一、四層協議攻擊類型與特征

攻擊類型	協議層	特征
SYN Flood	TCP	大量半開連接，SYN_RECV狀態堆積
UDP反射放大	UDP	小請求包觸發大響應（如NTP、DNS響應）
TCP分片攻擊	TCP	發送異常分片耗盡重組資源
連接耗盡攻擊	TCP	建立大量空閑連接占用端口資源

---

二、TCP層定制防御方案

1. SYN Cookie防護（內核參數優化）

# 啟用SYN Cookie  
echo 1 > /proc/sys/net/ipv4/tcp_syncookies  # 優化半連接隊列  
echo 1024 > /proc/sys/net/ipv4/tcp_max_syn_backlog  
echo 60 > /proc/sys/net/ipv4/tcp_synack_retries  

2. 動態防火墻規則（對抗IP偽造）

# 基于連接速率自動封禁（保存為syn_protect.py）  
from scapy.all import sniff, TCP, IP  
import os  syn_counts = {}  
MAX_SYN = 50  # 每秒50個SYN包觸發封禁  def handle_packet(pkt):  if TCP in pkt and pkt[TCP].flags == 'S':  src_ip = pkt[IP].src  syn_counts[src_ip] = syn_counts.get(src_ip, 0) + 1  if syn_counts[src_ip] > MAX_SYN:  os.system(f"iptables -A INPUT -s {src_ip} -j DROP")  print(f"封禁SYN Flood IP: {src_ip}")  sniff(filter="tcp", prn=handle_packet, store=0)  

3. TCP選項過濾（防協議棧指紋探測）

# 使用iptables過濾異常TCP選項  
iptables -A INPUT -p tcp -m tcp --tcp-option ! 2 -j DROP  # 僅允許MSS選項  
iptables -A INPUT -p tcp --tcp-flags ALL URG -j DROP       # 丟棄URG標志包  

---

三、UDP層定制防御方案

1. 反射攻擊源端口封禁

# 封禁常見反射協議端口  
iptables -A INPUT -p udp --dport 123 -j DROP    # NTP  
iptables -A INPUT -p udp --dport 53 -j DROP     # DNS  
iptables -A INPUT -p udp --dport 1900 -j DROP   # SSDP  

2. 速率限制與包大小過濾

# 限制UDP包速率（每秒1000個包）  
iptables -A INPUT -p udp -m limit --limit 1000/sec -j ACCEPT  
iptables -A INPUT -p udp -j DROP  # 過濾大尺寸UDP包（>512字節視為可疑）  
iptables -A INPUT -p udp -m length --length 512:65535 -j DROP  

3. 業務端口動態切換（對抗掃描）

# 每日更換UDP服務端口（保存為udp_port_rotate.py）  
import random, subprocess  new_port = random.randint(10000, 65535)  
subprocess.run(f"sed -i 's/bind .*/bind 0.0.0.0:{new_port}/' /etc/service.conf", shell=True)  
subprocess.run("systemctl restart service", shell=True)  
print(f"今日UDP端口已更換為：{new_port}")  

---

四、工具鏈與監控方案

1. 網絡層監控工具：
   • ntopng：實時流量分析
   • iftop：帶寬占用排名
2. 自動化防御框架：
   • Suricata（IDS規則示例）：

     # suricata.yaml 自定義規則  
     drop udp any any -> any 123 (msg:"Block NTP反射"; sid:100001;)  
     

3. 云原生方案：
   • AWS Shield Advanced（自動清洗四層流量）
   • GCP Cloud Armor（TCP/UDP防護策略）