相比传统的DoS攻击，DDoS攻击的防范难度要大得多。过去，网管员还能通过过滤IP地址来应对DoS攻击，但如今DDoS攻击中充斥着大量伪造的IP地址，这种防御手段已经基本失效。那么，当攻击真正来临时，我们究竟该如何应对？以下梳理了几个关键要点。

一、抓住时机应对攻击

如果正在遭受攻击，能够采取的防御措施其实非常有限。毕竟，在没有应急预案的情况下，大量恶意流量突然袭来，很可能还没等你做出反应，网络就已经瘫痪。不过，即便如此，依然可以尝试抓住一些机会，尽力寻找突破口。

首先，检查攻击来源。黑客通常会利用大量伪造的IP地址发起攻击，此时如果能分辨出哪些是真实IP、哪些是虚假IP，了解这些IP来自哪个网段，然后联系对应网管将这些机器关闭，就能在第一时间削弱攻击。如果发现这些IP地址来自外部而非公司内部，可以采取临时过滤的方法，在服务器或路由器上将其屏蔽。

其次，找出攻击者所经过的路由，将攻击流阻断。如果黑客从某些特定端口发动攻击，将这些端口关闭，也能有效阻止入侵。不过，对于公司网络出口单一、且遭受外部DDoS攻击的情况，这种方法效果有限——因为一旦关闭出口端口，所有计算机都将无法访问互联网。

最后还有一种折中方案：在路由器上过滤ICMP协议。虽然无法彻底消除入侵，但过滤ICMP后可以有效防止攻击规模扩大，同时也能在一定程度上降低攻击强度。

二、预防为主保障安全

DDoS攻击是黑客最常用的攻击手段之一，下面列出一些常规的防御措施。

过滤所有RFC1918 IP地址。RFC1918 IP地址属于内部网络地址，例如10.0.0.0、192.168.0.0和172.16.0.0，它们并非特定网段的固定IP，而是互联网内部保留的区域性地址。过滤这些地址，并非限制内部员工访问，而是为了屏蔽攻击时伪造的大量虚假内部IP，从而减轻DDoS攻击的影响。

准备足够的服务器资源来承受攻击。这是一种较为理想的应对策略——如果拥有充足的带宽和计算资源，当黑客不断发起请求、消耗资源时，自身的防御能力也在逐渐消耗，或许还未等系统被攻瘫，黑客已经因资源耗尽而无法持续。不过，这种方法需要较大的资金投入，平时大部分设备处于闲置状态，与当前中小企业的实际运营情况不太相符。

充分利用网络设备保护网络资源。这里指的路由器、防火墙等负载均衡设备，可以有效保障网络安全。当网络遭受攻击时，最先崩溃的通常是路由器，但其他设备可能不受影响。重启崩溃的路由器后，系统很快就能恢复正常，损失较小。而如果服务器崩溃，数据可能会丢失，且重启过程耗时较长。特别是如果公司部署了负载均衡设备，当一台路由器因攻击宕机，另一台会立即接管工作，从而最大程度地降低DDoS攻击的影响。

在骨干节点部署防火墙。防火墙本身具备抵御DDoS攻击及其他攻击的能力。在发现攻击时，可以将攻击流量引导至一些牺牲主机，从而保护真正重要的主机不受影响。这些牺牲主机可以选择不重要的设备，或者采用Linux、Unix等漏洞较少、天然具备较强防御能力的系统。

过滤不必要的服务和端口。可以使用Inexpress、Express、Forwarding等工具来过滤不必要的服务和端口，即在路由器上屏蔽虚假IP地址。例如，Cisco的CEF（Cisco Express Forwarding）能够将封包的Source IP与路由表进行比对，并加以过滤。目前，只开放必要服务端口已成为许多服务器的普遍做法，例如Web服务器仅开放80端口，其他端口全部关闭，或在防火墙上设置阻止策略。

限制SYN/ICMP流量。在路由器上配置SYN/ICMP的最大流量，限制它们所能占用的最高带宽。当出现大量超出限制的SYN/ICMP流量时，说明并非正常网络访问，而是存在黑客入侵。早期，限制SYN/ICMP流量是防范DoS攻击的最佳方法，虽然如今对DDoS攻击效果已不明显，但依然能起到一定的辅助作用。

定期进行安全扫描。要定期扫描现有的网络主节点，排查可能存在的安全漏洞，并及时修复新发现的漏洞。骨干节点的计算机由于带宽较高，常常成为黑客利用的目标，因此加强这些主机的自身安全至关重要。此外，连接到网络主节点的多为服务器级别的计算机，定期扫描漏洞的重要性就更不言而喻了。

检查访问者的来源。使用Unicast Reverse Path Forwarding等方法，通过反向路由查询来验证访问者的IP地址是否真实，如果是虚假IP则予以屏蔽。许多黑客攻击常采用伪造IP地址来迷惑用户，导致难以追踪来源。利用Unicast Reverse Path Forwarding可以有效减少虚假IP地址的出现，有助于提升网络安全性。