前言：DDoS 防禦是場系統工程

DDoS 利用 TCP/IP 協定缺陷（如 SYN Flood、放大反射），以海量合法/偽造請求癱瘓目標。資深專家比喻：「一千人同時打電話給你，朋友還打得進來嗎？」雖難完全根治，但分角色佈防可大幅降低傷害。

角色一：企業網管 — 主機與邊界雙重防護

主機層面 (OS 級)

• 關閉非必要服務（減少攻擊面）。
• 限制 SYN 半連接數（Linux: net.ipv4.tcp_max_syn_backlog, tcp_synack_retries；Windows: 注冊表 TcpMaxHalfOpen, TcpMaxHalfOpenRetried）。
• 縮短 SYN Timeout（Linux: net.ipv4.tcp_synack_retries=2）。
• 及時套用 OS/應用補丁（修復協定棧漏洞）。

網路設備層面 (防火牆/路由器)

設備	關鍵設定	效能代價評估
防火牆	拒絕非開放服務訪問、限制同源 SYN 連接數、啟用 Anti-DDoS 引擎 (SYN Cookie、速率限制)、嚴格限制對外開放伺服器主動外連	啟用深度檢測會增加延遲，需壓測確認吞吐量滿足業務
路由器 (Cisco 為例)	啟用 CEF (Cisco Express Forwarding)、uRPF (Unicast Reverse Path Forwarding)、ACL 過濾偽造源 IP、限制 SYN 包速率 (CAR/CoPP)、升級穩定 IOS、建立 Log Server 收集流量基線	CEF/uRPF 可能降低轉發效能，建議分階段啟用並監控 CPU

運維小撇步： Cisco 有 running-config (執行中) 與 startup-config (啟動)。修改先改 running-config 觀察 3-5 天，穩定後 write memory 存入 startup-config；不滿意即 copy start run 秒回滾。

角色二：ISP/ICP — 托管主機「肉雞」治理

痛點：客戶托管主機常未打補丁、弱密碼、高頻寬，成駭客最愛「肉雞」。ISP 無直接管理權，僅能通知客戶處理，客戶配合度低、ISP 不敢得罪大客 (買方市場)。

對策組合拳

1. 合約條款化： SLA 中明訂「主機需維持補丁最新、強密碼、運行防毒」，違約可暫停服務。
2. 主動掃描與通報： 定期對托管網段進行授權弱點掃描，出具報告並限期整改。
3. 流量清洗增值服務： 提供 DDoS 清洗服務 (旁路/直通)，客戶付費開通，ISP 獲收入、客戶獲防護、雙贏。
4. 隔離區機制： 偵測到托管主機對外發起攻擊流量，自動導向隔離 VLAN 僅允許更新伺服器存取，修復後自動恢復。
5. 關係經營： 定期技術交流會、安全通報簡報、聯合應急演練，建立信任降低溝通成本。

角色三：骨幹網營運商 — 來源位址驗證 (SAV) 全球聯防

2000 年 Yahoo 等大站遭攻擊後，美研究機構倡議：各骨幹營運商在出口路由器啟用 uRPF (Strict/Loose Mode) 或 BCP 38 (RFC 2827/3704) 入向過濾：若路由表無到達來源 IP 的路徑，直接丟棄封包，徹底斷絕偽造源 IP 攻擊。

推行難點與現狀

• 路由器效能損耗 (查表、狀態檢測) 是營運商最大顧慮。
• 非對稱路由導致 Loose uRPF 誤判，Strict uRPF 部署複雜。
• 目前全球僅約 30-40% ASN 部署 BCP 38，MANRS (Mutually Agreed Norms for Routing Security) 倡議推廣中。

企業可做什麼？

• 選擇支援 BCP 38/SAV 的上游 ISP。
• 部署 Anycast 分散流量 (Cloudflare, Akamai, AWS Shield, Azure DDoS Protection)。
• 參與 MANRS、ISAC 資訊共享聯盟，獲取威脅情報。

通用應變流程：證據保全與事後追查

1. 攻擊發生時：啟用全封包擷取 (Wireshark/TCPDump)、保存防火牆/流量清洗設備日誌、NetFlow/sFlow 流量記錄。
2. 記錄攻擊時間、向量、流量峰值、影響業務範圍、緩解措施時序。
3. 向上游 ISP、CERT/CC、執法單位通報，提供證據協助溯源。
4. 事後複盤：修補單點故障、調整清洗閾值、更新應急預案。

結語

DDoS 防禦非單一產品可解，需 企業邊界清洗 + ISP 托管治理 + 骨幹 SAV 過濾 + Anycast 彈性吸收 多層次協同。最重要的是：別讓自己的主機成為加害者——內部主機修補到位、對外流量行為基線化、異常即時阻斷，才是對整個網路生態最負責任的態度。