在實施DDoS攻擊防護服務之前，有幾件事是企業應該考慮的。專家Ed Moyle討論了提高安全性要采取的幾個步驟。

[[170900]]

一些MSSP中有這樣一種說法，有兩種客戶：那些使用DDoS攻擊防護服務的客戶和那些自己從未遇到過DDoS攻擊的客戶。之所以不難理解的原因是：站在那些經歷過的人的出發點，即便是一次DDoS攻擊事件也會對業務運營造成重創，以至于只經歷過一次就足以將DDoS攻擊防護服務從一個有很好變為必須具備的服務。

2015年，比利時魯汶大學和紐約州立大學石溪分校發表了一篇論文，Maneuvering Around Clouds: Bypassing Cloud-based Security Providers，描述了與一些流行的基于云的DDoS攻擊防護技術相關的問題。該論文，同CloudPiercer(論文中描述的一個“自動暴露源地址的工具”)一起，演示了攻擊者可能通過向量收集規避某些類型的DDoS攻擊防護服務所需的信息。具體來說，許多基于云的DDoS攻擊防護服務主要依賴更改DNS(即DNS重路由)這種機制來預過濾DDoS的流量。

以此種方式進行操作的服務會調整客戶的DNS記錄來指向他們的站點 - 有時被稱為“流量凈化中心”。他們過濾掉非法的流量，只將合法流量轉到受保護的客戶網站。該研究描述的是對受保護站點的原始IP(比如，受保護站點的外部IP)的意外暴露，CloudPiercer工具也對此進行了演示。這樣的暴露會導致攻擊繞過防護;意思就是，如果壞人能找出未受保護的IP，仍然可以進行DDoS攻擊仿佛防護措施不到位一樣。

人們對該研究表現出了一波最初的興趣但之后又平息了下來，但這個問題仍然很重要。DDoS攻擊依舊存在，并且當發生的時候還是會造成很大的問題;同樣，源地址發現在那些利用DNS作為矢量化流量方法的工具和服務方面仍然是一個關鍵問題。因此，許多實施人員可能想知道在云里如何使用DNS重路由具體實施DDoS攻擊防護的方法，或者根據該研究一個云防護服務究竟有沒有意義。這不是一個容易回答的問題，但我們可以系統地解決它;總之在實施過程中牢記一些事能在最壞的情況發生的時候，當你的組織受到一次DDoS攻擊的時候產生截然不同的結果。

實施注意事項

首先，實施者在評估和實施基于云的DDoS攻擊防護服務時對源地址發現的了解是至關重要的。具體來說，實施人員需要了解源地址發現到底是什么，以及為什么很重要。大客戶可能會在某些情況下在BGP和DNS之間選擇一種作為流量重定向到凈化中心的方法(比如，當他們可以靈活部署硬件并且至少有一個/24地址前綴 - C類地址)。盡管使用BGP比DNS會引入額外的相關復雜性，但以源地址發現的問題來說是值得的。獲得這種認識一部分可能會為企業正在評估的服務提供商帶來一些關于源地址發現的尖銳問題，該提供商提供哪些對此有幫助的服務，關于客戶如何讓信息得到保護等方面有哪些期望和設想。

其次，建立一個流程來定期的檢查源地址暴露是非常重要的。源地址可能會以幾種方式暴露，而CloudPiercer工具可以檢查其中的一些方式，但請記住，任何對外公開信息的途徑，如一個web開發者不小心把地址包含一段網站的注釋里，或者固定的MX記錄，以及X.509證書的引用信息， 都可能泄露源地址信息。因此，任何你可以利用的查詢該信息的方法都是有益的。其中包括漏洞掃描工具，應用程序測試工具，DLP工具，或任何可以調整或編寫的幫助查找和標記源地址泄漏的規則在這里都是有用的。定期的運行這些工具，或進行自我檢查尤其有價值，因為每次評估都是一個“時間點”練習，可以更改配置，快速發布內容的更新。

然后，對DDoS攻擊服務本身進行測試是有益的。這里要小心不要將DDoS攻擊防護服務當作保險來看待：認為在當你需要的時候一定會出現，用不到的時候則是無形的。更好的方法是測試DDoS攻擊防護，就像測試DR或其他應急措施。有信譽的廠商將不會拒絕這一請求;它反而會主動這么做并且將這作為一個展示其能力的機會，它甚至還會幫助你推動這一測試。這不是建議讓某人作為誘餌讓匿名者發起DDoS攻擊，即使是不對帶寬使用造成影響的小規模測試都可以確保該服務是按照預期工作的，而企業的花費物有所值。

最后，評估實現一些過濾器或者檢測規則，對不是來自流量凈化中心的流量進行過濾或檢測。一些服務提供商也許會建議過濾掉所有不從他們發起的流量;這在可行的情況下是個不錯的方法，但要注意，也會有一些情況不允許這么做。例如，這種嚴格過濾對于一有巨大安裝基數的硬編碼的或難以改變IP的遺留應用來說很難生效。即便過濾所有除了凈化中心以外的流量是不可能的或者不可行的狀況下，仍然有一些其它的選擇。例如，可以利用一個IDS或其他檢測控制來提醒安全小組不是從服務提供商發起的意料之外的連接;雖然這并不會阻止DDoS攻擊，但至少會提醒組織有可疑的事情發生，比如一個來自攻擊者的偵查探測，該探測將有可能導致后續更險惡的事情發生。

盡管如何處理基于DNS的DDoS攻擊防護是一件充滿挑戰的事，但從實現的角度看，企業可以采取一些非常現實的步驟，以確保得到他們想要和期望的防護。通過了解源地址發現是什么，對源地址發現以及DDoS攻擊防護服務本身都進行測試，并評估過濾與/或檢測的機制，企業可以在這一塊保持領先的地位。