Connection Flood(TCP多连接攻击，CC攻击等通过建立大量连接请求导致拒绝服务的攻击类型的总称)是典型的并且非常的有效的利用小流量冲击大带宽网络服务的攻击方式，这种攻击方式目前已经越来越猖獗。这种攻击的原理是利用真实的IP地址向服务器发起大量的连接，并且建立连接之后很长时间不释放，占用服务器的资源，造成服务器服务器上残余连接(WAIT状态)过多，效率降低，甚至资源耗尽，无法响应其他客户所发起的连接。
其中一种攻击方法是每秒钟向服务器发起大量的连接请求，这类似于固定源IP的SYN Flood攻击，不同的是采用了真实的源IP地址。通常这可以在防火墙上限制每个源IP地址每秒钟的连接数来达到防护目的。但现在已有工具采用慢速连接的方式，也即几秒钟才和服务器建立一个连接，连接建立成功之后并不释放并定时发送垃圾数据包给服务器使连接得以长时间保持。这样一个IP地址就可以和服务器建立成百上千的连接，而服务器可以承受的连接数是有限的，这就达到了拒绝服务的效果。
另外，蠕虫大规模爆发的时候，由于蠕虫代码则比较简单，传播过程中会出现大量源IP地址相同的包，对于 TCP 蠕虫则表现为大范围扫描行为。这是在判断Connection Flood时需要注意的。
在受攻击的服务器上使用netstat –an来看：
存在大量连接状态，来自少数的几个源。如果统计的话，可以看到连接数对比平时出现异常。并且增长到某一值之后开始波动，说明此时可能已经接近性能极限。因此，对这种攻击的判断：在流量上体现并不大，甚至可能会很小;大量的ESTABLISH状态;新建的ESTABLISH状态总数有波动。
金盾防火墙在默认的设置下就能很有效的防御此类攻击，见下图：
金盾防火墙的“防护参数”面板，其中的“连接数量保护”和“连接空闲超时”这2个设置项就是专门针对此类攻击的防御设置，默认配置下就能很好的防御Connection Flood类型的攻击了。可以参考：金盾软件防火墙部分界面截图与功能介绍
如果是针对CC攻击进行防御，请参考：设置金盾80端口防护，完美防御网站CC攻击(不影响搜索引擎的收录)
闽公网安备 35020302000839号
公安机关联网备案号 35020301000110
