Netty服务端 如何 识别 和 避免 恶意连接 ？

Question

最近，在搞一个Netty的服务端，功能基本都弄好了，现在主要是考虑安全方面。

主要分为两个方面的问题：

1、如何识别恶意连接？
2、如何避免恶意连接？

第一次考虑这方面的问题，没什么好的头绪！所以，想听听大家的建议。
有大佬帮忙指点一下吗？谢谢！

Answer 1

@lawrenceching 向大佬学习，很感谢你的回答！
嗯嗯，我那个问题的背景描述确实没有详细说明，我在这里补充一下吧。

*在物联网公司，我负责java web端的开发，使用Netty来进行web端与设备端的通信。
现在是考虑到安全问题，在设备端截取到Netty连接的IP和端口不是难事，担心有人会利用IP和port 不断大量地连接Netty，或者不断发送大量垃圾数据，从而造成Netty乃至Web端与设备的正常通信瘫痪。所以，就想做一些措施来避免这些情况发生。*

目前在考虑选择可行性方案，一方面是工作需求；另一方面，我也想学习一下这方面的相关知识。
现在我的想法很简单，在考虑Netty黑名单机制的使用，或者使用Nginx进行反向代理拦截，一步一步来，之后再根据情况做进一步的部署。

Answer 2

真是随随便便问了个能写一本书的问题。这种问题付费问答价钱不够可能都没人愿意回答。

你的问题属于网络安全的范畴。因为你没有说明自己/问题的背景，所以我默认你是以学习为目的。

一般来说，我们会把网络安全以基础服务的形式放到应用服务器的前面。当恶意流量涌入的时候，网络安全服务会把流量过滤掉，避免对应用服务产生影响。所以这件事跟 Netty 没啥关系。

比较糟心的是，网络安全是一个零散破碎的领域，而不是一个系统性的学科(所以内容太多我不想写)。所以网络安全需要的是大量的实际从业经验和宽广的知识面。我建议你直接看相关领域的书籍，以及看看相关领域的产品的用户手册。你可以得到大部分关键词。另外还必需关注安全领域的媒体频道和加入相关的群组，鬼知道啥时候就多了一种攻击形式。

而以应用开发的角度（以你的水平），能尝试做得更好的可能有：

1. HTTPS/WSS

2. 自动化扫描

   • 服务器端口暴露
   • 服务器 OS 漏洞扫描
   • 代码静态分析
   • 代码依赖漏洞分析
   • 代码的 package 扫描
   • API/网页自动化扫描（例如 https://www.imlc.me/p/use-owasp-zap-to-scan-vulnerabilities）
   • 要不再考虑下这个？： https://www.owasp.org/images/...