拒绝服务攻击从诞生至今，其发展脉络清晰可见——从最初简单的单机攻击（DoS），逐步演变为如今更具破坏力的分布式拒绝服务攻击（DDoS）。那么，这两个概念究竟有何区别？简单来说，DoS是单机作战，利用一台计算机发起攻击；而DDoS（分布式拒绝服务）则是多台计算机协同作战，属于有组织、有规模的大范围攻击，目标往往锁定在体量较大的站点，如商业公司、搜索引擎或政府机构网站。
其原理并不复杂：攻击者操控一批“肉鸡”（被控制的机器），同时对同一目标机器发起猛烈冲击。这种攻击来势汹汹，几乎让人来不及反应，破坏力自然也更加强大。过去，网络管理员对付DoS尚可通过过滤IP地址来应对，但面对DDoS攻击中成百上千个伪造的虚假IP地址，这套传统方法基本失效，防范难度显著提升。那么，面对这些挑战，有哪些有效的应对策略呢？接下来从预防与应对两个维度进行探讨。
二、预防为主，构建安全防线
DDoS攻击是黑客最常用的攻击手段之一，但并非无计可施。以下是一些行业内公认的常规防御方法。
定期扫描
定期对现有网络主节点进行漏洞扫描，这项基础工作看似简单，但真正坚持执行的团队并不多。骨干节点的计算机带宽高，是黑客最青睐的攻击目标，因此这些主机的安全防护必须格外重视。更何况，连接到网络主节点的通常是服务器级别的设备，一旦被攻破，后果不堪设想。因此，定期扫描漏洞，再怎么强调都不为过。
在骨干节点配置防火墙
防火墙本身就能抵御部分DDoS攻击。一旦发现攻击，可以配置策略将攻击流量引导至“牺牲主机”，从而保护核心设备。这些牺牲主机可以选择不那么重要的机器，或直接采用Linux、Unix等天生漏洞较少、抗攻击能力更强的系统，这是一种常见的折中方案。
用足够的机器承受黑客攻击
这听起来有些“以本伤人”——如果你拥有足够的带宽和资源，以致黑客的流量消耗殆尽，这确实是一种理想的应对策略。但问题在于，这种方法资金门槛极高，且大部分设备平时处于闲置状态，与当前大多数中小企业的实际运营情况不符。
充分利用网络设备保护网络资源
路由器、防火墙、负载均衡设备是网络的第一道防线。有趣的是，当网络遭受攻击时，最先扛不住的往往是路由器，但其他机器可能安然无恙。路由器重启后很快就能恢复，损失较小。相比之下，服务器一旦被攻破，数据丢失、重启耗时，代价要大得多。如果公司还部署了负载均衡设备，一台路由器被攻击后，另一台能立即接管，相当于为攻击者设置了一道额外的障碍。
过滤不必要的服务和端口
利用Inexpress、Express、Forwarding等工具，可以过滤不必要的服务和端口，同时在路由器上过滤虚假IP地址。例如，Cisco的CEF（Cisco Express Forwarding）技术可将数据包的Source IP与路由表进行比对，从而实现过滤。目前，许多服务器都采用“仅开放服务端口”的策略——例如，WWW服务器仅开放80端口，其他端口全部关闭，或在防火墙上设置严格的阻止策略。
检查访问者的来源
通过Unicast Reverse Path Forwarding等反向路由查询方法，可以有效验证访问者IP地址的真实性。如果是伪造的，直接屏蔽。许多黑客攻击喜欢使用假IP来迷惑追踪，查询难度极大。而Unicast Reverse Path Forwarding技术能显著减少虚假IP的出现，对网络安全的提升效果明显。
过滤所有RFC1918 IP地址
RFC1918 IP地址，如10.0.0.0、192.168.0.0、172.16.0.0等，均为内部网络保留IP地址，并非某个网段的固定地址。在路由器上过滤这些地址，并非限制内部员工的正常访问，而是为了将攻击时伪造的大量虚假内部IP阻挡在外，从而减轻DDoS攻击的冲击。
限制SYN/ICMP流量
在路由器上配置SYN/ICMP流量的最大限制，可以有效控制这类数据包占用的带宽。一旦出现远超正常范围的SYN/ICMP流量，基本可以断定存在入侵行为。早期，限制SYN/ICMP流量是防范DoS最有效的手段之一。虽然现在面对DDoS，效果已不如前，但依然能起到一定的缓解作用。
三、攻击发生时，寻找机会应对
如果攻击已经发生，能做的事情其实非常有限。在原本毫无准备的情况下，突然遭遇大流量冲击，很可能还没回过神来，网络就已瘫痪。不过，即便如此，也仍有一些机会可以抓住，争取一线生机。
检查攻击来源
黑客通常使用大量假IP地址发起攻击。如果能分辨出真伪IP，并确定这些IP来自哪个网段，就可以直接联系网管关闭相应机器，从源头上消除攻击。如果发现IP来自外部而非公司内部，则可以采取临时过滤措施，在服务器或路由器上屏蔽这些IP。
找出攻击者所经过的路由
一旦找到攻击者经过的路由，即可屏蔽攻击路径。如果黑客从特定端口发动攻击，则关闭这些端口，也能起到一定的阻止作用。不过，该方法对于仅有一个网络出口且遭受外部DDoS攻击的公司，效果不佳——因为一旦封禁出口端口，所有计算机将无法上网。
过滤ICMP
最后还有一种折中方案，即在路由器上过滤ICMP。虽然攻击过程中无法完全消除入侵，但过滤ICMP后，能有效防止攻击规模进一步升级，并能在一定程度上降低攻击强度。
总结：DDoS攻击的应对与防护
坦率地说，目前网络安全界对DDoS攻击尚无一劳永逸的解决方案。主要依靠日常维护和漏洞扫描来对抗。单纯依赖软件防范，效果有限；即便采用硬件安防设施，也只能降低攻击级别。DDoS攻击只能被减弱，无法被彻底消除。
不过，如果能按照上述方法和思路部署防范体系，效果将相当显著。至少在攻击来临时，能将损失降至最低，这本身就是一种胜利。
