DDOS攻击
分布式拒绝服务(DDOS：Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃账号将攻击主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在网络上的许多计算机上。代理程序收到指令时就发动攻击。利用客户服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。
首先从一个比方来深入理解什么是DDOS。
假设A和B为同行业竞争关系并且关系十分恶劣，A试图让B的商铺，无法正常营业，他会采取什么手段呢?A扮作普通客户一直拥挤在对手的商铺，赖着不走，真正的购物者却无法进入；或者总是和营业员有一搭没一搭的东扯西扯，让工作人员不能正常服务客户；也可以为商铺的经营者提供虚假信息，商铺的上上下下忙成一团之后却发现都是一场空，最终跑了真正的大客户，损失惨重。此外A完成这些坏事有时凭单干难以完成，需要叫上很多人一起。
在信息安全的三要素--"保密性"、"完整性"和"可用性"中，分布式拒绝服务攻击，针对的目标正是"可用性"。该攻击方式利用目标系统网络服务功能缺陷或者直接消耗其系统资源，使得该目标系统无法提供正常的服务。
分布式拒绝服务攻击的攻击方式有很多种，最基本的DOS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。单一的攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项指标不高的性能，它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得攻击的困难程度加大了,目标对恶意攻击包的"消化能力"加强了不少。这时候分布式的拒绝服务攻击手段就应运而生了。分布式拒绝服务攻击就是利用更多的 “肉鸡”（ 傀儡机）来发起进攻，以比从前更大的规模来进攻受害者。
DDOS防御
分布式拒绝服务攻击防范主要从下面几个方面考虑:
1、采用高性能的网络设备引
首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、 口碑好的产品。 再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的分布式拒绝服务攻击是非常有效的。
2、尽量避免 NAT 的使用
无论是路由器还是硬件防护墙/设/备要尽量避免采用网络地址转换 NAT 的使用， 因为采用此技术会较大降低网络通信能力，其实原因很简单，因为 NA T 需要对地址来回转换，转换过程中需要对网络包的校验和进行计算，因此浪费了很多 CPU 的时间，但有些时候必须使用 NA T，那就没有好办法了。
3、充足的网络带宽保证
网络带宽直接决定了能抗受攻击的能力， 假若仅仅有10M带宽的话， 无论采取什么措施都很难对抗当今的 SYN Flood 攻击， 至少要选择 100M 的共享带宽，最好的当然是挂在1000M 的主干上了。但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的， 若把它接在100M的交换机上， 它的实际带宽不会超过 100M， 再就是接在 100M的带宽上也不等于就有了百兆的带宽， 因为网络服务商很可能会在交换机上限制实际带宽为10M，这点一定要搞清楚。
4、升级主机服务器硬件
在有网络带宽保证的前提下，请尽量提升硬件配置，要有效对抗每秒 10 万个 SYN 攻击包，服务器的配置至少应该为:P4 2.4G/DDR512M/SCSI-HD，起关键作用的主要是 CPU 和内存， 若有志强双 CPU 的话就用它吧， 内存一定要选择 DDR 的高速内存， 硬盘要尽量选择SCSI 的，别只贪 IDE 价格不贵量还足的便宜，否则会付出高昂的性能代价，再就是网卡一定要选用 3COM 或 Intel 等名牌的。
5、把网站做成静态页面
大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给黑客入侵带来不少麻烦，至少到目前为止关于 HTML 的溢出还没出现，新浪、搜狐、网易等门户网站主要都是静态页面， 若你非需要动态脚本调用， 那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器， 当然， 适当放一些不做数据库调用脚本还是可以的。
