正文：
随着网络技术的不断发展，网络攻击手段也日益多样化。其中，分布式拒绝服务（DDoS）攻击已经成为一种常见的网络攻击方式。然而，许多网络用户可能并未意识到，他们的网络、服务提供商甚至政府可能正在无意中成为DDoS攻击的帮凶。
DDoS攻击的两种形式
DDoS攻击主要分为两种形式。第一种是由攻击者远程控制感染、违规和渗透的设备发起的攻击。这种攻击可以通过追踪攻击源头并修复受侵害的设备来应对。第二种是“伪造源地址”的攻击，即攻击者发送带有伪造源地址的数据包到目标设备，使目标设备反射攻击。这种攻击方式使得攻击者可以隐藏自己的位置，对目标发起DDoS攻击。
BCP 38：防止伪造源地址的最佳实践
为了防止伪造源地址的攻击，业界普遍采用BCP 38（Best Common Practice 38）这一最佳实践。BCP 38要求网络不允许伪造的地址离开其网络进入互联网。这可以通过一系列技术手段实现，如过滤出站数据包，确保只有分配给网络的IPv4和IPv6源地址被允许。
MANRS：路由安全互认规范
互联网协会的路由安全互认规范（MANRS）是实施BCP 38的重要举措之一。MANRS要求企业网络、大学网络和服务提供商网络在连接互联网时，对出站数据包进行过滤，确保只有分配给网络的IPv4和IPv6源地址被允许。
Spoofer项目：测量网络攻击风险
Spoofer项目旨在测量网络攻击风险，区分“不良”网络和“良好”网络。该项目在2016年9月2日的AusNOG会议上发布了首个评估结果，为网络社区提供了有价值的参考。
结尾：
对于运维和网络工程师来说，了解DDoS攻击的机制和防范措施具有重要意义。通过实施BCP 38和MANRS等最佳实践，可以有效降低网络遭受DDoS攻击的风险，保障网络的安全稳定运行。
原文: APNIC Blog（2016-09-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog