如何抵御云端DDoS攻击？

发现并阻止云端DDoS攻击有许多安全方面的最佳实践，特别是旨在降低被动参与云端DDoS攻击情况下的风险和影响。任何云端客户应该有一个配置完好的、在其网络边界上的增强出口防火墙，这将防止由云服务供应商采取的关机需求。例如，一旦每秒连接数达到阈值，出口过滤器会封锁输出的NTP流量或会阻止任何对外部web服务器的请求。这一防火墙也应该被监控。用防火墙阻止流量是一回事，而在内部网络中找到实际发生这种情况的原因则是另一回事。

引起DDoS流量的遗留在网络中原因通常是在某一或多个系统中仍安装有恶意软件，使得感染的系统能够连接到更大的全球性的僵尸网络。这不仅导致了前文提到的种种与DDoS有关的问题，还使得僵尸网络的控制者能够掌控感染的系统，导致数据窃取、中断，甚至还可能造成用数据勒索赎金的情况。基于主机的高质量恶意软件检测和预防工具对所有任何系统都是必备的。

专用的DDoS攻击防护产品或第三方DDoS防护提供商也值得选用。客户可引导所有输入和输出的流量途经这些产品，从而从数据流中过滤掉与DDoS相关的有害流量。在选用第三方供应商产品时，如果客户在不知情的情况下参与到云DDoS攻击中，CSP的输出带宽仍然会被消耗。在使用基于云的专用产品时，如果客户是一个DDoS攻击目标，CSP的输入带宽仍然会被消耗。重要的是权衡哪种方法与环境最适应。

配置良好的入侵检测或预防系统能够抓取可疑的或是恶意的流量。这也许不仅能够探测到DDoS流量，同时也能首先发现和阻止恶意软件、僵尸命令及控制流量，造就更加良好的环境。