DDoS 威脅特徵

分散式阻斷服務攻擊利用大量受控「肉雞」向單一目標發動攻擊，頻寬相對情況下極易癱瘓服務。目標多為商業、搜尋引擎、政府等大型站點，來勢洶洶、隱蔽性強、破壞力極大。

六大防禦步驟

1. 網管面加固：定期巡檢物理環境、關閉非必要服務、建立邊界安全基線（出站封包限制）、每日審閱安全日誌。
2. 漏洞管理與帳號管控：及早發現並修補漏洞、重要配置資訊建立備份機制、特權帳號（管理員）採用強密碼並定期輪換，將攻擊機會降至最低。
3. 部署安全設備過濾偽造封包：防火牆/入侵防禦系統配置嚴格規則，過濾所有可能的偽造來源 IP 封包（如 RFC 2827/3704 入口過濾）。
4. 協同 ISP 實施流量控制：與上游 ISP 合作，啟用路由存取控制（ACL）與總頻寬限制，在骨幹層面阻斷攻擊流量。
5. 發現肉雞工具立即清除：若發現主機被植入 DDoS 主控/代理端程式，即使暫無損害也必須徹底清除，防止成為下一波攻擊跳板。
6. 啟動應急預案快速溯源阻斷：遭攻擊時：
   ① 追蹤攻擊封包來源；
   ② 立即聯繫 ISP 與應急響應組織（如 CNCERT）；
   ③ 分析受影響系統，識別涉及節點；
   ④ 在上游/邊界封鎖已知攻擊節點流量。

核心觀念

DDoS 防禦非單一產品可解，需「平時加固 + 設備過濾 + 上游協同 + 應急預案」纵深防禦。安全意識是第一道防線。