Linux系统如何阻挡UDP攻击?

iptables 加入:

iptables -A INPUT -i ! lo -m state --state NEW,INVALID -j DROP

也就是丢弃非法(不属于任何连接的新连接)丢弃

长篇大论无用地

管用才是硬道理

不行你扁我

（UDP Flood Attack）

UDP洪水攻击 (UDP淹没攻击)

UDP 淹没攻击是导致基於主机的服务拒绝攻击的一种。

UDP 是一种无连接的协议，而且它不需要用任何程序建立连接来传输数据。

当攻击者随机地向受害系统的端口发送 UDP 数据包的时候，就可能发生了 UDP 淹没攻击。

当受害系统接收到一个 UDP 数据包的时候，它会确定目的端口正在等待中的应用程序。

当它发现该端口中并不存在正在等待的应用程序，

它就会产生一个目的地址无法连接的 ICMP 数据包发送给该伪造的源地址。

如果向受害者计算机端口发送了足够多的 UDP 数据包的时候，整个系统就会瘫痪。

UDP 淹没攻击的防范

在网络的关键之处使用防火墙对来源不明的有害数据进行过滤可以有效减轻 UDP 淹没攻击。

此外，在用户的网络中还应采取如下的措施：

禁用或过滤监控和响应服务。

禁用或过滤其它的 UDP 服务。

如果用户必须提供一些 UDP 服务的外部访问，

那麼需要使用代理机制来保护那种服务，使它不会被滥用。

对用户的网络进行监控以了解哪些系统在使用这些服务，并对滥用的迹象进行监控。

---