网管秘籍 如何减轻DDoS攻击带来的危害(2)

　　减轻DDoS攻击危害

　　但是很多大型ISP好像都因为各种原因拒绝实现入侵过滤，因此我们需要其它方式来降低DDoS带来的影响。目前最有效的一个方法就是反追踪(backscatter traceback method)。

　　要采用这种方式，首先应该确定目前所遭受的是外部DDoS攻击，而不是来自内网或者路由问题。接下来就要尽快在全部边缘路由器的外部接口上进行配置，拒绝所有流向DDoS攻击目标的数据流。

　　另外，还要在这些边缘路由器端口上进行配置，将全部无效或无法定位的数据来源IP的数据包丢弃。比如以下地址：

　　10.0.0.0 - 10.255.255.255

　　172.16.0.0 - 172.31.255.255

　　192.168.0.0 - 192.168.255.255

　　将路由器设置为拒绝这些资料包后，路由器会在每次拒绝数据包时发送一个因特网控制讯息协议(ICMP)包，并将"destination unreachable"信息和被拒绝的数据包打包发送给来源IP地址。

　　接下来，打开路由器日志，查看那个路由器收到的攻击资料包最多。然后根据所记录的数据包来源IP确定哪个网段的资料量最大。在这个路由器上调整路由器针对这个网段为“黑洞”状态，并藉由修改子网掩码的方法将这个网段隔离开。

　　然后再寻找这个网段的所有者的信息，联系你的ISP以及数据发送网段的ISP，将攻击情况汇报给他们，并请求协助。不论他们是否愿意帮忙，无非是一个电话的问题。

　　接下来为了让服务和合法流量通过，你可以将其它一些攻击情况较轻的路由器恢复正常，只保留承受攻击最重的那个路由器，并拒绝攻击来源最大的网段。如果你的ISP和对方ISP很负责的协助阻挡攻击数据包，你的网络将很快恢复正常。

　　结语

　　DDoS攻击很狡猾，也很难预防，但是你可以借由以上方式及时减轻这种攻击对网络的影响。面对攻击，你只需要快速地响应和正确的方法，就可以及时发现攻击数据流并将其挡掉。

　　看到本文的时候就想起来在黑客联盟的时候，曾经有一个公司为了攻击一个竞争对手，不惜一切的代价去，设置付出很高的价钱，要DDOS人家半年，如果这样还不能被发现的话，那么这个公司肯定是一垃圾的公司?

　　本文写的不错，偶就喜欢这样的文章，DDOS暂时没办法防止，但是你可以把你的损失减少到最少，我们做的不只是单纯的防御，DDOS有有很多中，曾经baidu的遭到大面积的分射式拒绝服务攻击造成了很大的损失?

　　我们的路还有很长，路途会比你想象的还要艰巨。