DoS/DDoS：讓網管最頭疼的資源耗盡攻擊

大量不同 IP 同時訪問導致服務失效甚至死機。目的：以放大/非對稱方式耗盡目標資源。

一、如何快速發現攻擊

觀察 CPU/記憶體：突然超載、效能暴跌。但需區分正常流量暴增：

1. 流量瞬間超過平常 10-100 倍，且來自大量不同 IP。
2. 封包非業務連線一部分，指向任意埠（如 Web 伺服器收到大量 FTP/UDP 埠封包）。

二、BAN IP 封禁法

• DoS 效果佳：來源 IP 少、多為偽造，伺服器/路由器封禁即緩解。
• DDoS 較難：需分析日誌識別真正攻擊 IP 段再封禁。
• 流程：伺服器裝防火牆 → 分析日誌定位異常 IP → 防火牆加規則過濾。
• 優化：伺服器過濾消耗資源，建議在核心路由器加 ACL。例：攻擊段 211.153.0.0/16，伺服器 61.135.5.1，路由器加：

  access-list 108 deny tcp 211.153.0.0 0.0.255.255 61.135.5.1 0.0.0.0

三、調大 SYN 緩存：小型攻擊的無損防禦

BAN IP 會誤傷正常用戶，小型攻擊首選修改註冊表擴大 SYN 緩存。公司實測成效顯著。

Windows Server 2003

1. regedit → HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
2. SynAttackProtect：0 → 1（偵測到 SYN 攻擊時縮短連線回應超時）。
3. EnableDeadGWDetect：0（禁止攻擊後強迫修改網關導致服務中斷）。
4. EnablePMTUDiscovery：0（限制攻擊者 MTU，降低總負載）。
5. KeepAliveTime：300,000（毫秒）。
6. NoNameReleaseOnDemand：1。

Windows 2000

1. SynAttackProtect = 2
2. EnableDeadGWDetect = 0
3. EnablePMTUDiscovery = 0
4. KeepAliveTime = 300000
5. NoNameReleaseOnDemand = 1

總結

• 三招組合：察覺 → 封禁 → 擴大 SYN 緩存。
• 免費手段，能最大程度降低損失。
• 無單台伺服器能 100% 防禦 DDoS（專業硬體防火牆亦同）。
• 大型攻擊仍需上游 ISP 協助清洗、雲端緩解服務介入。