斩断DDoS魔掌的六把利剑（三）

　　系列文章(一)和(二)中，我们分别介绍了DDos攻击的变化和企业减轻DDos攻击面临的挑战，本文，我们将开始介绍减轻DDoS攻击危害的六大最佳方法。

　　减轻DDoS攻击危害的六大最佳方法

　　成功减轻DDoS攻击的基础包括：知道监视什么、全天候地监视这些征兆、有技术和能力来确认和减轻DDoS攻击，同时又允许合法的通信到达目的地，并拥有实时的正确解决问题的技能和经验。下面讨论的最佳方法就反映了这些原则。

　　最佳方法一：实现数据收集集中化，并理解其趋势

　　1、集中化监视

　　运用集中化监视功能，实现在一个位置就可以监视整个网络及通信模式;将通信的监管限制由一个小团队负责，以保持监管的连续性。

　　2、理解正常网络的通信模式

　　为建立进入企业的正常通信的基准，企业应当定期收集来自交换机、路由器及其它设备的样本数据包和其它有关信息。需要知道进入了哪些类型的通信(例如， SMTP、HTTP和HTTPS等)、何时进入(是每个星期三，还是每个月的第一天等)、从何处进入、进入了多少等。建立一个包含超过一年的正常通信模式的监视地图，并将此信息整合到一个用于威胁检测、警告和报告的相关引擎中。

　　3、跟踪全世界的DDoS历史趋势和威胁情报

　　对全球的攻击模式进行持续的跟踪和分析，快速验证潜在的攻击和新出现的攻击，并将吸取的教训纳入到适当的事件响应中。使用现有的情报查找预定义的反常问题(即分析签名)。使内部的情报收集与第三方情报供应商的情报相互补充，参与到业界的安全团体和论坛中，其中的信息共享有助于揭示异常活动。

　　4、实施专门的DDoS警告、日志、报告系统

　　确保所发出的警告能够告知安全管理员DDoS攻击的迹象，其中包括未必是基于攻击数量的攻击。实施一种日志和相关系统，收集可用于预防未来攻击的详细攻击数据。实施一种明确的过程，用于收集并评估事务、通信的总体状况、应用程序、协议、事件的报告。记住，事务报告与通信报告一样重要。例如，如果所预计的事务数量发生锐减，这比通信量的增加能更有力地表明可疑活动的存在。

　　5、与经验丰富的安全研究人员协同工作

　　如果企业并不知道怎样处理数据，即使最好的监视、检测、警告、日志和报告设备也是无用的。安全研究人员应当亲身实践，能够区分可疑通信与合法通信，并随着形势的变化而改变应对策略。

　　最佳方法二：定义一个明确的不断升级的发展路线

　　系统化的程序和方法对于有效减轻DDoS攻击是必不可少的。下面给出四大步骤：

　　1、定义一套标准的事件响应操作程序

　　在制定操作程序时，要考虑内部的基础架构、服务、应用程序以及可能受到影响的客户和合伙人资源。如果有必要，制定个别的标准化操作程序，以解决特定类型的攻击或受到攻击的特定资源。定期审查标准作业程序，并进行定期的“演习”，确保标准操作程序保持最新，并能正确发挥功能。

　　2、组建事件响应团队

　　不要等到发生攻击事件的凌晨才开始决定应当联系哪些人。应当准备、发布、经常更新逐步升级的联系人清单，其中包括用于内部团队、相关客户、厂商、合伙人、上游供应商(如应用程序服务供应商(ASP))的信息。如果你依赖一个互联网供应商(ISP)来减轻DDoS攻击，除非贵公司是一家大型公司，否则，你的服务请求有可能与其它公司的请求一起在排队等候。

　　3、解决不同职能部门的范围问题

　　由于DDoS攻击的防护与业务的连续性息息相关，因而它是一个全局性的目标。要确认职能部门和职责重叠的具体领域。必须打破不同部门(如网络团队和信息安全团队)之间的壁垒，澄清事件响应的角色和职责，并强化责任。

　　4、为“宕机时间(因故障而造成的停机时间)”做好准备

　　要理解哪些系统对于企业是生死攸关的，并且为网络或服务的故障而制定和测试三个计划：短期、中期、长期的连续性计划。