DoS（拒絕服務）攻擊利用系統資源有限與協議缺陷，發送海量封包癱瘓服務；DDoS 則動用分散傀儡機放大攻擊規模，曾癱瘓 Yahoo、eBay 等巨頭數小時。防禦 DoS/DDoS 難度高，但非無解，關鍵在於「事前防範」與「事中阻斷」雙軌並行。

核心防禦策略

1. 杜絕成為攻擊跳板

• 及時修補系統/應用漏洞，關閉非必要服務。
• 部署防毒、防火牆、IPS，防止主機被植入攻擊程式（如殭屍網路節點）。

2. 即時監控異常流量

• 偵測單位時間內異常大量封包發送（如 ICMP、UDP、SYN 洪水）。
• 識別偽造來源 IP 的封包（IP Spoofing），於出口端過濾攔截，避免攻擊流量流向 Internet 擴大影響。

3. 硬體防火牆雙層防護

階段	防禦重點	關鍵模組
事前防範（第一道防線）	限制不必要存取、阻擋外部直接觸達內部主機、過濾病毒/蠕蟲、防禦入侵嘗試	防火牆存取控制、網關防毒、IPS/IDS
事發處置（內部失守）	偵測阻擋內部發出的攻擊封包、防止擴散至 Internet	IPS 攻擊特徵庫、流量行為分析、自動封鎖

4. 建構纵深防護體系

單靠防火牆不足，需整合：

• IDS/IPS：深度封包檢測與主動阻斷
• Anti-virus/EDR：端點惡意碼防護
• VPN：加密遠端存取
• 流量管理與負載平衡：分散流量、吸收洪水攻擊

唯有多層次、多廠商、多技術交疊防禦，才能在資源有限前提下，將 DoS/DDoS 風險降至可接受水準，保障業務連續性。