分布式拒絕服務攻擊甚至可以使結構最完善的網絡癱瘓數天，造成數百萬美元的銷售損失，凍結在線服務并損害公司的聲譽。當 SCO Group Inc. 與 Mydoom.B 蠕蟲對其網站的攻擊作斗爭時，最廣泛報道的 DDoS 攻擊之一就發起了。但是 DDoS 攻擊對于任何行業的任何規模的企業來說都是一個問題。根據 2003 年 CSI/FBI 計算機犯罪和安全調查，DDoS 攻擊是成本第二高的網絡犯罪，也是 2003 年唯一增加的。

互聯網可能是一個危險的地方，DDoS 攻擊正在成為黑客、政治活動家和國際網絡恐怖分子的首選武器。此外，隨著黑客武器庫中的工具越來越強大，DDoS 攻擊變得越來越容易發起。每個月都會出現新的病毒和蠕蟲，因此公司需要做好準備抵御這種不斷擴大的安全威脅。

DDoS 攻擊利用了 Internet 的開放性及其將數據包從幾乎任何來源傳送到任何目的地的優勢。使 DDoS 攻擊如此具有挑戰性的原因在于，非法數據包與合法數據包幾乎無法區分。典型的 DDoS 攻擊類型包括帶寬攻擊和應用程序攻擊。

在帶寬攻擊中，網絡資源或設備被大量數據包消耗。對于應用程序攻擊，TCP 或 HTTP 資源無法處理事務或請求。那么，您如何保護公司的服務器免受從受感染的 PC 通過 Internet 發送的數據的沖擊呢？您如何防止 DDoS 攻擊破壞您公司的網絡？您可以采取多種方法來防御 DDoS 攻擊：

黑洞或沉洞：這種方法會阻止所有流量并將其轉移到黑洞，然后將其丟棄。不利的一面是，所有流量都被丟棄——無論好壞——并且目標業務被離線。同樣，包過濾和速率限制措施只是簡單地關閉一切，拒絕合法用戶的訪問。

路由器和防火墻：路由器可以配置為通過過濾非必要協議來阻止簡單的 ping 攻擊，也可以阻止無效的 IP 地址。但是，路由器通常對使用有效 IP 地址的更復雜的欺騙攻擊和應用程序級攻擊無效。防火墻可以關閉與攻擊相關的特定流，但與路由器一樣，它們不能執行反欺騙。

入侵檢測系統： IDS 解決方案將提供一些異常檢測功能，以便它們能夠識別出有效協議何時被用作攻擊工具。它們可以與防火墻結合使用以自動阻止流量。不利的一面是，它們不是自動化的，因此需要安全專家手動調整，而且它們經常會產生誤報。

服務器：正確配置服務器應用程序對于最大限度地減少 DDoS 攻擊的影響至關重要。管理員可以明確定義應用程序可以使用哪些資源以及它將如何響應來自客戶端的請求。結合 DDoS 緩解設備，優化的服務器有機會通過 DDoS 攻擊繼續運行。

DDoS 緩解設備：幾家公司要么制造專用于凈化流量的設備，要么將 DDoS 緩解功能構建到主要用于其他功能（如負載平衡或防火墻）的設備中。這些設備具有不同程度的有效性。沒有一個是完美的。一些合法流量將被丟棄，一些非法流量將到達服務器。服務器基礎設施必須足夠強大以處理此流量并繼續為合法客戶端提供服務。

過度配置：或購買多余的帶寬或冗余網絡設備來處理需求高峰可能是處理 DDoS 攻擊的有效方法。使用外包服務提供商的一個優勢是您可以按需購買服務，例如可在需要時為您提供更多帶寬的突發電路，而不是在冗余網絡接口和設備上進行昂貴的資本投資。

在大多數情況下，公司事先并不知道 DDoS 攻擊即將到來。攻擊的性質通常會在中途發生變化，要求公司在幾個小時或幾天內快速、持續地做出反應。由于大多數攻擊的主要影響是消耗您的 Internet 帶寬，因此裝備精良的托管主機提供商擁有減輕攻擊影響的帶寬和設備。

結論

DDoS 攻擊是可以關閉企業的破壞性隱形武器。我們對互聯網的依賴不斷增長，DDoS 攻擊的威脅不斷擴大。如果組織想要“照常營業”，則需要通過警惕的 DDoS 緩解方法來確保運營連續性和資源可用性。