在iThome標題<知名遊戲論壇網站遭中國不肖業者以DDoS攻擊勒贖>文章中看到一個整理表格，其中提到 加大頻寬 可舒緩DDoS攻擊，不知各位先進是否能提供一下，要加到多大的頻寬可以減緩DDOS 每秒200萬個詢問?
已邀請的邦友 {{ invite_list.length }}/5
加大頻寬只能讓貴公司網站可連結的頻寬變大,避免因為DDos把頻寬占滿而無法正常對外服務,但根本無效,因為絕大部份的DDos所送的封包都很小,目標是把server網卡上的tcp windows size消耗完,讓server網卡無法正常回應連線要求,嚴重時,可讓整台機器當機,所以不論你有多大頻寬都沒有用,因為機器已經死了。有時你的server可能還沒有死,但你的網路設備先死了,網路宣告斷線.....唯一可行的方法是,用有效的設備如,IPS直接阻止DDos的攻擊,但要注意的是...如果DDos很強,IPS設備也有可能會被打死....
想反制DDOS攻擊，這樣的方式是不行的
你的頻寬再怎麼的大
也是比不過同時從各地而來的DDOS攻擊
你覺得你把水溝挖得再深再寬，有可能擋得住暴風雨所帶來的雨水量
正所謂雙拳難敵猴群..
加大頻寬並不是真正解決之道，請參考下列方法
User and System Administrator Actions
1.建議安裝個人式的防火牆軟體，幫助系統抵禦阻絕大部分的網路攻擊。
2.定期查看系統Log File是否有無可疑的紀錄。
3.使用可得的工具定期查看系統、伺服器等，確定無被植入可疑程式對使用者帳戶資料庫存取等未知的改變。
4.避免下載來路不明的軟體，以避免被植入後門或感染病毒。
5.定期注意CERT、SANS、TruSecure(ICSA)及相關防毒公司所發佈之消息
Local Network Actions
1.Router在連接外部Internet的Interface應設定條件過濾的機制。
2.關閉Router直接Broadcast的能力。
3.RFC1918明確定義Private IP Addresses無法在Internet進行路由。
基本上,DDoS攻擊,要談反制,難度很高(除了較早期的方式,request Head 不大完整,或許可依特定模式攔截外,現在的模式,它也是正常的request,不過發出需求的點/流量大到嚇死人而已)!
加大頻寬算是治標的方案之一,僅能加大伺服器可用通訊資源,避免DDoS吃光通訊資源而不能進行通訊服務.正如同netghost0327網友所提,目前絕大部份DDoS設計的封包都完整且體積小,其目的在吃光server網卡上的Buffer,讓網卡無從回應連線要求(Buffer crash),順帶讓機器/OS crash,縱有頻寬亦無意義(Server無法提供服務).在設備多層分工模式下,前端網路設備亦可能因不堪負荷crash,一樣無法對外提供服務.
可行解:
1.加大頻寬(必需搭配以下一或多種方案)
2.和ISP租用DDoS Migration 服務
3.部署IPS及L4交換器
4.採購內建阻絕DDoS功能模組的流量處理設備
5.Server升級(針對網路處理效率,例如更換網路卡...)
iThome鐵人賽
看影片追技術