做好攻擊防護主要有3個方向：
1、架構(gòu)優(yōu)化-好的架構(gòu)能解決很多問題
2、服務(wù)器加固-先做好自己能做的防御
3、商用的DDoS防護服務(wù)-選擇靠譜的服務(wù)提供商最重要游戲公司需要根據(jù)自己的預(yù)算、攻擊嚴(yán)重程度，來決定使用哪一種。
在預(yù)算有限的情況下，可以從免費的DDoS緩解方案和自身架構(gòu)的優(yōu)化上下功夫，減緩DDoS攻擊的影響。
a.如果系統(tǒng)部署在云上，可以使用云解析，優(yōu)化DNS的智能解析，同時建議托管多家DNS服務(wù)商，這樣可以避免DNS攻擊的風(fēng)險。
b.使用SLB，通過負(fù)載均衡減緩CC攻擊的影響，后端負(fù)載多臺ECS服務(wù)器，這樣可以對DDoS攻擊中的CC攻擊進行防護。在企業(yè)網(wǎng)站加了負(fù)載均衡方案后，不僅有對網(wǎng)站起到CC攻擊防護作用，也能將訪問用戶進行均衡分配到各個web服務(wù)器上，減少單個web服務(wù)器負(fù)擔(dān)，加快網(wǎng)站訪問速度。
c.使用專有網(wǎng)絡(luò)VPC，防止內(nèi)網(wǎng)攻擊。
d.做好服務(wù)器的性能測試，評估正常業(yè)務(wù)環(huán)境下能承受的帶寬和請求數(shù)，確?？梢噪S時的彈性擴容。
e.服務(wù)器防御DDoS攻擊最根本的措施就是隱藏服務(wù)器真實IP地址。當(dāng)服務(wù)器對外傳送信息時，就可能會泄露IP，例如，我們常見的使用服務(wù)器發(fā)送郵件功能就會泄露服務(wù)器的IP。
因而，我們在發(fā)送郵件時，需要通過第三方代理發(fā)送，這樣子顯示出來的IP是代理IP，因而不會泄露真實IP地址。在資金充足的情況下，可以選擇DDoS高防服務(wù)器，且在服務(wù)器前端加CDN中轉(zhuǎn)，所有的域名和子域都使用CDN來解析。
對自身服務(wù)器做安全加固：
a.控制TCP連接，通過iptable之類的軟件防火墻可以限制某些IP的新建連接；
b.控制某些IP的速率；
c.識別游戲特征，針對不符合游戲特征的連接可以斷開；
d.控制空連接和假人，針對空連接的IP可以加黑；
e.學(xué)習(xí)機制，保護游戲在線玩家不掉線，通過服務(wù)器可以搜集正常玩家的信息，當(dāng)面對攻擊的時候可以將正常玩家導(dǎo)入預(yù)先準(zhǔn)備的服務(wù)器，新進玩家可以暫時放棄；
f.確保服務(wù)器系統(tǒng)安全；
g.確保服務(wù)器的系統(tǒng)文件是最新的版本,并及時更新系統(tǒng)補丁；
h.管理員需對所有主機進行檢查，知道訪問者的來源；
i.過濾不必要的服務(wù)和端口：可以使用工具來過濾不必要的服務(wù)和端口（即在路由器上過濾假IP，只開放服務(wù)端口）。這也成為目前很多服務(wù)器的流行做法。例如，“WWW”服務(wù)器，只開放80端口，將其他所有端口關(guān)閉，或在防火墻上做阻止策略；
j.限制同時打開的SYN半連接數(shù)目,縮短SYN半連接的timeout時間,限制SYN/ICMP流量；
k.認(rèn)真檢查網(wǎng)絡(luò)設(shè)備和主機/服務(wù)器系統(tǒng)的日志。只要日志出現(xiàn)漏洞或是時間變更,那這臺機器就可能遭到了攻擊；
l.限制在防火墻外與網(wǎng)絡(luò)文件共享。這樣會給黑客截取系統(tǒng)文件的機會,若黑客以特洛伊木馬替換它，文件傳輸功能無疑會陷入癱瘓；
m.充分利用網(wǎng)絡(luò)設(shè)備保護網(wǎng)絡(luò)資源；
n.禁用ICMP。僅在需要測試時開放ICMP。在配置路由器時也考慮下面的策略：流控，包過濾，半連接超時，垃圾包丟棄，來源偽造的數(shù)據(jù)包丟棄，SYN閥值，禁用ICMP和UDP廣播；
o.使用高可擴展性的DNS設(shè)備來保護針對DNS的DDoS攻擊?？梢钥紤]購買DNS商業(yè)解決方案，它可以提供針對DNS或TCP/IP3到7層的DDoS攻擊保護。
