¿Cómo podemos evitar los ataques DDoS en los protocolos TCP / IP? ¿Alguna medida de mejora para este conjunto de protocolos?

La respuesta es que es extremadamente difícil.

Hay funciones de calidad de servicio definidas que se supone que bloquean los flujos que no responden y / o silencian por completo las fuentes que están congestionando la red, pero tampoco están implementadas (aún no he visto un ejemplo de PURPLE o BLACK, dos funciones de QoS para solo este tipo de problema) o no hacer lo prometido (como ECN, el sistema de notificación electrónica de congestión).

El principal problema con los no implementados es que no sabes si resolverán el problema o lo empeorarán.

Para TCP, hay una especie de solución alternativa: múltiples rutas. Puede tener múltiples puertas de enlace a Internet y TCP de múltiples rutas puede determinar qué tan utilizable es cada una.

Los protocolos de enrutamiento son un poco más limitados a ese respecto, el uso del cable varía lo suficiente como para que los protocolos que intentan usar rutas menos congestionadas puedan quedar atados en nudos.

Evitarlos es bastante difícil. Los malos parecen ser muy tercos al respecto.

Lo mejor que podemos hacer es alentar a las personas a instalar actualizaciones de seguridad. Esto nos ayuda a prevenir Botnets.

También podemos alentar a los ISP a cumplir con RFC 2827: Filtrado de entrada de red: Derrota de ataques de denegación de servicio que emplean suplantación de direcciones de origen IP

Podemos pedir a nuestros respectivos gobiernos que pongan más recursos detrás de la aplicación de la ley de fraude electrónico.

Ya tenemos algunas medidas que ayudan a detectar y redirigir los flujos DDoS, pero esas no son una panacea.

No es solo para la protección DDOS, sino que recomendaría probar BitNinja. Puede proporcionar protección inmediata incluso si su servidor está siendo atacado y puede verificar todos los intentos en el tablero.