A10：三种DDoS缓解策略

之前我们讨论了自动化如何在一次DDoS攻击中帮助你节省宝贵的时间。因此，部署一个自动化防御系统是非常重要的。而与之同等重要的是，执行正确的策略，以确保合法用户能持续应用服务。毕竟DDoS攻击本本性上就是异步发生的，因此，你不能阻止攻击者发起攻击，但如果采用了正确的防御策略，就可以有弹性地应对攻击。

这三个方法都是基于源的DDoS缓解策略，可以作为选择阻止哪些流量的基础。而另一种基于目地的的缓解策略则依赖流量调整，来阻止系统崩溃。

当目的地流量调整对于在攻击中保持系统健康是有效的时候，它也同样地会“误伤”合法用户。

• 跟踪偏差：通过日常观察流量情况，来了解什么流量是合法的，什么是安全威胁。特别地是，防御系统可以从多个特性来分析数据速率或查询速率，譬如BPS、PPS、SYN-FIN速率、会话速率等），以确定合法流量和恶意流量，或者通过他们能否回答挑战性问题，来确定僵尸网络或者欺骗流量。
• 模式识别：模式识别策略用机器学习来解析不寻常的行为模式，这些行为模式通常会被DDoS僵尸网络和反射放大攻击实时展现出来。举例来说，一个由目的性强的攻击者发起的DDoS攻击，它通过编排平台，提供分布式武器以及用非法流量洪水攻击受害者的指导。常见的指挥和控制系统（C&C）以及分布式攻击展现的模式可被用于因果阻击策略。
• 信誉：为了利用信誉作为一种基于源的阻击策略，DDoS防御系统将应用由研究人员提供的威胁智能情报——DDoS僵尸网络IP地址以及千万个用于反射放大攻击的暴露了的服务器。

在攻击中，系统将利用这些智能情报来阻止所有匹配的IP地址。相比于不加分析的目的地保护，这三种基于源的DDoS缓解策略都要求更多的计算能力。但是，在防止误伤合法用户方面，这三种策略都有极大的优势。此外也可以减少宕机时间、确保不必要的损失。因此，这三种缓解策略都值得企业关注和投资。