隨著網絡技術的發展，DDOS攻擊不斷演進，攻擊成本越來越低，但攻擊強度成倍增加，使得DDOS更加難以防范。例如，反射DDoS攻擊是相對高階的攻擊。攻擊者并不直接攻擊目標服務IP，而是通過偽造攻擊者的IP向世界各地的特殊服務器發送請求消息。這些特殊的服務器會向被攻擊的IP(目標服務IP)發送數倍于請求消息的數據包。DDOS攻擊令人望而生畏，可直接造成網站宕機和服務器癱瘓，給網站乃至企業造成嚴重損失。而且DDOS很難防范，所以目前可以說是無藥可救，只能盡可能提高自己的“抗壓力能力”來緩解攻擊，比如購買高安全性的服務。

在這里，我們分享一些可以在一定程度上應對和緩解DDOS攻擊的策略和方法，供大家參考。

1.隱藏服務器的真實IP：通過CDN節點轉移加速服務，可以有效隱藏網站服務器的真實IP地址。CDN服務根據網站的具體情況進行選擇。對于普通的中小企業網站或個人網站，可以先使用免費的CDN服務，如百度云加速、七牛CDN等，待網站流量增加、需求高了再考慮付費CDN服務。其次，為了防止服務器傳輸的信息泄露IP地址，最常見的情況是服務器不應該使用發送郵件的功能，因為郵件頭會泄露服務器的IP地址。如果必須發送郵件，可以通過第三方代理(比如sendcloud)發送，這樣向外顯示的IP就是代理的IP地址。

2.購買高防提高承載能力：這一措施是通過購買高防盾構機，增加服務器的帶寬來提高攻擊的承載能力。一些知名的IDC服務商都有相應的服務，比如阿里巴巴云、騰訊云。但是這個方案的成本預算比較高，不適合普通的中小企業甚至個人站長，服務器資源在不被攻擊的時候是閑置的，這里就不做闡述了。

3.網站請求IP過濾：除了服務器，網站程序本身的安全性能也需要提高。以邊肖自己的個人博客為例，使用cms。系統安全機制中的過濾功能通過限制POST請求、單位時間404頁等訪問操作，過濾掉次數過多的異常行為。雖然這對DDOS攻擊沒有明顯的改善效果，但也在一定程度上減少了小帶寬的惡意攻擊。

4.定期檢查服務器漏洞：定期檢查服務器軟件安全漏洞是保證服務器安全最基本的措施。無論是操作系統(Windows還是linux)還是網站上常用的應用軟件(mysql、Apache、nginx、FTP等)。服務器運維人員要特別關注這些軟件的最新漏洞，及時修補高風險漏洞。

5.關閉不必要的服務或端口：這也是服務器操作和維護人員最常見的做法。在服務器防火墻中，只開放使用的端口，如網站web服務的端口80、數據庫的端口3306、SSH服務的端口22等。關閉不必要的服務或端口，過濾路由器上的假IP。

6.限制SYN/ICMP流量：用戶應該在路由器上配置最大SYN/ICMP流量，以限制SYN/ICMP數據包可以占用的最大帶寬。這樣，當大量SYN/ICMP流量超過限制時，就意味著不是正常的網絡訪問，而是黑客入侵。早期限制SYN/ICMP流量是防止DOS的最好方法。雖然目前這種方法對DdoS的效果并不明顯，但仍然可以起到一定的作用。