如何在没有客户端支持的情况下使用TCPCT防止DDOS？

Question

我阅读了有关TCP Cookie交易的RFC 6013。实际上cookie事务可能会阻止DDOS。但它只是一个TCP选项。它需要客户端和服务器同时支持它。但是，如果客户是恶意攻击者，客户为何会使用此选项？

我认为TCP Cookie事务不能阻止DDOS

如果客户端不使用该选项，TCPCT如何阻止DDOS？

Answer 1

您的问题有许多可能的答案，但这可能是最简单的：一旦广泛采用TCPCT，在DDOS攻击期间，您可以拒绝所有不使用TCPCT的连接。因此，与支持TCPCT的客户端的合法连接将继续有效，从而抵御DDOS攻击。

Answer 2

来自@David Schwartz的好答案，但我不知道这怎么能阻止实际使用“合法”受感染机器的僵尸网络DDoS。 （即木马DDoS） 这些是相当常见的攻击策略 - 易于使用且便宜购买。这只是该主题的众多资源之一：

http://www.scmagazine.com/easily-available-tools-botnets-contribute-to-ddos-rise/article/253382/

是的，TCP Cookie可以阻止SYN Flood，但这些已经可以通过ACK验证来缓解（最好是反向代理来阻止更大的洪水）

我在一家安全公司（Incapsula）工作，我们每天处理DDoS。我们防止了大量的僵尸网络攻击，数量/攻击规模只会继续增长。

我认为，在未来3 - 5年内，大多数SMB商业网站都会有第三方DDoS保护，因为这只是一场比赛（攻击量与管道大小），第三方前门代理是拥有可扩展且高效的DDoS解决方案的最具成本效益的方法。