網絡空間安全中針對拒絕服務攻擊的防護手段有哪些

網絡空間安全中針對拒絕服務攻擊的防護手段有以下這些：

• 定期掃描現有的網絡主節點，清查可能存在的安全漏洞。對新出現的漏洞及時進行清理。骨干節點的計算機因為具有較高的帶寬，是黑客入侵的重災區，因此對這些主機本身加強安全是非常重要的。

• 骨干節點上的防火墻的配置至關重要。防火墻本身能抵御DDoS攻擊和其他一些攻擊。在發現受到攻擊的時候，將攻擊導向一些犧牲主機，這樣可以保護真正的主機不癱瘓。

• 用足夠的機器承受黑客攻擊。這是一種較為理想的應對策略。如果用戶擁有足夠的容量和足夠的資源讓黑客攻擊，黑客在不斷訪問用戶、奪取用戶資源的同時，自己的能量也在逐漸耗失，或許未等用戶被攻死，黑客已無力支持下去。

• 充分利用網絡設備保護網絡資源。所謂網絡設備是指路由器、防火墻等負載均衡設備，它們可將網絡有效地保護起來。當網絡被攻擊時最先死掉的是路由器，但其他機器沒有死。死掉的路由器經重啟后會恢復正常，而且啟動起來還很快，沒有什么損失。若其他服務器死掉，其中的數據會丟失，而且重啟服務器又是一個漫長的過程。

• 使用Express Forwarding可以過濾不必要的服務和端口，即在路由器上過濾假IP。比如Cisco公司的CEF（Cisco Express Forwarding）可以對封包Source IP和Routing Table做比較，并加以過濾。

• 使用單播反向通路轉發（Unicast Reverse Path Forwarding）檢查訪問者的來源。它通過反向路由表查詢的方法檢查訪問者的IP地址是否是真，如果是假的，它將予以屏蔽。許多黑客攻擊常采用假IP地址的方式來迷惑用戶，很難查出它來自何處，因此，利用單播反向通路轉發可減少假IP地址的出現，有助于提高網絡安全性。

• 過濾所有RFC1918 IP地址。RFC1918 IP地址是內部網的IP地址，像10.0.0.0、192.168.0.0和172.16.0.0，它們不是某個網段的固定IP地址，而是Internet內部保留的區域性IP地址，所以應該把它們過濾掉。

• 限制SYN/ICMP流量。用戶應在路由器上設置SYN/ICMP的最大流量來限制SYN/ICMP封包所能占有的最高頻寬，這樣，當出現大量的超過所限定的SYN/ICMP流量時，就說明不是正常的網絡訪問，而是有黑客正在入侵。