很多企业长期遭受DDoS攻击，尤其是游戏类、金融业等企业。目前攻击成本太低，造成很多企业要长期面对竞争对手或者其他组织个人的的DDoS攻击。想要改变这种局面，可以选择购买 阿里云DDoS高防IP，但是价格又太贵，那么如何缓解DDoS攻击呢？

缓解DDoS攻击的方法

他人发起DDoS攻击你，那是外因，我们改变不了。但是我们可以从内做防御，缓解DDoS攻击。一般是从减少暴漏、优化架构、服务器加固、业务监控、商业解决方案等几方面着手。

减少暴漏

攻击之前，对方会扫描你的开放端口，针对你所提供的服务，让僵尸网络合法侵占你的资源。所以我们尽量避免将服务器的端口暴漏在公网上。阿里云的安全组可以有效防止系统被扫描或者意外暴露。

优化业务架构

运营前期，技术团队都会对业务架构进行压力测试，但很多时候，企业处于成本考虑，没有做好弹性和冗余，这导致我们在面对攻击时，变得不堪一击。
部署弹性伸缩+负载均衡：负载均衡能够降低单台ECS的压力，可以有效缓解一定流量范围内的连接层DDoS攻击；负载均衡可以有效的缓解会话层和应用层攻击，在遭受攻击时自动增加服务器，提升处理性能，避免业务遭受严重影响。

余量带宽：利用TCP三次握手可以发起DDoS攻击，占用你的宽带资源，所以在购买带宽时确保有一定的余量带宽，可以避免遭受攻击时带宽大于正常使用量而影响正常用户的情况。

服务安全加固

对服务器上的操作系统、软件服务进行安全加固，减少可被攻击的点，增大攻击方的攻击成本：

• 确保服务器的系统文件是最新的版本，并及时更新系统补丁。
• 对所有服务器主机进行检查，清楚访问者的来源。
• 过滤不必要的服务和端口。例如，对于WWW服务器，只开放80端口，将其他所有端口关闭，或在防火墙上设置阻止策略。
• 限制同时打开的SYN半连接数目，缩短SYN半连接的timeout时间，限制SYN/ICMP流量。
• 仔细检查网络设备和服务器系统的日志。一旦出现漏洞或是时间变更，则说明服务器可能遭到了攻击。
• 限制在防火墙外进行网络文件共享。降低黑客截取系统文件的机会，若黑客以特洛伊木马替换它，文件传输功能将会陷入瘫痪。
• 充分利用网络设备保护网络资源。在配置路由器时应考虑针对流控、包过滤、半连接超时、垃圾包丢弃、来源伪造的数据包丢弃、SYN阀值、禁用ICMP和UDP广播的策略配置。
• 通过iptable之类的软件防火墙限制疑似恶意IP的TCP新建连接，限制疑似恶意IP的连接、传输速率。

业务监控

阿里云的云监控服务可用于收集、获取阿里云资源的监控指标或用户自定义的监控指标，探测服务的可用性，并支持针对指标设置警报。

商用安全方案

事实上，当企业一直遭受大规模的DDoS攻击时，以上几种防御方法，显得很渺小，分分钟几十G上百G的攻击流量，只能通过寻求商业安全解决方案来解决。

例如，阿里云防御DDoS攻击明星产品：阿里云DDoS高防IP，但是价格不菲，退而求其次，阿里云推出了 DDoS防护包，DDoS防护包可以提供防御100G以内的DDoS攻击的防护能力。

另外，如果一直遭受http Flood(CC攻击)攻击，可以考虑使用 Web应用防火墙（WAF），Waf可以对连接层攻击、会话层攻击和应用层攻击提供有效的防御服务。