说说DOS及DDOS的原理及防御方式
DOS原理及防护
常见的DOS攻击分为三类：
带宽攻击、协议攻击和逻辑攻击。
DOS攻击具有如下特点：
检测是否发生DOS攻击：
- 检测到短时间内出现大量报文
- cpu利用率突然增加
- 主机长时间无响应
- 主机随机崩溃
DOS防御目前只有有效的检测手段，没有特别有效的防范措施和解决方案，通常需要结合多种网络安全专用设备和工具组成防御体系，其中包括防火墙，基于主机的入侵检测系统，基于特征的网络入侵检测系统和网络异常行为检测器等。
DDOS原理及防御
DDOS原理：单一的DOS攻击时一对一的方式，当攻击目标的配置不高时，攻击效果比较显著，但是当目标是大型服务器时，如商用服务器等，那么使用一台电脑攻击则达不到预定效果，此时使用DDOS攻击，操作堕胎主机向目标主机发起攻击，当同时参与攻击的服务器有足够数量和性能时，受到攻击的主机资源就会很快耗尽，无法提供服务。DDOS是实施最快、攻击能力最强并且破坏性最大的攻击方式。
在DDOS中通常会包括以下三种角色：
- 攻击者：使用一台主机作为主控制平台，操作整个攻击过程，并向主控端发布攻击命令。
- 主控端：攻击者预先控制的主机，这些主机用于控制其他的代理主机，主控端负责接受来自攻击者的攻击指令，并分发到它控制的代理主机。根据代理端的规模可能存在多台主控端。
- 代理端：也是攻击者预先控制的主机，负责运行攻击程序，接受主控端转发的指令，也是攻击的执行者。这些主机被称为”僵尸网络“或者”肉鸡“。
DDOS防御：当前对于DDOS的防御主要从两方面展开，首先就是从基础设施方面的升级，来缓解攻击，如提高带宽、增强CPU性能等，二是网络边界采用专用的DDOS检测和防御技术。检测和防御技术较为有效的方法主要有：
防御工具对传输层和应用层协议栈行为进行模拟，作为目标主机和攻击主机之间的代理，对客户端发送挑战报文，只有完成挑战认证的报文才运行访问真正的目标主机。常用的动态挑战算法有SYN Cookie技术和DNS Cookie技术。
从不同粒度和不同协议层次，对IP报文的吞吐量进行限制，如基于源IP或者目标IP、就有传输层和应用层协议，这是对带宽型攻击常用的防护方法，用于抵御SYN洪水、UDP Flood和ICMP Flood。
实现网络层、传输层和应用层等各个层次的不同访问控制策略。如对于HTTP协议，可以对报文的URL、user-agent和Cookie等参数设置不同策略决定对具体报文时丢弃、限速还是允许；对u有DNS协议，可以对DNS查询的名字、类型、RR记录设置相关策略。
基于数据分析技术对IP报文的行为和特征建模分析，简历通用特征库，包括IP、URL和上传下载的文件信息，提取可以报文的特征指纹，从而在网络边界自动检测并丢弃可以的DDOS攻击报文，此类技术对于僵尸网络的防御较为有效。
