在NANOG 63会议上，Geoff Huston深入探讨了DDoS攻击的全面情况以及网络运营商需要考虑的问题。DDoS攻击利用了网络边缘的I/O容量远大于内部网络的事实，通过驱动多个边缘设备，要么饱和网络组件，要么饱和选定的受害者边缘设备。攻击者有多种攻击手段，解决一种弱点只会让其他弱点被利用。
DDoS攻击的常见类型
DDoS攻击有多种形式，其中之一是使用简单的查询/响应UDP协议，其中响应数据量大于查询数据量，并使用伪造的源地址。攻击者通过快速向大量服务器发送查询，使受害者被无用流量淹没。DNS UDP查询协议和NTP时间协议都曾被用于此类攻击。尽管人们认为不会有人暴露他们的SNMP端口，至少应该使用良好的保护措施，但显然SNMP、chargen等端口都是可利用的。
TCP攻击与资源消耗
TCP攻击也有其问题。SYN洪水攻击是一种相当古老的攻击向量，但如果入站数据包速率足够高，这种攻击仍然可以有效地阻止合法连接尝试。SYN洪水攻击可以通过源地址伪造来实现。攻击系统完成连接握手并保持连接打开，消耗服务器的资源。这种类型的攻击需要控制大量被破坏的终端主机，并协调它们执行连接。不幸的是，这些僵尸网络已经成为了互联网多年的“特色”。因此，攻击规模越来越大。如果不能阻止这些攻击，就必须吸收它们。这意味着在网络和服务器中部署大量容量，以吸收攻击流量，同时仍然对“真实”流量保持响应。通过在基础设施容量上进行大量投资，这是一种可行的做法。但它也提高了门槛。如果运营的服务器在某些方面至关重要，那么就不再能将其托管在自己的本地边缘基础设施上。选择最便宜的云或其他托管解决方案也是不可行的。
应对DDoS攻击的策略
面对DDoS攻击，网络运营商需要采取一系列策略。首先，可以通过执行出站过滤来阻止具有伪造源地址的查询包离开每个网络。其次，需要部署大量容量来吸收攻击流量，同时保持对真实流量的响应。这种策略需要大量基础设施投资，但它是可行的。然而，这也意味着服务器托管成本的增加，因为不再能依赖本地边缘基础设施。
结尾：对于运维和网络工程师来说，了解DDoS攻击的机制和应对策略至关重要。这不仅有助于保护网络免受攻击，还能确保网络在遭受攻击时保持稳定运行。通过采取适当的措施，可以有效地减轻DDoS攻击对网络的影响。
原文: APNIC Blog（2015-02-12）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog