在互联网时代，分布式拒绝服务攻击（DDoS）已成为一种常见的网络威胁。大部分的DDoS攻击防范措施需要在攻击发生前就做好充分准备，并且需要全球范围内的网络运营商、互联网企业和高防服务器提供商之间的紧密合作，才能取得较好的防御效果。然而，对于众多中小型企业和组织来说，由于资源和能力的限制，他们往往无法进行大规模的网络治理和僵尸网络打击行动。面对DDoS攻击，他们似乎只能被动地承受后果。
事实上，即使在DDoS攻击发生之后，仍然有一些缓解策略可以帮助减少攻击对业务和服务的影响，从而在一定程度上保障业务的连续性。这些策略有时也被称为DDoS防护策略，但“缓解”这个词更能准确地描述这些策略的目的，因为它们通常并不能完全消除DDoS攻击的影响，而只是尽量减少其影响程度。随着DDoS攻防研究的不断深入，人们对DDoS缓解策略的认识也在不断演变。
误区：系统优化和增加带宽能够有效缓解DDoS攻击
系统优化通常指的是对受到攻击的系统核心参数进行调整，例如增加TCP连接表的数量或降低TCP建立连接的超时时间。对于小规模的DDoS攻击，这些优化措施确实能在一定程度上起到缓解作用。但是，当攻击者显著增加攻击流量和规模时，这些系统优化的效果将变得微不足道。
增加带宽是一种常见的防御策略，它还包括购买冗余硬件、升级服务器性能等。只要攻击者的DDoS攻击导致的资源消耗不超过目前的带宽、计算等资源承受能力，攻击就是无效的。一旦攻击的资源消耗超过了承受能力，防御者可以通过进一步增加资源投入来应对。从理论上讲，不断增加带宽等资源投入可以从根本上解决DDoS攻击问题，但这并不符合经济规律。实际上，攻击者增加DDoS攻击规模的代价相对较低，而防御者则需要不断增加基础设施投入，这些投入不可能无限增长。因此，这种策略并不是缓解DDoS攻击的有效方法。
误区：防火墙和入侵检测/防御系统能够缓解DDoS攻击
防火墙是广泛使用的安全产品，但它最初的设计理念并未考虑针对DDoS攻击的缓解。传统的防火墙通过高度严格的检查来提供防护，但这种检查强度会随着流量的增加而大幅降低其转发效率。在DDoS攻击中，大量的流量可能会使防火墙性能急剧下降，无法有效地执行包转发任务。此外，防火墙通常部署在网络入口位置，这虽然能在一定程度上保护网络内的所有资源，但也使其本身成为DDoS攻击的目标。
入侵检测/防御系统是广泛使用的攻击检测/防护工具，但在面对DDoS攻击时，它们通常也无法满足要求。入侵检测/防御系统通常基于规则来检测应用层的攻击，其设计初衷是为了应对基于特征的攻击。然而，目前大多数DDoS攻击都采用基于合法数据包的流量，因此入侵检测/防御系统无法基于特征有效地检测DDoS攻击。同时，入侵检测/防御系统也面临着与防火墙类似的性能问题。
有效的DDoS缓解策略通常涉及对网络流量进行清洗，即将恶意流量从正常流量中分离出来，只将正常流量传递给目标服务器。但随着分布式拒绝服务攻击流量的不断增加，单一的流量清洗设备和清洗中心已经无法处理如此大规模的网络流量。因此，在面对当前复杂的DDoS攻击时，进行流量清洗之前还需要进行流量稀释，即将攻击流量分散到多个清洗节点，以减轻单一节点的负担。
对于中小企业来说，虽然无法独自承担全面的防御措施，但可以通过与专业安全服务提供商合作，采用云服务等方式来获取DDoS缓解服务。此外，保持系统更新、加强员工安全意识培训以及建立有效的应急预案也是提高防御能力的重要手段。通过这些措施，中小企业可以在一定程度上主动应对DDoS攻击，而不仅仅是被动地承受。