CC 攻擊現場特徵
- `netstat -an` 大量輸出：
`TCP 0.0.0.0:7000 219.128.90.43:3741 SYN_RECEIVED`
其中 `219.128.90.43` 為代理攻擊 IP，`SYN_RECEIVED` 為半連接堆積特徵。
核心武器：本地 IP 安全策略 (IPSec Policy)
Windows 內置、無需第三方軟件、內核級過濾、性能損耗極低。針對 CC 攻擊的「分散代理 IP、大量半連接」特點，採用 封鎖攻擊 IP 段 策略。
圖文級構建步驟 (以封鎖 75.156.25.0/24 為例)
- 建立 IP 篩選器清單
`控制面板 → 管理工具 → 本地安全設置 → IP 安全策略 → 右鍵「管理 IP 篩選器清單和篩選器操作」 → 「添加」`
名稱：`75.156.25` (便於識別) → 添加篩選器：
源地址：特定 IP 子網 → `75.156.25.0` / `255.255.255.0`
目標地址：我的 IP 地址
協議類型：任意 → 完成。
- 定義篩選器動作：阻止
同介面 → 「管理 IP 篩選器清單和篩選器操作」 → 「添加」 → 名稱 `Block` → 動作類型選「阻止」。
- 創建 IP 安全策略並綁定
`IP 安全策略` → 右鍵「創建 IP 安全策略」 → 名稱 `阻止CC` → 下一步 → 取消勾選「激活預設響應規則」 → 完成。
右鍵 `阻止CC` → 「屬性」 → 「添加」 → 選擇剛建的篩選器清單 `75.156.25` → 篩選器動作選 `Block` → 確定。
- 指派策略生效
右鍵 `阻止CC` → 「指派」 → 策略狀態變為「是」。
即時生效，無需重啟。
持續運營建議
- 手動模式：攻擊發生 → `netstat -an` 提取攻擊 IP → 按上述流程添加篩選器 → 指派。適用於攻擊源相對固定、頻率較低場景。
- 半自動化腳本：編寫批處理/PowerShell 解析 `netstat` 輸出，自動生成 `netsh ipsec static add filterlist...` 命令批量導入。
- 配合系統日誌審計：啟用「安全日誌」記錄 IPSec 丟包事件，定期分析攻擊趨勢。
- 局限性：無法應對超大流量 SYN Flood (需上游運營商清洗)、IP 偽裝攻擊、加密流量 (HTTPS) 應用層 CC。屬「戰術級」緩解，戰略級仍需高防 IP/WAF/負載均衡器。
結語
IP 安全策略是 Windows 內核級的「隱形盾牌」。針對 CC 攻擊，「netstat 取證 → 篩選器封段 → 策略指派」 三步走，零成本、秒級生效、無需額外硬件。建議所有 Windows 服務器預先建立「空白策略框架」，攻擊來臨時僅需添加 IP 段即可應戰。
