ddos攻擊的主要手段是通過大於管道處理能力的流量淹沒管道或通過超過處理能力的任務使系統癱瘓，所以理論上只要攻擊者能夠獲得比目標更強大的「動力」，目標是注定會被攻陷的，對ddos攻擊防禦感興趣的朋友可以參考一下
對於ddos攻擊來說並沒有100％有效的防禦手段。但是由於攻擊者必須付出比防禦者大得多的資源和努力才能擁有這樣的「動力」，所以只要我們更好的了解ddos攻擊，積極部署防禦措施，還是能夠在很大程度上緩解和抵禦這類安全威脅的。
因為我們的資源是有限的，如果增加100%的投入僅能在相關效能及ddos防禦力上獲得10%的提公升，明顯是一種得不償失的處理方式，畢竟這並不是我們僅有的選擇。而且攻擊者的資源同樣是有限的，在我們增加防禦強度的同時，就意味著攻擊者必須集合比原來多得多的攻擊傀儡機來實施攻擊，並且會提高攻擊者暴露的風險。不過應該記住的是，真正有效的ddos防禦並不是陷入與攻擊者「角力」的惡性迴圈當中，而是應該綜合各種方法，為攻擊者設定足夠的障礙。
好在現在各類系統的補丁更新速度還是比較令人滿意的，只要根據自身環境的情況注意對相關系統的補丁發布情況進行跟蹤就可以了。一些經常被使用的方法還包括限制連線佇列的長度以及減少處理延時等。前者可以緩解系統資源的耗盡，雖然不能完全避免「拒絕服務」的發生，但是至少在一定程度上降低了系統崩潰的可能性。而後者能夠加強系統的處理能力，通過減少延時，我們可以以更快的速度拋棄佇列裡的等待的連線，而不是任其堆滿佇列；不過這種方法也不是在所有的情況下都有效，因為很多ddos的攻擊機制並不是建立在類似syn flood這樣以畸形連線淹沒佇列的方式之上。
攻擊者和目標通常並非直接相連，兩者之間要經過很多網路節點才能進行通訊。所以我們可以在受保護系統之前盡可能部署有效的屏障，以緩解系統的壓力。設定屏障最主要的工具就是_blank「》防火牆，先進的_blank」》防火牆產品能夠有效識別和處理資料報的深層內容，這樣有助於我們設定更加細緻的過濾。
現在有很多_blank「》防火牆產品整合了反ddos功能，進一步提高了對常見ddos攻擊包的識別能力。這樣的產品可以在很大程度上增強ddos防禦能力，並且可以做到不對資料報進行完全檢查就可以發現「惡意行為」。這是非常有幫助的能力，因為如果判斷ddos攻擊所耗費的處理越少，就越不容易被耗盡處理能力，從而極大的增加攻擊者的成本。包括很多路由器產品在內的網路裝置都具備一些_blank」》防火牆功能，我們應該盡可能充分的利用。
特別是路由器本身負責對資料流進行導向，應盡可能將其置於「前哨」位置。這樣既可以起到禦敵於千里之外的作用，又可以靈活地將攻擊包導向到其它無害的位置甚至化攻擊於虛無。當然，攻擊者對這些防禦層也會有或淺或深的體認，不會一味地以目標系統作為惟一的打擊點，他們很可能會在受到這些設施的阻撓之後轉而組織針對這些設施的攻擊，這就需要我們動態的對防禦設施進行調整，隨機應變。
除了以上這些基礎的方法和工具之外，還有一些更高階的技巧可以利用，例如我們可以進行冗餘設計，以在系統癱瘓於攻擊發生時有可以隨時啟用的應急機制；也可以部署一些陷阱部件，既可以用於吸引攻擊流量，也可以對攻擊者起到一定的迷惑作用。
其實在對我們進行安全防禦時，最重要的因素之一是對系統的透徹了解。例如我們必須清楚地知道系統對外開放了哪些服務，哪些訪問是被禁止的。同時，當有ddos攻擊跡象發生的時候，我們也應該很好地判斷攻擊利用了系統的哪些處理機制。雖然我們已經聽過無數人無數次的重複「關閉不必要服務」，但顯然其重要性仍未被充分認知。
有時乙個埠沒有開放我們就認為其處於安全狀態，其實事實並非如此。很多時候，一些關閉的埠由於設計上的原因仍會響應某些查詢，這一點經常被ddos攻擊所利用。攻擊者通過向這些看似沉睡的埠傳送海量的查詢耗盡目標系統的資源從而達到自己的目的。我們經常利用乙個稱為shields up的基於web介面的工具檢查埠的真實狀態。
我們在一台聯網的工作站上登入其頁面並執行all service ports檢測，返回的結果頁會列出從0到1055埠狀態的方格圖，綠色的小塊兒表示該埠處於安全的隱秘（stealth）狀態，將不會對外界做出任何響應。如果小塊兒是代表危險的紅色，說明該埠處於開放狀態。而如果小塊兒是藍色的話，說明該埠處於關閉狀態，雖然大部分程式無法使用這些埠，但不代表其絕對安全。通過類似的工具我們可以更透徹的了解我們暴露在網路上的都是什麼，也才能進行真正有效的處理，同時不會忽視存在的隱患。
，
ddos防禦指令碼2
1.編寫指令碼 mkdir root bin vi root bin dropip.sh bin bash bin netstat na grep established awk awk f sort uniq c sort rn head 10 grep v e 192.168 127.0 awk...
如何防禦ddos ？
ddos是利用一批受控制的機器向一台機器發起，這樣來勢迅猛的令人難以防備，因此具有較大的破壞性。如果說以前網路管理員對抗dos可以採取過濾ip位址方法的話，那麼面對當前ddos眾多偽造出來的位址則顯得沒有辦法。所以說防範ddos變得更加困難，如何採取措施有效的應對呢？下面是一些對付它的常規方法 1 ...
如何防禦ddos攻擊？
ddos攻擊是利用一批受控制的機器向一台機器發起攻擊，這樣來勢迅猛的攻擊令人難以防備，因此具有較大的破壞性。如果說以前網路管理員對抗dos可以採取過濾ip位址方法的話，那麼面對當前ddos眾多偽造出來的位址則顯得沒有辦法。所以說防範ddos攻擊變得更加困難，如何採取措施有效的應對呢？下面是一些對付它...