礦池防止ddos
『壹』 如何有效的防止DDOS攻擊
有效的防止DDOS攻擊的方法：
1、採用高性能的網路設備
首先要保證網路設備不能成為瓶頸，因此選擇路由器、交換機、硬體防火牆等設備的時候要盡量選用知名度高、口碑好的產品。
2、盡量避免NAT的使用
無論是路由器還是硬體防護牆設備要盡量避免採用網路地址轉換NAT的使用，因為採用此技術會較大降低網路通信能力，其實原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網路包的校驗和進行計算，因此浪費了很多CPU的時間。
3、充足的網路帶寬保證
網路帶寬直接決定了能抗受攻擊的能力，假若僅僅有10M帶寬的話，無論採取什麼措施都很難對抗現在的ddos攻擊，當前至少要選擇100M的共享帶寬。
(1)礦池防止ddos擴展閱讀
DDOS攻擊方式
1、SYN Flood攻擊
SYN Flood攻擊是當前網路上最為常見的DDoS攻擊，它利用了TCP協議實現上的一個缺陷。通過向網路服務所在埠發送大量的偽造源地址的攻擊報文，就可能造成目標伺服器中的半開連接隊列被占滿，從而阻止其他合法用戶進行訪問。
2、UDP Flood攻擊
UDP Flood是日漸猖厥的流量型DDoS攻擊，原理也很簡單。常見的情況是利用大量UDP小包沖擊DNS伺服器或Radius認證伺服器、流媒體視頻伺服器。由於UDP協議是一種無連接的服務，在UDP Flood攻擊中，攻擊者可發送大量偽造源IP地址的小UDP包。
3、ICMP Flood攻擊
ICMP Flood攻擊屬於流量型的攻擊方式，是利用大的流量給伺服器帶來較大的負載，影響伺服器的正常服務。由於目前很多防火牆直接過濾ICMP報文。因此ICMP Flood出現的頻度較低。
4、Connection Flood攻擊
Connection Flood是典型的利用小流量沖擊大帶寬網路服務的攻擊方式，這種攻擊的原理是利用真實的IP地址向伺服器發起大量的連接。並且建立連接之後很長時間不釋放，佔用伺服器的資源，造成伺服器上殘余連接(WAIT狀態)過多，效率降低，甚至資源耗盡，無法響應其他客戶所發起的鏈接。
『貳』 怎麼防止我的伺服器被ddos
可以通過購買專業的ddos防禦設備抵禦攻擊，比方說華為有AntiDDoS1000系列DDoS防禦系統。
『叄』 教你如何預防DDOS攻擊
對目前各大傳奇私服站長受到盛大或者某些卑鄙小人的無恥行為，我特地整理了防止DDOS的攻擊資料！
絕對可以防止針對傳奇埠，或者WEB的大流量的DDOS承受大約40萬個包的攻擊量
設置保護80.7000.7100.7200等你的傳奇埠的。
然後按下面整理的注冊表修改或者添加下面的數值。
請注意，以下的安全設置均通過注冊表進行修改，該設置的性能取決於伺服器的配置，尤其是CPU的處理能力。如按照如下進行安全設置，採用雙路至強2.4G的伺服器配置，經過測試，可承受大約1萬個包的攻擊量。
接下來你就可以高枕無憂了。
一部份DDOS我們可以通過DOS命令netstat -an|more或者網路綜合分析軟體：sniff等查到相關攻擊手法、如攻擊某個主要埠、或者對方主要來自哪個埠、對方IP等。這樣我們可以利用w2k自帶的遠程訪問與路由或者IP策略等本身自帶的工具解決掉這些攻擊。做為無法利用這些查到相關數據的我們也可以嘗試一下通過對伺服器進行安全設置來防範DDOS攻擊。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'關閉無效網關的檢查。當伺服器設置了多個網關，這樣在網路不通暢的時候系統會嘗試連接
'第二個網關，通過關閉它可以優化網路。
"EnableDeadGWDetect"=dword:00000000
'禁止響應ICMP重定向報文。此類報文有可能用以攻擊，所以系統應該拒絕接受ICMP重定向報文。
"EnableICMPRedirects"=dword:00000000
'不允許釋放NETBIOS名。當攻擊者發出查詢伺服器NETBIOS名的請求時，可以使伺服器禁止響應。
'注意系統必須安裝SP2以上
"NonameReleaseOnDemand"=dword:00000001
'發送驗證保持活動數據包。該選項決定TCP間隔多少時間來確定當前連接還處於連接狀態，
'不設該值，則系統每隔2小時對TCP是否有閑置連接進行檢查，這里設置時間為5分鍾。
"KeepAliveTime"=dword:000493e0
'禁止進行最大包長度路徑檢測。該項值為1時，將自動檢測出可以傳輸的數據包的大小，
'可以用來提高傳輸效率，如出現故障或安全起見，設項值為0，表示使用固定MTU值576bytes。
"EnablePMTUDiscovery"=dword:00000000
'啟動syn攻擊保護。預設項值為0，表示不開啟攻擊保護，項值為1和2表示啟動syn攻擊保護，設成2之後
'安全級別更高，對何種狀況下認為是攻擊，則需要根據下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
'設定的條件來觸發啟動了。這里需要注意的是，NT4.0必須設為1，設為2後在某種特殊數據包下會導致系統重啟。
"SynAttackProtect"=dword:00000002
'同時允許打開的半連接數量。所謂半連接，表示未完整建立的TCP會話，用netstat命令可以看到呈SYN_RCVD狀態
'的就是。這里使用微軟建議值，伺服器設為100，高級伺服器設為500。建議可以設稍微小一點。
"TcpMaxHalfOpen"=dword:00000064
'判斷是否存在攻擊的觸發點。這里使用微軟建議值，伺服器為80，高級伺服器為400。
"TcpMaxHalfOpenRetried"=dword:0......
經濟實惠、價廉物美、方便快捷，時尚快購吧 就是這樣一個購物便捷，導航清晰，交易安全的一個很好的淘寶商品展示購物網站時尚快購吧 皇冠店，讓你省錢省到笑！~~
『肆』 如何有效防止DDOS攻擊
據美國最新的安全損失調查報告，DDoS攻擊所造成的經濟損失已經躍居第一。傳統的網路設備和周邊安全技術，例如防火牆和IDSs(Intrusion Detection Systems)， 速率限制，接入限制等均無法提供非常有效的針對DDoS攻擊的保護，需要一個新的體系結構和技術來抵禦復雜的DDoS拒絕服務攻擊。 DDoS攻擊揭秘 DDoS攻擊主要是利用了internet協議和internet基本優點——無偏差地從任何的源頭傳送數據包到任意目的地。 DDoS攻擊分為兩種：要麼大數據，大流量來壓垮網路設備和伺服器，要麼有意製造大量無法完成的不完全請求來快速耗盡伺服器資源。有效防止DDoS攻擊的關鍵困難是無法將攻擊包從合法包中區分出來：IDS進行的典型「簽名」模式匹配起不到有效的作用；許多攻擊使用源IP地址欺騙來逃脫源識別，很難搜尋特定的攻擊源頭。 有兩類最基本的DDoS攻擊： ● 帶寬攻擊：這種攻擊消耗網路帶寬或使用大量數據包淹沒一個或多個路由器、伺服器和防火牆；帶寬攻擊的普遍形式是大量表面看合法的TCP、UDP或ICMP數據包被傳送到特定目的地；為了使檢測更加困難，這種攻擊也常常使用源地址欺騙，並不停地變化。 ● 應用攻擊：利用TCP和HTTP等協議定義的行為來不斷佔用計算資源以阻止它們處理正常事務和請求。HTTP半開和HTTP錯誤就是應用攻擊的兩個典型例子。 DDoS威脅日益致命 DDoS攻擊的一個致命趨勢是使用復雜的欺騙技術和基本協議，如HTTP，Email等協議，而不是採用可被阻斷的非基本協議或高埠協議，非常難識別和防禦，通常採用的包過濾或限制速率的措施只是通過停止服務來簡單停止攻擊任務，但同時合法用戶的請求也被拒絕，造成業務的中斷或服務質量的下降；DDoS事件的突發性，往往在很短的時間內，大量的DDoS攻擊數據就可是網路資源和服務資源消耗殆盡。 現在的DDoS防禦手段不夠完善 不管哪種DDoS攻擊，，當前的技術都不足以很好的抵禦。現在流行的DDoS防禦手段——例如黑洞技術和路由器過濾，限速等手段，不僅慢，消耗大，而且同時也阻斷有效業務。如IDS入侵監測可以提供一些檢測性能但不能緩解DDoS攻擊，防火牆提供的保護也受到其技術弱點的限制。其它策略，例如大量部署伺服器，冗餘設備，保證足夠的響應能力來提供攻擊防護，代價過於高昂。 黑洞技術 黑洞技術描述了一個服務提供商將指向某一目標企業的包盡量阻截在上游的過程，將改向的包引進「黑洞」並丟棄，以保全運營商的基礎網路和其它的客戶業務。但是合法數據包和惡意攻擊業務一起被丟棄，所以黑洞技術不能算是一種好的解決方案。被攻擊者失去了所有的業務服務，攻擊者因而獲得勝利。 路由器 許多人運用路由器的過濾功能提供對DDoS攻擊的防禦，但對於現在復雜的DDoS攻擊不能提供完善的防禦。 路由器只能通過過濾非基本的不需要的協議來停止一些簡單的DDoS攻擊，例如ping攻擊。這需要一個手動的反應措施，並且往往是在攻擊致使服務失敗之後。另外，現在的DDoS攻擊使用互聯網必要的有效協議，很難有效的濾除。路由器也能防止無效的或私有的IP地址空間，但DDoS攻擊可以很容易的偽造成有效IP地址。 基於路由器的DDoS預防策略——在出口側使用uRPF來停止IP地址欺騙攻擊——這同樣不能有效防禦現在的DDoS攻擊，因為uRPF的基本原理是如果IP地址不屬於應該來自的子網網路阻斷出口業務。然而，DDoS攻擊能很容易偽造來自同一子網的IP地址，致使這種解決法案無效。 本質上，對於種類繁多的使用有效協議的欺騙攻擊，路由器ACLs是無效的。包括： ● SYN、SYN-ACK、FIN等洪流。 ● 服務代理。因為一個ACL不能辨別來自於同一源IP或代理的正當SYN和惡意SYN，所以會通過阻斷受害者所有來自於某一源IP或代理的用戶來嘗試停止這一集中欺騙攻擊。 ● DNS或BGP。當發起這類隨機欺騙DNS伺服器或BGP路由器攻擊時，ACLs——類似於SYN洪流——無法驗證哪些地址是合法的，哪些是欺騙的。 ACLs在防禦應用層（客戶端）攻擊時也是無效的，無論欺騙與否，ACLs理論上能阻斷客戶端攻擊——例如HTTP錯誤和HTTP半開連接攻擊，假如攻擊和單獨的非欺騙源能被精確的監測——將要求用戶對每一受害者配置數百甚至數千ACLs，這其實是無法實際實施的。 防火牆 首先防火牆的位置處於數據路徑下游遠端，不能為從提供商到企業邊緣路由器的訪問鏈路提供足夠的保護，從而將那些易受攻擊的組件留給了DDoS 攻擊。此外，因為防火牆總是串聯的而成為潛在性能瓶頸，因為可以通過消耗它們的會話處理能力來對它們自身進行DDoS攻擊。 其次是反常事件檢測缺乏的限制，防火牆首要任務是要控制私有網路的訪問。一種實現的方法是通過追蹤從內側向外側服務發起的會話，然後只接收「不幹凈」一側期望源頭發來的特定響應。然而，這對於一些開放給公眾來接收請求的服務是不起作用的，比如Web、DNS和其它服務，因為黑客可以使用「被認可的」協議（如HTTP）。 第三種限制，雖然防火牆能檢測反常行為，但幾乎沒有反欺騙能力——其結構仍然是攻擊者達到其目的。當一個DDoS攻擊被檢測到，防火牆能停止與攻擊相聯系的某一特定數據流，但它們無法逐個包檢測，將好的或合法業務從惡意業務中分出，使得它們在事實上對IP地址欺騙攻擊無效。 IDS入侵監測 IDS解決方案將不得不提供領先的行為或基於反常事務的演算法來檢測現在的DDoS攻擊。但是一些基於反常事務的性能要求有專家進行手動的調整，而且經常誤報，並且不能識別特定的攻擊流。同時IDS本身也很容易成為DDoS攻擊的犧牲者。 作為DDoS防禦平台的IDS最大的缺點是它只能檢測到攻擊，但對於緩和攻擊的影響卻毫無作為。IDS解決方案也許能託付給路由器和防火牆的過濾器，但正如前面敘述的，這對於緩解DDoS攻擊效率很低，即便是用類似於靜態過濾串聯部署的IDS也做不到。 DDoS攻擊的手動響應 作為DDoS防禦一部份的手動處理太微小並且太緩慢。受害者對DDoS攻擊的典型第一反應是詢問最近的上游連接提供者——ISP、宿主提供商或骨幹網承載商——嘗試識別該消息來源。對於地址欺騙的情況，嘗試識別消息來源是一個長期和冗長的過程，需要許多提供商合作和追蹤的過程。即使來源可被識別，但阻斷它也意味同時阻斷所有業務——好的和壞的。 其他策略 為了忍受DDoS攻擊，可能考慮了這樣的策略，例如過量供應，就是購買超量帶寬或超量的網路設備來處理任何請求。這種方法成本效益比較低，尤其是因為它要求附加冗餘介面和設備。不考慮最初的作用，攻擊者僅僅通過增加攻擊容量就可擊敗額外的硬體，互聯網上上千萬台的機器是他們取之不凈的攻擊容量資源。 有效抵禦DDoS攻擊 從事於DDoS攻擊防禦需要一種全新的方法，不僅能檢測復雜性和欺騙性日益增加的攻擊，而且要有效抵禦攻擊的影響。 完整的DDoS保護圍繞四個關鍵主題建立： 1． 要緩解攻擊，而不只是檢測 2． 從惡意業務中精確辨認出好的業務，維持業務繼續進行，而不只是檢測攻擊的存在 3． 內含性能和體系結構能對上游進行配置，保護所有易受損點 4． 維持可靠性和成本效益可升級性 建立在這些構想上的DDoS防禦具有以下保護性質：
『伍』 如何防止伺服器被DDOS
1、如果只有幾台計算機是攻擊的來源，並且你已經確定了這些來源的 IP 地址, 你就在防火牆伺服器上放置一份 ACL（訪問控制列表) 來阻斷這些來自這些 IP 的訪問。如果可能的話 將 web 伺服器的 IP 地址變更一段時間，但是如果攻擊者通過查詢你的 DNS 伺服器解析到你新設定的 IP，那這一措施及不再有效了。
2、如果你確定攻擊來自一個特定的國家，可以考慮將來自那個國家的 IP 阻斷，至少要阻斷一段時間.
3、監控進入的網路流量。通過這種方式可以知道誰在訪問你的網路，可以監控到異常的訪問者，可以在事後分析日誌和來源IP。在進行大規模的攻擊之前，攻擊者可能會使用少量的攻擊來測試你網路的健壯性。
4、對付帶寬消耗型的攻擊來說，最有效（也很昂貴）的解決方案是購買更多的帶寬。
5、也可以使用高性能的負載均衡軟體，使用多台伺服器，並部署在不同的數據中心。
6、對web和其他資源使用負載均衡的同時，也使用相同的策略來保護DNS。
7、優化資源使用提高 web server 的負載能力。例如，使用 apache 可以安裝 apachebooster 插件，該插件與 varnish 和 nginx 集成，可以應對突增的流量和內存佔用。
8、使用高可擴展性的 DNS 設備來保護針對 DNS 的 DDOS 攻擊。可以考慮購買 Cloudfair 的商業解決方案，它可以提供針對 DNS 或 TCP/IP3 到7層的 DDOS 攻擊保護。
9、啟用路由器或防火牆的反IP欺騙功能。在 CISCO 的 ASA 防火牆中配置該功能要比在路由器中更方便。在 ASDM（Cisco Adaptive Security Device Manager）中啟用該功能只要點擊「配置」中的「防火牆」，找到「anti-spoofing」然後點擊啟用即可。也可以在路由器中使用 ACL（access control list）來防止 IP 欺騙，先針對內網創建 ACL，然後應用到互聯網的介面上。
10、使用第三方的服務來保護你的網站。有不少公司有這樣的服務，提供高性能的基礎網路設施幫你抵禦拒絕服務攻擊。你只需要按月支付幾百美元費用就行。
11、注意伺服器的安全配置，避免資源耗盡型的 DDOS 攻擊。
12、聽從專家的意見，針對攻擊事先做好應對的應急方案[email protected]。
13、監控網路和 web 的流量。如果有可能可以配置多個分析工具，例如：Statcounter 和 Googleanalytics，這樣可以更直觀了解到流量變化的模式，從中獲取更多的信息。
14、保護好 DNS 避免 DNS 放大攻擊。
15、在路由器上禁用 ICMP。僅在需要測試時開放 ICMP。在配置路由器時也考慮下面的策略：流控，包過濾，半連接超時，垃圾包丟棄，來源偽造的數據包丟棄，SYN 閥值，禁用 ICMP 和 UDP 廣播。
『陸』 如何有效防止ddos攻擊
DdoS攻擊是利用一批受控制的機器向一台機器發起攻擊，這樣來勢迅猛的攻擊令人難以防備，因此具有較大的破壞性。如果說以前網路管理員對抗Dos可以採取過濾IP地址方法的話，那麼面對當前DdoS眾多偽造出來的地址則顯得沒有辦法。那麼如何才能採取措施有效的應對DdoS攻擊呢？下面我們從兩個方面進行介紹。
（1）定期掃描
要定期掃描現有的網路主節點，清查可能存在的安全漏洞，對新出現的漏洞及時進行清理。骨幹節點的計算機因為具有較高的帶寬，是黑客利用的最佳位置，因此對這些主機本身加強主機安全是非常重要的。而且連接到網路主節點的都是伺服器級別的計算機，所以定期掃描漏洞就變得更加重要了。
（2）在骨幹節點配置防火牆
防火牆本身能抵禦DdoS攻擊和其他一些攻擊。在發現受到攻擊的時候，可以將攻擊導向一些犧牲主機，這樣可以保護真正的主機不被攻擊。當然導向的這些犧牲主機可以選擇不重要的，或者是linux以及unix等漏洞少和天生防範攻擊優秀的系統。
（3）用足夠的機器承受黑客攻擊
這是一種較為理想的應對策略。如果用戶擁有足夠的容量和足夠的資源給黑客攻擊，在它不斷訪問用戶、奪取用戶資源之時，自己的能量也在逐漸耗失，或許未等用戶被攻死，黑客已無力支招兒了。不過此方法需要投入的資金比較多，平時大多數設備處於空閑狀態，和中小企業網路實際運行情況不相符。
（4）充分利用網路設備保護網路資源
所謂網路設備是指路由器、防火牆等負載均衡設備，它們可將網路有效地保護起來。當網路被攻擊時最先死掉的是路由器，但其他機器沒有死。死掉的路由器經重啟後會恢復正常，而且啟動起來還很快，沒有什麼損失。若其他伺服器死掉，其中的數據會丟失，而且重啟伺服器又是一個漫長的過程。特別是一個公司使用了負載均衡設備，這樣當一台路由器被攻擊死機時，另一台將馬上工作。從而最大程度的削減了DdoS的攻擊。
（5）過濾不必要的服務和埠
過濾不必要的服務和埠，即在路由器上過濾假IP……只開放服務埠成為很多伺服器的流行做法，例如WWW伺服器那麼只開放80而將其他所有埠關閉或在防火牆上做阻止策略。
（6）檢查訪問者的來源
使用UnicastReversePathForwarding等通過反向路由器查詢的方法檢查訪問者的IP地址是否是真，如果是假的，它將予以屏蔽。許多黑客攻擊常採用假IP地址方式迷惑用戶，很難查出它來自何處。因此，利用UnicastReversePathForwarding可減少假IP地址的出現，有助於提高網路安全性。
（7）過濾所有RFC1918IP地址
RFC1918IP地址是內部網的IP地址，像10.0.0.0、192.168.0.0和172.16.0.0，它們不是某個網段的固定的IP地址，而是Internet內部保留的區域性IP地址，應該把它們過濾掉。此方法並不是過濾內部員工的訪問，而是將攻擊時偽造的大量虛假內部IP過濾，這樣也可以減輕DdoS的攻擊。
（8）限制SYN/ICMP流量
用戶應在路由器上配置SYN/ICMP的最大流量來限制SYN/ICMP封包所能佔有的最高頻寬，這樣，當出現大量的超過所限定的SYN/ICMP流量時，說明不是正常的網路訪問，而是有黑客入侵。早期通過限制SYN/ICMP流量是最好的防範DOS的方法，雖然該方法對於DdoS效果不太明顯了，不過仍然能夠起到一定的作用。尋找機會應對攻擊如果用戶正在遭受攻擊，他所能做的抵禦工作將是非常有限的。因為在原本沒有準備好的情況下有大流量的災難性攻擊沖向用戶，很可能在用戶還沒回過神之際，網路已經癱瘓。但是，用戶還是可以抓住機會尋求一線希望的。
（1）檢查攻擊來源，通常黑客會通過很多假IP地址發起攻擊，此時，用戶若能夠分辨出哪些是真IP哪些是假IP地址，然後了解這些IP來自哪些網段，再找網網管理員將這些機器關閉，從而在第一時間消除攻擊。如果發現這些IP地址是來自外面的而不是公司內部的IP的話，可以採取臨時過濾的方法，將這些IP地址在伺服器或路由器上過濾掉。
（2）找出攻擊者所經過的路由，把攻擊屏蔽掉。若黑客從某些埠發動攻擊，用戶可把這些埠屏蔽掉，以阻止入侵。不過此方法對於公司網路出口只有一個，而又遭受到來自外部的DdoS攻擊時不太奏效，畢竟將出口埠封閉後所有計算機都無法訪問internet了。
（3）最後還有一種比較折中的方法是在路由器上濾掉ICMP。雖然在攻擊時他無法完全消除入侵，但是過濾掉ICMP後可以有效的防止攻擊規模的升級，也可以在一定程度上降低攻擊的級別。
不知道身為網路管理員的你是否遇到過伺服器因為拒絕服務攻擊（DDOS攻擊）都癱瘓的情況呢？就網路安全而言目前最讓人擔心和害怕的入侵攻擊就要算是DDOS攻擊了。他和傳統的攻擊不同，採取的是模擬多個客戶端來連接伺服器，造成伺服器無法完成如此多的客戶端連接，從而無法提供服務。
目前網路安全界對於DdoS的防範最有效的防禦辦法:
蜘蛛系統:由全世界各個國家以及地區組成一個龐大的網路系統,相當於一個虛幻的網路任何人檢測到的只是我們節點伺服器ip並不是您真實數據所在的真實ip地址,每個節點全部採用百M獨享伺服器單機抗2G以上流量攻擊+金盾軟防無視任何cc攻擊。
無論是G口發包還是肉雞攻擊,使用我們蜘蛛系統在保障您個人伺服器或者數據安全的狀態下,隻影響一個線路,一個地區,一個省或者一個省的一條線路的用戶.並且我們會在一分鍾內更換已經癱瘓的節點伺服器保證網站正常狀態.還可以把G口發包的伺服器或者肉雞發出的數據包全部返回到發送點,使G口發包的伺服器與肉雞全部變成癱瘓狀態，試想如果沒了G口伺服器或者肉雞黑客用什麼來攻擊您的網站。
如果我們按照本文的方法和思路去防範DdoS的話，收到的效果還是非常顯著的，可以將攻擊帶來的損失降低到最小。但是Ddos攻擊只能被減弱，無法被徹底消除。
『柒』 什麼辦法可以防止伺服器被ddos攻擊
防禦DDOS最主要是靠的硬防.硬防越大.防禦能力也就越強. 目前國內硬防比較好的比如杭州超級盾.效果還是不錯的.但要明白的是.防禦只是減少了攻擊所帶來的影響.並不是從根本上杜絕了攻擊.所以最好的解決方法還是要找到攻擊者，雙方協商解決。
『捌』 如何預防DDOS攻擊
洪水攻擊很垃圾，根本不用害怕，目前大部分防火牆都能防止這種攻擊。
針對目前各大傳奇私服站長受到盛大或者某些卑鄙小人的無恥行為，我特地整理了防止DDOS的攻擊資料！
絕對可以防止針對傳奇埠，或者WEB的大流量的DDOS承受大約40萬個包的攻擊量
設置保護80.7000.7100.7200等你的傳奇埠的。
然後按下面整理的注冊表修改或者添加下面的數值。
請注意，以下的安全設置均通過注冊表進行修改，該設置的性能取決於伺服器的配置，尤其是CPU的處理能力。如按照如下進行安全設置，採用雙路至強2.4G的伺服器配置，經過測試，可承受大約1萬個包的攻擊量。
接下來你就可以高枕無憂了。
一部份DDOS我們可以通過DOS命令netstat -an|more或者網路綜合分析軟體：sniff等查到相關攻擊手法、如攻擊某個主要埠、或者對方主要來自哪個埠、對方IP等。這樣我們可以利用w2k自帶的遠程訪問與路由或者IP策略等本身自帶的工具解決掉這些攻擊。做為無法利用這些查到相關數據的我們也可以嘗試一下通過對伺服器進行安全設置來防範DDOS攻擊。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'關閉無效網關的檢查。當伺服器設置了多個網關，這樣在網路不通暢的時候系統會嘗試連接
'第二個網關，通過關閉它可以優化網路。
"EnableDeadGWDetect"=dword:00000000
'禁止響應ICMP重定向報文。此類報文有可能用以攻擊，所以系統應該拒絕接受ICMP重定向報文。
"EnableICMPRedirects"=dword:00000000
'不允許釋放NETBIOS名。當攻擊者發出查詢伺服器NETBIOS名的請求時，可以使伺服器禁止響應。
'注意系統必須安裝SP2以上
"NonameReleaseOnDemand"=dword:00000001
'發送驗證保持活動數據包。該選項決定TCP間隔多少時間來確定當前連接還處於連接狀態，
'不設該值，則系統每隔2小時對TCP是否有閑置連接進行檢查，這里設置時間為5分鍾。
"KeepAliveTime"=dword:000493e0
'禁止進行最大包長度路徑檢測。該項值為1時，將自動檢測出可以傳輸的數據包的大小，
'可以用來提高傳輸效率，如出現故障或安全起見，設項值為0，表示使用固定MTU值576bytes。
"EnablePMTUDiscovery"=dword:00000000
'啟動syn攻擊保護。預設項值為0，表示不開啟攻擊保護，項值為1和2表示啟動syn攻擊保護，設成2之後
'安全級別更高，對何種狀況下認為是攻擊，則需要根據下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
'設定的條件來觸發啟動了。這里需要注意的是，NT4.0必須設為1，設為2後在某種特殊數據包下會導致系統重啟。
"SynAttackProtect"=dword:00000002
'同時允許打開的半連接數量。所謂半連接，表示未完整建立的TCP會話，用netstat命令可以看到呈SYN_RCVD狀態
'的就是。這里使用微軟建議值，伺服器設為100，高級伺服器設為500。建議可以設稍微小一點。
"TcpMaxHalfOpen"=dword:00000064
'判斷是否存在攻擊的觸發點。這里使用微軟建議值，伺服器為80，高級伺服器為400。
"TcpMaxHalfOpenRetried"=dword:00000050
'設置等待SYN-ACK時間。預設項值為3，預設這一過程消耗時間45秒。項值為2，消耗時間為21秒。
'項值為1，消耗時間為9秒。最低可以設為0，表示不等待，消耗時間為3秒。這個值可以根據遭受攻擊規模修改。
'微軟站點安全推薦為2。
""=dword:00000001
'設置TCP重傳單個數據段的次數。預設項值為5，預設這一過程消耗時間240秒。微軟站點安全推薦為3。
"TcpMaxDataRetransmissions"=dword:00000003
'設置syn攻擊保護的臨界點。當可用的backlog變為0時，此參數用於控制syn攻擊保護的開啟，微軟站點安全推薦為5。
"TCPMaxPortsExhausted"=dword:00000005
'禁止IP源路由。預設項值為1，表示不轉發源路由包，項值設為0，表示全部轉發，設置為2，表示丟棄所有接受的
'源路由包，微軟站點安全推薦為2。
"DisableIPSourceRouting"=dword:0000002
'限制處於TIME_WAIT狀態的最長時間。預設為240秒，最低為30秒，最高為300秒。建議設為30秒。
"TcpTimedWaitDelay"=dword:0000001e
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]
'增大NetBT的連接塊增加幅度。預設為3，范圍1-20，數值越大在連接越多時提升性能。每個連接塊消耗87個位元組。
"BacklogIncrement"=dword:00000003
'最大NetBT的連接快的數目。范圍1-40000，這里設置為1000，數值越大在連接越多時允許更多連接。
"MaxConnBackLog"=dword:000003e8
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]
'配置激活動態Backlog。對於網路繁忙或者易遭受SYN攻擊的系統，建議設置為1，表示允許動態Backlog。
"EnableDynamicBacklog"=dword:00000001
'配置最小動態Backlog。默認項值為0，表示動態Backlog分配的自由連接的最小數目。當自由連接數目
'低於此數目時，將自動的分配自由連接。默認值為0，對於網路繁忙或者易遭受SYN攻擊的系統，建議設置為20。
"MinimumDynamicBacklog"=dword:00000014
'最大動態Backlog。表示定義最大"准"連接的數目，主要看內存大小，理論每32M內存最大可以
'增加5000個，這里設為20000。
"MaximumDynamicBacklog"=dword:00002e20
'每次增加的自由連接數據。默認項值為5，表示定義每次增加的自由連接數目。對於網路繁忙或者易遭受SYN攻擊
'的系統，建議設置為10。
"DynamicBacklogGrowthDelta"=dword:0000000a
以下部分需要根據實際情況手動修改
'-------------------------------------------------------------------------------------------------
'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'啟用網卡上的安全過濾
'"EnableSecurityFilters"=dword:00000001
'
'同時打開的TCP連接數，這里可以根據情況進行控制。
'"TcpNumConnections"=
'
'該參數控制 TCP 報頭表的大小限制。在有大量 RAM 的機器上，增加該設置可以提高 SYN 攻擊期間的響應性能。
'"TcpMaxSendFree"=
'
'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{自己的網卡介面}]
'禁止路由發現功能。ICMP路由通告報文可以被用來增加路由表紀錄，可以導致攻擊，所以禁止路由發現。
"PerformRouterDiscovery "=dword:00000000
『玖』 怎麼預防ddos攻擊
一、拒絕服務攻擊的發展
從拒絕服務攻擊誕生到現在已經有了很多的發展，從最初的簡單Dos到現在的DdoS。那麼什麼是Dos和DdoS呢？DoS是一種利用單台計算機的攻擊方式。而DdoS(Distributed Denial of Service，分布式拒絕服務)是一種基於DoS的特殊形式的拒絕服務攻擊，是一種分布、協作的大規模攻擊方式，主要瞄準比較大的站點，比如一些商業公司、搜索引擎和政府部門的站點。DdoS攻擊是利用一批受控制的機器向一台機器發起攻擊，這樣來勢迅猛的攻擊令人難以防備，因此具有較大的破壞性。如果說以前網路管理員對抗Dos可以採取過濾IP地址方法的話，那麼面對當前DdoS眾多偽造出來的地址則顯得沒有辦法。所以說防範DdoS攻擊變得更加困難，如何採取措施有效的應對呢?下面我們從兩個方面進行介紹。
二、預防為主保證安全
DdoS攻擊是黑客最常用的攻擊手段，下面列出了對付它的一些常規方法。
(1)定期掃描
要定期掃描現有的網路主節點，清查可能存在的安全漏洞，對新出現的漏洞及時進行清理。骨幹節點的計算機因為具有較高的帶寬，是黑客利用的最佳位置，因此對這些主機本身加強主機安全是非常重要的。而且連接到網路主節點的都是伺服器級別的計算機，所以定期掃描漏洞就變得更加重要了。
(2)在骨幹節點配置防火牆
防火牆本身能抵禦DdoS攻擊和其他一些攻擊。在發現受到攻擊的時候，可以將攻擊導向一些犧牲主機，這樣可以保護真正的主機不被攻擊。當然導向的這些犧牲主機可以選擇不重要的，或者是linux以及unix等漏洞少和天生防範攻擊優秀的系統。
(3)用足夠的機器承受黑客攻擊
這是一種較為理想的應對策略。如果用戶擁有足夠的容量和足夠的資源給黑客攻擊，在它不斷訪問用戶、奪取用戶資源之時，自己的能量也在逐漸耗失，或許未等用戶被攻死，黑客已無力支招兒了。不過此方法需要投入的資金比較多，平時大多數設備處於空閑狀態，和目前中小企業網路實際運行情況不相符。
(4)充分利用網路設備保護網路資源
所謂網路設備是指路由器、防火牆等負載均衡設備，它們可將網路有效地保護起來。當網路被攻擊時最先死掉的是路由器，但其他機器沒有死。死掉的路由器經重啟後會恢復正常，而且啟動起來還很快，沒有什麼損失。若其他伺服器死掉，其中的數據會丟失，而且重啟伺服器又是一個漫長的過程。特別是一個公司使用了負載均衡設備，這樣當一台路由器被攻擊死機時，另一台將馬上工作。從而最大程度的削減了DdoS的攻擊。
(5)過濾不必要的服務和埠
可以使用Inexpress、Express、Forwarding等工具來過濾不必要的服務和埠，即在路由器上過濾假IP。比如Cisco公司的CEF(Cisco Express Forwarding)可以針對封包Source IP和Routing Table做比較，並加以過濾。只開放服務埠成為目前很多伺服器的流行做法，例如WWW伺服器那麼只開放80而將其他所有埠關閉或在防火牆上做阻止策略。
(6)檢查訪問者的來源
使用Unicast Reverse Path Forwarding等通過反向路由器查詢的方法檢查訪問者的IP地址是否是真，如果是假的，它將予以屏蔽。許多黑客攻擊常採用假IP地址方式迷惑用戶，很難查出它來自何處。因此，利用Unicast Reverse Path Forwarding可減少假IP地址的出現，有助於提高網路安全性。
(7)過濾所有RFC1918 IP地址
RFC1918 IP地址是內部網的IP地址，像10.0.0.0、192.168.0.0 和172.16.0.0，它們不是某個網段的固定的IP地址，而是Internet內部保留的區域性IP地址，應該把它們過濾掉。此方法並不是過濾內部員工的訪問，而是將攻擊時偽造的大量虛假內部IP過濾，這樣也可以減輕DdoS的攻擊。
(8)限制SYN/ICMP流量
用戶應在路由器上配置SYN/ICMP的最大流量來限制SYN/ICMP封包所能佔有的最高頻寬，這樣，當出現大量的超過所限定的SYN/ICMP流量時，說明不是正常的網路訪問，而是有黑客入侵。早期通過限制SYN/ICMP流量是最好的防範DOS的方法，雖然目前該方法對於DdoS效果不太明顯了，不過仍然能夠起到一定的作用。
三、尋找機會應對攻擊
如果用戶正在遭受攻擊，他所能做的抵禦工作將是非常有限的。因為在原本沒有準備好的情況下有大流量的災難性攻擊沖向用戶，很可能在用戶還沒回過神之際，網路已經癱瘓。但是，用戶還是可以抓住機會尋求一線希望的。
(1)檢查攻擊來源，通常黑客會通過很多假IP地址發起攻擊，此時，用戶若能夠分辨出哪些是真IP哪些是假IP地址，然後了解這些IP來自哪些網段，再找網網管理員將這些機器關閉，從而在第一時間消除攻擊。如果發現這些IP地址是來自外面的而不是公司內部的IP的話，可以採取臨時過濾的方法，將這些IP地址在伺服器或路由器上過濾掉。
(2)找出攻擊者所經過的路由，把攻擊屏蔽掉。若黑客從某些埠發動攻擊，用戶可把這些埠屏蔽掉，以阻止入侵。不過此方法對於公司網路出口只有一個，而又遭受到來自外部的DdoS攻擊時不太奏效，畢竟將出口埠封閉後所有計算機都無法訪問internet了。
(3)最後還有一種比較折中的方法是在路由器上濾掉ICMP。雖然在攻擊時他無法完全消除入侵，但是過濾掉ICMP後可以有效的防止攻擊規模的升級，也可以在一定程度上降低攻擊的級別。
總結：
目前網路安全界對於DdoS的防範還是沒有什麼好辦法的，主要靠平時維護和掃描來對抗。簡單的通過軟體防範的效果非常不明顯，即便是使用了硬體安防設施也僅僅能起到降低攻擊級別的效果，Ddos攻擊只能被減弱，無法被徹底消除。不過如果我們按照本文的方法和思路去防範DdoS的話，收到的效果還是非常顯著的，可以將攻擊帶來的損失降低到最小。
『拾』 如何防止DDOS攻擊
針對目前各大傳奇私服站長受到盛大或者某些卑鄙小人的無恥行為，我特地整理了防止DDOS的攻擊資料！
絕對可以防止針對傳奇埠，或者WEB的大流量的DDOS承受大約40萬個包的攻擊量
設置保護80.7000.7100.7200等你的傳奇埠的。
然後按下面整理的注冊表修改或者添加下面的數值。
請注意，以下的安全設置均通過注冊表進行修改，該設置的性能取決於伺服器的配置，尤其是CPU的處理能力。如按照如下進行安全設置，採用雙路至強2.4G的伺服器配置，經過測試，可承受大約1萬個包的攻擊量。
接下來你就可以高枕無憂了。
一部份DDOS我們可以通過DOS命令netstat -an|more或者網路綜合分析軟體：sniff等查到相關攻擊手法、如攻擊某個主要埠、或者對方主要來自哪個埠、對方IP等。這樣我們可以利用w2k自帶的遠程訪問與路由或者IP策略等本身自帶的工具解決掉這些攻擊。做為無法利用這些查到相關數據的我們也可以嘗試一下通過對伺服器進行安全設置來防範DDOS攻擊。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'關閉無效網關的檢查。當伺服器設置了多個網關，這樣在網路不通暢的時候系統會嘗試連接
'第二個網關，通過關閉它可以優化網路。
"EnableDeadGWDetect"=dword:00000000
'禁止響應ICMP重定向報文。此類報文有可能用以攻擊，所以系統應該拒絕接受ICMP重定向報文。
"EnableICMPRedirects"=dword:00000000
'不允許釋放NETBIOS名。當攻擊者發出查詢伺服器NETBIOS名的請求時，可以使伺服器禁止響應。
'注意系統必須安裝SP2以上
"NonameReleaseOnDemand"=dword:00000001
'發送驗證保持活動數據包。該選項決定TCP間隔多少時間來確定當前連接還處於連接狀態，
'不設該值，則系統每隔2小時對TCP是否有閑置連接進行檢查，這里設置時間為5分鍾。
"KeepAliveTime"=dword:000493e0
'禁止進行最大包長度路徑檢測。該項值為1時，將自動檢測出可以傳輸的數據包的大小，
'可以用來提高傳輸效率，如出現故障或安全起見，設項值為0，表示使用固定MTU值576bytes。
"EnablePMTUDiscovery"=dword:00000000
'啟動syn攻擊保護。預設項值為0，表示不開啟攻擊保護，項值為1和2表示啟動syn攻擊保護，設成2之後
'安全級別更高，對何種狀況下認為是攻擊，則需要根據下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
'設定的條件來觸發啟動了。這里需要注意的是，NT4.0必須設為1，設為2後在某種特殊數據包下會導致系統重啟。
"SynAttackProtect"=dword:00000002
'同時允許打開的半連接數量。所謂半連接，表示未完整建立的TCP會話，用netstat命令可以看到呈SYN_RCVD狀態
'的就是。這里使用微軟建議值，伺服器設為100，高級伺服器設為500。建議可以設稍微小一點。
"TcpMaxHalfOpen"=dword:00000064
'判斷是否存在攻擊的觸發點。這里使用微軟建議值，伺服器為80，高級伺服器為400。
"TcpMaxHalfOpenRetried"=dword:00000050
'設置等待SYN-ACK時間。預設項值為3，預設這一過程消耗時間45秒。項值為2，消耗時間為21秒。
'項值為1，消耗時間為9秒。最低可以設為0，表示不等待，消耗時間為3秒。這個值可以根據遭受攻擊規模修改。
'微軟站點安全推薦為2。
""=dword:00000001
'設置TCP重傳單個數據段的次數。預設項值為5，預設這一過程消耗時間240秒。微軟站點安全推薦為3。
"TcpMaxDataRetransmissions"=dword:00000003
'設置syn攻擊保護的臨界點。當可用的backlog變為0時，此參數用於控制syn攻擊保護的開啟，微軟站點安全推薦為5。
"TCPMaxPortsExhausted"=dword:00000005
'禁止IP源路由。預設項值為1，表示不轉發源路由包，項值設為0，表示全部轉發，設置為2，表示丟棄所有接受的
'源路由包，微軟站點安全推薦為2。
"DisableIPSourceRouting"=dword:0000002
'限制處於TIME_WAIT狀態的最長時間。預設為240秒，最低為30秒，最高為300秒。建議設為30秒。
"TcpTimedWaitDelay"=dword:0000001e
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]
'增大NetBT的連接塊增加幅度。預設為3，范圍1-20，數值越大在連接越多時提升性能。每個連接塊消耗87個位元組。
"BacklogIncrement"=dword:00000003
'最大NetBT的連接快的數目。范圍1-40000，這里設置為1000，數值越大在連接越多時允許更多連接。
"MaxConnBackLog"=dword:000003e8
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]
'配置激活動態Backlog。對於網路繁忙或者易遭受SYN攻擊的系統，建議設置為1，表示允許動態Backlog。
"EnableDynamicBacklog"=dword:00000001
'配置最小動態Backlog。默認項值為0，表示動態Backlog分配的自由連接的最小數目。當自由連接數目
'低於此數目時，將自動的分配自由連接。默認值為0，對於網路繁忙或者易遭受SYN攻擊的系統，建議設置為20。
"MinimumDynamicBacklog"=dword:00000014
'最大動態Backlog。表示定義最大"准"連接的數目，主要看內存大小，理論每32M內存最大可以
'增加5000個，這里設為20000。
"MaximumDynamicBacklog"=dword:00002e20
'每次增加的自由連接數據。默認項值為5，表示定義每次增加的自由連接數目。對於網路繁忙或者易遭受SYN攻擊
'的系統，建議設置為10。
"DynamicBacklogGrowthDelta"=dword:0000000a
以下部分需要根據實際情況手動修改
'-------------------------------------------------------------------------------------------------
'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'啟用網卡上的安全過濾
'"EnableSecurityFilters"=dword:00000001
'
'同時打開的TCP連接數，這里可以根據情況進行控制。
'"TcpNumConnections"=
'
'該參數控制 TCP 報頭表的大小限制。在有大量 RAM 的機器上，增加該設置可以提高 SYN 攻擊期間的響應性能。
'"TcpMaxSendFree"=
'
'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{自己的網卡介面}]
'禁止路由發現功能。ICMP路由通告報文可以被用來增加路由表紀錄，可以導致攻擊，所以禁止路由發現。
"PerformRouterDiscovery "=dword:00000000