信阳如何减小DDoS攻击的发生率和破坏力？

毫无疑问，近期筹划严重DDoS攻击的那些人对互联网的外部运作原理有着深化了解。由于攻击者对这些专业知识的掌握了解，以及一些重要互联网协议缺少基本平安保证，招致当谈到维护企业自身平安和防范这种类型的攻击时，许多的企业处于优势。

这就是为什么许多企业、政策和行业组织不时努力于制定普遍的行业方案，减小危害庞大的DDoS攻击的发作率。在大少数国度，已经过了宣布DDoS攻击为合法的法律，比如美国的《计算机欺诈和滥用法案》以及英国的《计算机滥用法案》，但是立法对网络立功起不了多大的要挟效果。

本文将主要讨论如何减小DDoS攻击的发作率和破坏力，以及如何结合运用外部和基于云的DDoS缓解控制措施，尽量减小日益复杂的DDoS攻击对企业业务形成的搅扰和破坏。

评价DDoS攻击的要挟

DDoS攻击的破坏力很大，足以要挟到整个国度的关键基础设备，这个理想可以解释为何诸多政府部门在末尾要求：必需制定DDoS缓解方案。比如说，受联邦金融机构反省委员会监管的金融机构如今必需监控无无遭到DDoS攻击，要有随时就能激活的事情照应方案，并确保在攻击继续时期有足够的人手，包括求助事前签好的第三方效劳，假设有的话。还鼓舞金融机构将攻击方面的概略上报金融效劳信息共享和剖析中心以及执法部门，协助其他机构识别缓和解新的要挟及手法。

针对DDoS攻击等网络要挟的全球协作在增强。由于僵尸网络是一大要挟及罕见的DDoS武器，联邦调查局(FBI)和疆土平安部与另外100多个国度共享了他们以为被感染了DDoS恶意软件的不可胜数台计算机的IP地址。白宫网络平安办公室、商务部、疆土平安部以及行业僵尸网络组织也在严密地协作，共同对付和打击僵尸网络。打掉僵尸网络无疑有助于改善平安情势，但这是一项永远不会完毕的义务。

实施DDoS缓解控制措施，对DDoS攻击说不!

针对散布式拒绝效劳的缓解方案不可无视，由于这种攻击的频率和复杂性给更多的企业组织构成了要挟。如今的DDoS攻击结合了大强度的蛮力攻击和运用顺序层攻击，尽量形成最大水平的破坏，并规避检测机制。有些DDoS攻击应用了不可胜数中招的系统或Web效劳，会给企业在本钱和声誉方面极端严重的破坏，拒绝效劳日益成为初级针对性攻击的一局部。好音讯是，你可以运用好多工具，尽量减小这种类型的攻击给客户和支出形成的影响。

想缓解DDoS，首先就要确保你已定义了事情照应流程，并且明白了责任，这就需求多个小组通力协作。DDoS防范规划需求平安团队与网络操作人员、效劳器管理员和桌面支持人员以及法律顾问和公关经理携起手来。

一旦DDoS事情照应方案落实到位，你就可以关注四小气面的DDoS缓解控制措施，尽量减小DDoS攻击给业务形成的搅扰和破坏。在此按重要性顺序陈列：

•互联网效劳提供商(ISP)。大少数ISP都有“洁净的网络管道”(Clean Pipe)或DDoS缓解效劳，收费通常要比规范的带宽本钱高一些。基于ISP的效劳对许多中小企业来说很管用，也契合预算方面的要求。别忘了一点：云效劳提供商和主机托管商也是ISP。

•DDoS缓解即效劳提供商。假设你有多家ISP，第三方DDoS缓解即效劳提供商也许是一种更明智的选择，不过基于云的效劳通常本钱更高。假设改动DNS或BGP路由，让攻击流量经过DDoS SaaS提供商来发送，你就能过滤掉攻击流量，无论哪家ISP来为你处置。

•公用的DDoS缓解设备。你可以在互联网接入点部署DDoS缓解设备，以此维护效劳器和网络。不过，蛮力攻击能够仍会耗尽你的一切带宽――即使效劳器没有解体，客户们仍无法正常访问。

•基础设备部件：比如负载平衡系统、路由器、交流机和防火墙。依赖贵企业的操作基础设备来缓解DDoS攻击是注定失败的战略，只能对付最软弱有力的攻击。但是，这些部件在协同缓解DDoS方面却可以发扬作用。

大少数企业需求外部效劳和外部DDoS缓解才干结合起来。对你员工的技艺水平作一个切合实践的评价――要是你手下有IT平安人员能检测并剖析要挟，先从外部DDoS缓解末尾入手，然后逐渐完善战略，参与外部效劳。要是你没有足够的人手或许所需的技艺组合，无妨从外部效劳末尾入手，思索未来添加托管CPE(用户端设备)缓解才干。

无论你最后选择了哪种架构，每年都要至少测试两次DDoS缓解控制措施。假设你借助外部效劳提供商，就要核对路由和DNS方面的变化，确保流量会传送到外部效劳，不会有严重搅扰――另外还要确保能顺利切回到直接路由。网络配置和DNS路由在正常操作时期经常变化――你要在实践的DDoS攻击之前弄清楚这一点。

防止DDoS攻击

想防止DDoS攻击，临时的处置方法就是增强攻击者用来发起攻击的互联网协议，并且要求晋级系统，以便得益于最佳实际。比如说，许多DDoS攻击之所以能未遂，就是由于攻击者通常借助受骗受骗的源IP地址来生成流量。IETF Best Common Practices文档BCP 38建议：网络操作人员应对从下游客户进入其网络的数据包停止过滤，丢弃源地址不在其地址范围内的任何数据包。这样可以让黑客无法发送宣称来自另一个网络的数据包(即欺诈攻击)。不过，按BCP 38的要求来做需求一笔支出，却没有立竿见影的效果，因此虽然有益于更普遍的社区，却没有片面实施起来。

网络管理员们可以确保自己遵守其他最佳实际，从而增强互联网的总体平安。比如说，他们应该熟习疆土平安部公布的DDoS快速指南(DDoS Quick Guide)，还应该落实开放解析器项目(Open Resolver Project)等项目给予的建议。开放解析器可以回复针对域外主机的递归查询，因此用于DNS缩小DDoS攻击中。该项目已列出了2800万个构成严重要挟的解析器，并提供了详细指点，教人们如何配置DNS效劳器，以减小DNS缩小攻击的要挟。

与往常一样，若能确保已装置了软件的最新版本，系统不大容易遭到黑客的攻击，黑客经常希图应用其资源作为DDoS攻击的一局部。

虽然金融机构等大企业是某些攻击者眼里的清楚目的，但它们至少有财力和资源来采用最新的平安技术和最佳实际。不过，资源有限的小企业依然面临能够很弱小的对手。这也是谷歌启动护盾项目(Project Shield)的缘由之一：

好让那些运转旧事、人权或选举方面网站的组织机构可以经过谷歌庞大的DDoS缓解基础设备来发布其内容。这种类型的方案主要旨在确保潜在的受益者有足够的资源来抵御攻击，从而消弭DDoS攻击的影响。

片面共享DDoS缓解资源、实施行业最佳实际能够很费时间和资源，而且能够无法立刻带来报答，但是互联网是个全体性的社区项目，打击DDoS攻击是大家共同的责任。除非人人都出一份力，否则再多的方案也无法让我们摆脱该死的DDoS攻击。