网络应急预案：TCP Flood网络攻击防范方案.pdfVIP

一、DDOS(TCPflood)事故现象描述

TCPFlood,俗称全连接。明显特征是被者的主机上

存在大量的TCP连接，TCP洪水属于DDOS的一种，其比其他DDOS

种类要强很多，因为它是基于连接的，而不是单纯的数据包，所

以被者的主机很快，如果肉鸡够多的话，可以攻下一个

，TCP3次握手顺序是者发送带有SYN标志的数据包到

者，然后者再返回一个带有ACK。

TCPFlood现象表现为：

1.发出公司主站失败，pingF5出口公网ip状态

down了。网络人员从ping机房出口网关超时或者丢包率

80%以上。

2.显示大部分链路状态频频变红等。

二、影响范围

1.该事故影响全局或者局部，造成影响不。

2.网络会造成肉机网络中断或者局部网络甚至全网网

络中断。

3.故障等级：1级

三、应急措施

a)此类现象一旦发生故障要迅速联系网络管理员，若影响范

围较大则要到部门，机房的网络管理员（袁俊涛

）。

b)应急措施办法：

1.若是发生整个局域网的TCPflood，从连接管理内网

已经，则需要通过先连海口，从海口连接到内网的

设备上来。

2.登陆设备查看链路状态，首先要迅速连上出口F5的，

查看F5出口的收发包情况。若收包远多于发包，则输入

tcpdump-all命令查看数据包的具体情况或者从web界面查

看localtraffic的流量。一般会发现很多的TCP包。这时候可以

在F5上将发出这些包的ip地址从F5上，上过滤掉，

但是一般这种源ip会很多。因此在目前现状下要联系数

迅机房进行流量。（同时参考ICMP/SYN/ACK文档）

TCPFlooding做为全连接，一般能顺利的骗过，因

为它是采取正常的连接达到