溯源溯源，什么是源，我觉得分几个级别： 1，攻击流量的来源IP 2，攻击流量的发起IP 3，攻击流量的发起者。溯到1，基本上可以用来做流量清洗了，到了2，那理论上就存在可以近源压制的可能，已经算是高级，如果能搞定3，那我们做ddos检测防护的差不多要么失业要么转行了。
| 序号 | CPU | 内存 | 硬盘 | 宽带 | IP | 售价 | 免费试用 |
|---|---|---|---|---|---|---|---|
| 美国服务器① | E5-2620 | 32G | 1T HDD | 100M/不限流 | 1IP | $198.00 | 申请试用 |
| 美国服务器② | E5-2650 | 32G | 1T HDD | 100M/不限流 | 1IP | $258.00 | 申请试用 |
| 美国服务器③ | E5-2680 | 32G | 1T HDD | 100M/不限流 | 1IP | $318.00 | 申请试用 |
| 美国服务器④ | E5-2690 | 32G | 1T HDD | 100M/不限流 | 1IP | $338.00 | 申请试用 |
| 美国服务器⑤ | E5-2697 | 32G | 1T HDD | 100M/不限流 | 1IP | $378.00 | 申请试用 |
| 美国服务器⑥ | E5-2620*2 | 32G | 1T HDD | 100M/不限流 | 1IP | $378.00 | 申请试用 |
| 美国服务器⑦ | E5-2650*2 | 32G | 1T HDD | 100M/不限流 | 1IP | $438.00 | 申请试用 |
| 美国服务器⑧ | E5-2680*2 | 32G | 1T HDD | 100M/不限流 | 1IP | $478.00 | 申请试用 |
| 美国服务器⑨ | E5-2690*2 | 32G | 1T HDD | 100M/不限流 | 1IP | $558.00 | 申请试用 |
| 美国服务器⑩ | E5-2697*2 | 32G | 1T HDD | 100M/不限流 | 1IP | $598.00 | 申请试用 |
| 美国服务器⑪ | E5-2680v4*2 | 32G | 1T HDD | 100M/不限流 | 1IP | $698.00 | 申请试用 |
| 美国服务器⑫ | E5-2698v4*2 | 32G | 1T HDD | 100M/不限流 | 1IP | $798.00 | 申请试用 |
DDoS攻击分不同的类型，不同类型，根据上面要溯的不同的源难易也有差异，下面讨论方面，把上面说的源123表示为level1/level2/level3.
直接攻击型：
比如SYN flood／ACK Flood／DNS Flood／UDP Plain Flood／http flood等，这些往往都是botnet发起的，发起的时候有的会伪造源IP，有的不伪造。识别了攻击流量，简单统计就知道到了level 1。没有伪造源ip的，leve2就等于level1。对于伪造源ip的情况，level2在被攻击方就无法获取，运营商级别可以做spoof检测，或者持续的跟踪botnet，进而持续的跟踪CC发起的攻击指令，看CC都连了哪些client，看哪些client接收到了攻击指令。level3单独讨论。
反射放大型：
反射放大基本都是为了打带宽，由于有了反射放大的因素在里面，基本都不用botnet，找／黑／租几个机器上去打流量就行了。在被攻击端，看到的ip都是真实的ip，都是被利用的反射放大节点，level1简单。但是和上面直接攻击型不一样的是，这时候的发起IP可不能说就是看到的真实攻击IP了，因为有反射的因素在里面，level2的ip应该是那几台发起原始流量的机器，而不是反射流量的源ip。这个level2，运营商可以做，看哪些子网有非自己段的源ip的流量出来，然后可以做端的流量检测，比如HIDS。level3单独讨论。
你看，上面我说到运营商，都是说他们“可以做”，但是他们能不能做，想不想做，这就是另外的话题了。
之所以单独讨论level3，是因为level1/level2属于如果想干，理论上是肯定能干成的。而level3，理论上就没法说肯定能干成。看CC是被谁控制的，反射放大的控制人是谁，这个比较难，毕竟网络攻击抓现场你也看不到人，不过思路也不是没有，攻击也都是为了挣钱，他们会有交易，会有圈子，初期的信息采集（比如找可用的反射放大源）可能用的都是自己的ip，各种小动作会漏出马脚，在多个阶段关联，有时也能关联出来。
IRQM全球服务器租赁提供美国服务器租用，性能稳定快速，全美最低延迟，全程运维24小时在线，秒级回复，欢迎广大用户联系24小时在线客服
