毫無疑問，近期策劃重大DDoS攻擊的那些人對互聯(lián)網(wǎng)的內(nèi)部運作原理有著深入了解。由于攻擊者對這些專業(yè)知識的掌握了解，以及一些重要互聯(lián)網(wǎng)協(xié)議缺少基本安全保障，導致當談到保護企業(yè)自身安全和防范這種類型的攻擊時，許多的企業(yè)處于劣勢。

這就是為什么許多企業(yè)、政策和行業(yè)組織一直致力于制定廣泛的行業(yè)計劃，減小危害巨大的DDoS攻擊的發(fā)生率。在大多數(shù)國家，已通過了宣布DDoS攻擊為非法的法律，比如美國的《計算機欺詐和濫用法案》以及英國的《計算機濫用法案》，但是立法對網(wǎng)絡犯罪起不了多大的威脅效果。

本文將主要探討如何減小DDoS攻擊的發(fā)生率和破壞力，以及如何結合使用內(nèi)部和基于云的DDoS緩解控制措施，盡量減小日益復雜的DDoS攻擊對企業(yè)業(yè)務造成的干擾和破壞。

評估DDoS攻擊的威脅

DDoS攻擊的破壞力很大，足以威脅到整個國家的關鍵基礎設施，這個事實可以解釋為何諸多政府部門在開始要求：必須制定DDoS緩解方案。比如說，受聯(lián)邦金融機構檢查委員會監(jiān)管的金融機構現(xiàn)在必須監(jiān)控無無遭到DDoS攻擊，要有隨時就能激活的事件響應方案，并確保在攻擊持續(xù)期間有足夠的人手，包括求助事先簽好的第三方服務，如果有的話。還鼓勵金融機構將攻擊方面的詳情上報金融服務信息共享和分析中心以及執(zhí)法部門，幫助其他機構識別和緩解新的威脅及手法。

針對DDoS攻擊等網(wǎng)絡威脅的全球合作在加強。由于僵尸網(wǎng)絡是一大威脅及常見的DDoS武器，聯(lián)邦調(diào)查局(FBI)和國土安全部與另外100多個國家共享了他們認為被感染了DDoS惡意軟件的成千上萬臺計算機的IP地址。白宮網(wǎng)絡安全辦公室、商務部、國土安全部以及行業(yè)僵尸網(wǎng)絡組織也在緊密地合作，共同對付和打擊僵尸網(wǎng)絡。打掉僵尸網(wǎng)絡無疑有助于改善安全形勢，但這是一項永遠不會結束的任務。

實施DDoS緩解控制措施，對DDoS攻擊說不!

針對分布式拒絕服務的緩解方案不可忽視，因為這種攻擊的頻率和復雜性給更多的企業(yè)組織構成了威脅。如今的DDoS攻擊結合了大強度的蠻力攻擊和應用程序?qū)庸?，盡量造成最大程度的破壞，并躲避檢測機制。有些DDoS攻擊利用了成千上萬中招的系統(tǒng)或Web服務，會給企業(yè)在成本和聲譽方面極其重大的破壞，拒絕服務日益成為高級針對性攻擊的一部分。好消息是，你可以使用好多工具，盡量減小這種類型的攻擊給客戶和收入造成的影響。

想緩解DDoS，首先就要確保你已定義了事件響應流程，并且明確了責任，這就需要多個小組通力合作。DDoS防范規(guī)劃需要安全團隊與網(wǎng)絡操作人員、服務器管理員和桌面支持人員以及法律顧問和公關經(jīng)理攜起手來。

一旦DDoS事件響應方案落實到位，你就可以關注四大方面的DDoS緩解控制措施，盡量減小DDoS攻擊給業(yè)務造成的干擾和破壞。在此按重要性順序排列：

•互聯(lián)網(wǎng)服務提供商(ISP)。大多數(shù)ISP都有“潔凈的網(wǎng)絡管道”(Clean Pipe)或DDoS緩解服務，收費通常要比標準的帶寬成本高一些?；贗SP的服務對許多中小企業(yè)來說很管用，也符合預算方面的要求。別忘了一點：云服務提供商和主機托管商也是ISP。

•DDoS緩解即服務提供商。如果你有多家ISP，第三方DDoS緩解即服務提供商也許是一種更明智的選擇，不過基于云的服務通常成本更高。如果改變DNS或BGP路由，讓攻擊流量通過DDoS SaaS提供商來發(fā)送，你就能過濾掉攻擊流量，無論哪家ISP來為你處理。

•專用的DDoS緩解設備。你可以在互聯(lián)網(wǎng)接入點部署DDoS緩解設備，以此保護服務器和網(wǎng)絡。不過，蠻力攻擊可能仍會耗盡你的所有帶寬