确保网络安全 网络攻击防范措施早准备(2)

二、“动态智能带宽管理”防范DoS攻击

DoS攻击是从发出大量网络包，占用内网带宽或是路由器运算能力来进行攻击。

当网管发现内网很慢，Ping路由掉包，不知是那一台影响时，通常就是受到DoS攻击。很多内网攻击的原因经常是用户安装了外挂软件，变成发出攻击的计算机。有的内网攻击会自行变换IP，让网管更难找出是谁发出的网络包。

Qno侠诺提出内网攻击的解决方案，是从路由器判别，阻断发出网络包计算机的上网能力。因此用户会发现如果用攻击程序测试，立刻就发生掉线的情况，这就是因为被路由器认定为发出攻击计算机，自动被切断所致。正确的测试方法是用两台测试，一台发出攻击包给路由器，另一台看是否能上网。对于内网攻击，另外的解决之道是采用联防的交换机，直接把不正常计算机的实体联机切断，不过具联防能力交换器的成本较高，有时比路由器还要贵。

DoS的另外一种形式是外网攻击。外网攻击是从外部来的攻击，通常发生在使用固定IP的用户。很多网吧因为使用固定IP的光纤，经常成为外网攻击的目标。同时又因为外网攻击常常持续变换IP，也不容易加以阻绝或追查。它的现象是看内网流量很正常，但是上网很慢或上不了；观看路由器的广域网流量，则发现下载的流量被占满，造成宽带接入不顺畅。

外网流量攻击，可以用联机数加以辅助判断，但是不容易解决。有些地区可以要求ISP更换IP，但经常是几天后攻击又来了。有些用户搭配多条动态IP拨接的ADSL备援，动态IP就较不易成为攻击的目标。外网流量攻击属于犯法行为，可通知ISP配合执法单位追查，但现在看起来效果并不大。Qno侠诺也曾呼御有关主管单位加以重视，但并没有较好的响应。这现在是最难处理的攻击。

Qno侠诺推出的SmartQoS功能，就是一个针对前述的需求而研发的新功能。“动态智能QoS”主要配置参数为整体对外带宽大小及单一用户最多可占用带宽大小，路由器就可进行动态的智能管理，突发的带宽需要会被允许，只有真的持续占用带宽的用户会被限制，同时又能提高路由器效能。

虽然配置简单，但“动态智能带宽管理”结合了联机数限制、SPI包检测、二次惩罚机制等多种先进技术来完成。其中二次惩罚机制也为Qno侠诺首先提出的概念，它容许内网用户短期间占用大带宽，但是若是持续占用，路由器会不断缩小其可使用的带宽，直至无法上网为止。这个机制对于新式攻击软件，可以起到有效管制的作用。