DDoS 攻擊以超大流量或高負載任務癱瘓目標，理論上攻擊者資源佔優即必勝。但攻擊成本高、暴露風險大，透過三大支柱綜合部署，可大幅提高攻擊門檻、緩解威脅。

支柱一：增強防禦韌性（硬實力）

• 擴大出口頻寬、升級核心設備效能（高效能防火牆、負載平衡器、高包率路由器）。
• 投入產出比：若 100% 投入僅換 10% 防禦提升，則不划算。需綜合多層手段，而非單純「硬拼」。
• 提高攻擊者成本：防禦越強，所需傀儡機越多，暴露風險越大，迫使攻擊者放棄或轉向軟目標。

支柱二：目標系統硬化（軟實力）

• 修補漏洞是前提：作業系統協議堆疊漏洞（如 TCP/IP 堆疊溢位）是拒絕服務易利用點。若不修補，其它防禦皆成擺設。持續追蹤廠商安全公告、自動化補丁管理。
• 調優 TCP 參數：
  ① 限制半連線佇列長度（`somaxconn`、`tcp_max_syn_backlog`），緩解資源耗盡。
  ② 縮短 SYN-RECEIVED 逾時、啟用 SYN Cookie，加速丟棄惡意半連線。
  ③ 注意：非 SYN Flood 型攻擊（如 HTTP Flood）此法效果有限。
• 服務架構韌性：無狀態服務、水平擴展、熔斷降級、快速縮容/擴容。

支柱三：纵深防護（前移攔截）

• 前哨：路由器/邊界防火牆
  路由器負責導流，置於最前端。啟用 ACL、uRPF、流量清洗、黑洞路由（RTBH）、FlowSpec，將攻擊流量在進入核心網前丟棄或導向清洗中心。
  防火牆深度檢測：識別應用層特徵（HTTP Flood、DNS 放大），精準過濾而非全盤丟包。
  整合反 DDoS 模組：新一代防火牆/路由器內建反 DDoS 引擎，低延遲識別惡意流量，減少 CPU 消耗。
• 動態調整：攻擊者會轉攻防禦設施本身，需動態調整 ACL/清洗策略、啟用備援路徑、隨機變更防禦特徵。
• 冗餘與欺騙：部署蜜罐/陷阱節點吸引攻擊流量、迷惑攻擊者；關鍵服務多活部署，故障秒級切換。

總結

DDoS 防禦無銀彈，但「硬實力擴容 + 軟實力硬化 + 纵深前移攔截 + 動態博弈」四維綜合，能將攻擊成本推高至攻擊者無法承受，實現「不戰而屈人之兵」。