如何降低网站被DDOS攻击造成的伤害？（二）

小提示：您能找到这篇{如何降低网站被DDOS攻击造成的伤害？（二）}绝对不是偶然，我们能帮您找到潜在客户，解决您的困扰。如果您对本页介绍的如何降低网站被DDOS攻击造成的伤害？（二）内容感兴趣，有相关需求意向欢迎拨打我们的服务热线，或留言咨询，我们将第一时间联系您！

 在上篇文章中我们介绍了关于DDOS攻击的一些知识，如果我们无法防止这种攻击，那么怎么做才能最大限度地保护企业网络呢?首先应该清楚的了解DDoS攻击的三个阶段，然后再学习如何将这种攻击的危害降到最低。

减少攻击影响

入侵过滤(Ingress filtering)是一种简单而且所有网络(ISP)都应该实施的安全策略。在你的网络边缘(比如每一个与外网直接相连的路由器)，应该建立一个路由声明，将所有数据来来源IP标记为本网地址的数据包丢弃。虽然这种方式并不能防止DDoS攻击，但是却可以预防DDoS反射攻击。

减轻DDoS攻击危害

但是很多大型ISP好像都因为各种原因拒绝实现入侵过滤，因此我们需要其它方式来降低DDoS带来的影响。目前最有效的一个方法就是反追踪(backscatter traceback method)。

要采用这种方式，首先应该确定目前所遭受的是外部DDoS攻击，而不是来自内网或者路由问addwords题。接下来就要尽快在全部边缘路由器的外部接口上进行配置，拒绝所有流向DDoS攻击目标的数据流。

另外，还要在这些边缘路由器端口上进行配置，将全部无效或无法定位的数据来源IP的数据包丢弃。比如以下地址：

10.0.0.0 - 10.255.255.255

172.16.0.0 - 172.31.255.255

192.168.0.0 - 192.168.255.255

将路由器设置为拒绝这些资料包后，路由器会在每次拒绝数据包时发送一个因特网控制讯息协议(ICMP)包，并将“destination unreachable”信息和被拒绝的数据包打包发送给来源IP地址。

然后再寻找这个网段的所有者的信息，联系你的I危机公关策略探讨SP以及数据发送网段的ISP，将攻击情况汇报给他们，并请求协助。不论他们是否愿意帮忙，无非是一个电话的问题。

接下来为了让服务和合法流量通过，你可以将其它一些攻击情况较轻的路由器恢复正常，只保留承受攻击最重的那个路由器，并拒绝攻击来源最大的网段。如果你的ISP和对方ISP很负责的协助阻挡攻击数据包，你的网络将很快恢复正常。