DDoS 响应：第二部分

在我的上一篇日志 —“DDoS 响应：第一部分”中，我首先对如何应对分布式拒绝服务(DDoS)攻击进行了分析。而在这篇日志（DDoS 响应：第二部分）里，我将介绍一些面向专用网络的解决方案。

要前瞻性防范针对专用网络的攻击，一个解决方法就是将合法路径“隐藏”起来，使攻击者难觅其踪，并且要定期改变网络的拓扑结构。源地址过滤、秘密代理服务器 （servlet） 和虚拟覆盖网络（带有安全覆盖接入点，SOAP）在重新配置方案中是非常有帮助的：

如果任何传输需要穿过覆盖网络，都必须首先在覆盖网络的入口点（SOAP 机器）进行验证。只有经过确认的用户才能访问网络。如果攻击者发现了客户端前面的过滤路由器的地址，他们仍有可能进行强行攻击。

保护专用网的另一个解决方案是使用“Client Puzzle”等加密过程。此种方法需要客户端牺牲一些资源来证明自身是合法的。基本原理是，当服务器受到攻击时，它将小的加密 Puzzle 分发到提出服务请求的客户端。为了完成请求，客户端必须正确解开 Puzzle。

其他解决方案可以过滤和降低 DDoS 流量。在资源复制中（例如 XenoService），受感染计算机或网络通过生成所需资源的副本，对 DDoS 攻击进行响应。合法性测试 (NetBouncer) 可将合法流量与非法流量区分开。使用遏制技术，ISP 可以使用 honeypot 捕获恶意代码，然后研究和阻止这些代码。

为了撰写这些日志，我查阅了一些白皮书和理论论文。其中最重要的是 Vrizlynn Thing Ling Ling 博士在 2008 年 8 月的提交的一篇 204 页的博士论文，该论文给我留下了深刻印象。

我编写了下面的表格，总结我介绍过的响应方法的用法：

McAfee 的 McAfee Network Security Platform 系列的设备可以在安全防御中为客户提供帮助。

McAfee 的 NSP（前称为 IntruShield）传感器可以检测 DDoS 攻击，方法是记忆网络的“正常”流量行为，并根据与这些正常行为的偏差来检测攻击，这些偏差包括各种类型数据包（例如 ICMP、TCP SYN、UDP、IP 碎片）的数据包计数和速率等。详细信息请参阅以下所列的 McAfee 白皮书。

其他有用文档：

• 视频（法语）关于 DDoS 缓解（Orange 集团）
• IP Traceback:新的 DOS 威胁？（IEEE 安全与隐私）
• 安全覆盖网服务（奥本大学）
• DDoS 攻击和 DDoS 防御机制分类（加利福尼亚大学）
•  Pushback：DDoS 攻击修补方法（圣荷西州立大学）
• 解密检测技术：异常入侵检测（迈克菲）
• 解密检测技术：拒绝服务检测（迈克菲）