分布式拒绝服务(DDOS)攻击是指借助客户机/服务器技术，将多台计算机组合成一个攻击平台，针对一个或多个目的发起DDoS攻击，从而成倍增加拒绝服务攻击的威力。通常，攻击者使用偷来的帐户在计算机上安装DDoS主程序。在设定的时间，主程序将与大量代理程序通信，这些代理程序已经安装在网络上的许多计算机上。当代理程序收到指令时，它就会攻击。利用客户机/服务器技术，主程序可以在几秒钟内激活几百次代理程序的运行。

DDoS攻击是利用一组受控机器向一台机器提出攻击。如此快速的攻击让人防不胜防，所以具有破坏性。如果说网络管理员相对于过去的Dos可以接受过滤IP地址的方式，那么目前面对DDoS的众多伪造地址是没有办法的。因此，防范DDoS攻击成为了双重问题。如何接受有用的措施来应对？下面从两个方面来介绍一下自己。

首先，寻找应对攻击的机会

如果用户受到攻击，他所能做的抵抗将是极其有限的。因为在用户没有准备好的情况下有大量的灾难性攻击，很可能在用户还没有恢复之前，网络就已经瘫痪了。但是，用户仍然可以抓住机会追求一线希望。

检查攻击的来源。通常黑客会通过很多假的IP地址提出攻击。这时候，如果用户能够分辨出哪些IP地址是真的，哪些IP地址是假的，进而了解这些IP来自哪些网段，就会要求网络管理员关闭这些机器，从而在第一时间消除攻击。如果发现这些IP地址来自公司外部而不是公司内部，可以接受临时过滤，在服务器或路由器上过滤掉这些IP地址。

找出攻击者采取的路线并阻止攻击。如果黑客从某些端口发起攻击，用户可以封锁这些端口以防止入侵。但是这种方法对于公司网络只有一个出口，当受到来自外部的DDoS攻击时，效果并不好。出口被封后，所有电脑都无法上网。

最后，另一种比较折中的方法是在路由器上过滤ICMP。虽然他不能完全消除攻击过程中的入侵，但是过滤掉ICMP可以有效防止攻击规模的升级，在一定程度上降低攻击的级别。

第二，预防为主，确保安全

DDoS攻击是黑客最常用的攻击方式。下面是一些常用的方法。

1。过滤所有RFC1918 IP地址

RFC1918 IP地址是内部网的IP地址，如10.0.0.0、192.168.0.0和172.16.0.0。它们不是某个网段的固定IP地址，而是在互联网中预留的区域IP地址，应该过滤掉。这种方法不是过滤内部员工的面谈，而是过滤大量攻击时伪造的假内部IP，也可以缓解DDoS攻击。

2。使用足够的机器来抵御黑客攻击

这是一种理想的应对策略。如果用户有足够的能力和资源让黑客攻击，而自己却在不断的满足用户，争夺用户的资源，那么自己的精力也在逐渐流失。或许，在用户被杀之前，黑客是无力支撑的。但这种方式需要大量的资金，而且大部分设备平时处于闲置状态，与中小企业网络的实际运行情况不符。

好的无线音箱推荐(几款无线wifi音响评测)

3。充分利用网络设备，珍惜网络资源

所谓网络设备，是指路由器、防火墙等负载均衡设备，能够有用地珍惜网络。当网络受到攻击时，路由器是第一个死的，但其他机器并没有死。死路由器重启后会恢复正常，启动很快，没有任何损失。如果其他服务器死亡，其中的数据将会丢失，重新启动服务器是一个漫长的过程。特别是，一家公司使用了负载均衡设备，这样当一台路由器受到攻击并崩溃时，另一台路由器会立即采取措施。从而最大程度的减少DDoS的攻击。

4。在骨干节点设置防火墙

防火墙本身可以抵御DDoS攻击和其他攻击。当发现攻击时，可以将攻击指向一些牺牲宿主，这样可以珍惜真正的宿主不被攻击。当然，这些受害主机可以选择不重要的，或者是漏洞很少，对攻击有很好天然防御的linux、unix等系统。

5。过滤不必要的服务和端口

可以使用InExpress、Express、Forwarding等工具过滤掉不必要的服务和端口，也就是过滤掉路由器上的假IP。例如，思科公司的CEF(Cisco Express Forwarding)可以比较和过滤数据包的源IP和路由表。仅打开服务端口已经成为许多服务器中流行的做法，例如WWW服务器，它仅打开80并关闭所有其他端口，或者在防火墙上制定阻塞策略。

6。限制SYN/ICMP流量

用户应该在路由器上设置SYN/ICMP的最大流量，以限制SYN/ICMP数据包可以占用的最大带宽。这样，当大量SYN/ICMP流量越界时，就说明不是正常的网络访问，而是黑客入侵。在早期，限制SYN/ICMP流量是防范DOS的最佳方法。虽然现在对DDoS不是很有效，但还是能起到一定的作用。

7。定期扫描

需要定期扫描现有的网络主节点，检查可能存在的安全漏洞，并对新的漏洞进行实时清算。由于其高带宽，骨干节点的电脑是黑客们最好的活动场所，所以这些主机增强自身的主机安全性极其重要。而且网络主要节点连接的电脑都是服务器级的电脑，所以定期扫描漏洞就加倍重要了。

8。检查面试官的来源

使用单播反向路径转发，通过反向路由器查询检查面试官的IP地址是否真实。如果是假的，就会被屏蔽。很多黑客攻击往往接受假的IP地址来迷惑用户，很难发现它来自哪里。因此，使用单播反向路径转发可以减少假IP地址的出现，有助于提高网络安全性。

“小鸟云”是深圳前海小鸟云计算有限公司旗下的云计算服务品牌，专注于为民营开发者、中小企业和用户提供一站式焦点网络云部署服务，为用户简化云部署，轻松快捷地使用云计算。小鸟云是国内为数不多的拥有ISP/IDC双重资质的专业云计算服务商。同时持有系统软件著作权证书和CNNIC地址分配联盟成员证书，并通过了ISO27001信息安全管理体系和ISO9001质量保证体系国际认证。

作为优秀的云计算服务商，小鸟云拥有完善的行业解决方案和精湛的云计算技术。自研纯SSD架构云服务器以50,000IOPS随机读写速率和800Mb/s吞吐量的高性能值，刷新了行业纪录。其整合资源、提炼资源到落地资源的服务动作，旨在打造差异化的开放闭环生态系统，帮助用户快速构建稳定安全的云计算环境。而且云计算的计算能力和灵活扩展优势，有利于降低用户开发和运营的难度，降低整体IT成本，让用户更专注于分众业务的创新，实现自身更多的价值。