主動發現和阻止安全威脅；安全事件發生後，通過端點數據追蹤溯源。
EDR 能夠兼容各類網路架構。EDR 能夠廣泛適應傳統計算機網路、雲計算、邊緣計算等各類網路架構，能夠適用於各種類型的端點，且不受網路和數據加密的影響。
EDR 輔助管理員智能化應對安全威脅。EDR 對安全威脅的發現、隔離、修復、補救、調查、分析和取證等一系列工作均可自動化完成，大大降低了發現和處置安全威脅的復雜度，能夠輔助用戶更加快速、智能地應對安全威脅。
缺點
EDR 的局限性在於並不能完全取代現有的端點安全防禦技術。EDR 與防病毒、主機防火牆、主機入侵檢測、補丁加固、外設管控、軟體白名單等傳統端點安全防禦技術屬於互補關系，並不是取代關系。
技術前提
要想使用或者更好的的理解 EDR 就需要對一些知識有了解，這樣才能更好地的使用和理解 EDR 的原理和使用方法。
熟悉 Linux 環境，python 或 shell，Java；
熟悉 hadoop，spark 等大數據組件；
熟悉數據挖掘與分析（比如進行風險等級劃分），數據統計技術（比如一些置信度的計算），機器學習技術（分類檢測等），深度學習技術，大數據分析技術（主要是關聯分析），漏斗分析法等。
熟悉 mysql 或 nosql 資料庫，集中存儲的資料庫，分布式存儲的資料庫。