DoS 攻擊特徵辨識

• 大量 TCP 半連接 (SYN_RECV) 佇列滿載
• CPU/記憶體/頻寬被無效請求耗盡
• 網路充斥偽造來源 IP 的垃圾封包
• 正常服務無回應、嚴重者主機當機

分層防禦策略

主機層加固

• 關閉非必要服務，減少攻擊面
• 調整核心參數（Linux 為例）：
  • net.ipv4.tcp_max_syn_backlog = 2048（預設 128/512）
  • net.ipv4.tcp_synack_retries = 2 縮短 SYN+ACK 重試
  • net.ipv4.tcp_syncookies = 1 啟用 SYN Cookie
• Windows：註冊表 TcpMaxHalfOpen、TcpMaxHalfOpenRetried 同步調大
• 及時套用廠商安全更新

防火牆層策略

• 預設拒絕，僅開放業務埠（80/443/25 等）
• 限制單一 IP 並發連線數（如 50 條/秒）
• 啟用 Anti-DDoS 模組（SYN Proxy、速率限制、指紋識別）
• 嚴格限制 DMZ 伺服器主動對外連線，防止被利用為反射放大攻擊跳板

演算法輔助防禦

演算法	原理	優點	缺點
Random Drop	流量超閾值隨機丟棄	實作簡單、保留處理能力	誤傷正常流量，大流量下正常包極少
SYN Cookie	無狀態驗證三向交握	不佔連線表、抗 SYN Flood 有效	高流量下計算量大、不支援 TCP 選項擴展

路由器層配置

以 Cisco 為例：

• ip cef 啟用 CEF 快速轉發
• ip verify unicast reverse-path 來源 IP 反向驗證防偽造
• ACL 過濾已知攻擊特徵
• rate-limit 限制頻寬/封包率
• 升級 IOS 修補已知漏洞
• 建立 Log Server 收集 ACL 命中紀錄

操作鐵律： 修改 running-config 觀察一段時間確認無誤再 copy run start，失敗即 copy start run 回滾。

負載均衡與流量清洗

• DNS Round Robin / 硬體 L4-L7 負載均衡器分流流量
• 中型網站可評估部署專用清洗設備：
  綠盟黑洞、東方龍馬終結者、Captus IPS 4000、Mazu Enforcer、Top Layer Attack Mitigator
• 整合路由/交換/清洗一體機簡化架構

緊急恢復兩招

1. 換 IP 換域名解析： 備用 IP + 低 TTL 域名記錄，攻擊時秒級切換
2. 換埠口服務： 停用 80 埠，啟用 8080/81 等替代埠，修改 DNS 指向 IP:新埠

總結

針對小流量、單一向量 DoS，上述主機/防火牆/路由器設定極有效。面對大流量 DDoS，需多演算法融合 + 多設備協同 + 專用清洗設備的整合方案。設備可靠性、處理效能、功能整合度仍是選型關鍵。