de ataques DDoS simples, em alguns casos eles podem piorar o problema ja que, dependendo da posicao e de como estao implementados, podem representar gargalos e pontos unicos de falha. Ao tentar analisar os pacotes e as requisicoes eles podem ficar sobrecarregados e causar lentidao na rede. Tambem podem ficar inoperantes e deixar inacessiveis todas as redes e sistemas que deles dependem;conhecer os limites e a capacidade de cada equipamento ou sistema e, sempre que possivel, posiciona-los na topologia de forma que os de maior capacidade protejam os de menor capacidade.verificar a alocacao de enderecos IP:equipamentos de infraestrutura, como roteadores, firewalls e servidores DNS, nao devem estar na mesma subrede de servicos e de clientes;servicos com multiplos enderecos IP devem ter, se possivel, cada IP alocado em uma subrede diferente;servidores DNS autoritativos devem estar em subredes diferentes.Proteger os recursos que podem ser atacados: servicos que sao acessiveis pela Internet podem vir e ser atacados e, por isso, devem ser protegidos.manter os servidores e equipamentos atualizados para que as vulnerabilidades sejam corrigidas, antes dos atacantes tentarem explora-las;habilitar ou configurar modulos especificos de servidores Web que podem bloquear alguns tipos de ataques DDoS, como ModEvasive e ModSecurity no Apache;reduzir os valores de TTL (time-to-live) dos registros de DNS dos sistemas que podem ser atacados, pois isso facilita a redirecao de trafego e permite que as mudancas sejam facilmente detectadas;configurar o rate limiting nos equipamentos de rede, tanto no plano de controle (control-plane) quanto no plano de dados (data-plane), caso esteja disponivel. Essa funcionalidade permite que a organizacao descarte o trafego baseado, por exemplo, na taxa excessiva de trafego de um dado protocolo;ativar a opcao de SYN cookies nos equipamentos que suportem esta funcionalidade, para que sejam alocados recursos apenas para conexoes TCP de clientes legitimos. Mais informacoes na RFC 4987;sincronizar os servidores via NTP (Network Time Protocol), pois isso facilita a correlacao de logs e a notificacao do ataque. Mais informacoes em NTP.br.Preparar para absorver e filtrar o ataque: analisar a resiliencia da rede e dos sistemas, ou seja, a capacidade deles de resistencia, adaptacao e recuperacao frente a ataques DDoS.usar servicos de protecao contra ataques DDoS, como comunidades BGP (Border Gateway Protocol) para Black Hole e Sink Hole;servicos de Black Hole, tambem chamados de null-routing, descartam todo o trafego destinado a uma determinada maquina ou servico, reduzindo os efeitos do ataque em outros servicos porem efetivando o ataque, ja que o servico alvo ficara indisponivel;servicos de Sink Hole, tambem chamados de clean-pipe e traffic-scrubbing, redirecionam o trafego do ataque para servidores fora da organizacao, que analisam e filtram o trafego e retornam para a organizacao apenas o que for considerado legitimo. Devem ser usados com cautela quando o trafego envolver dados sensiveis, pois podem afetar a confidencialidade das informacoes e a privacidade dos usuarios;considerar o modo de implantacao dependendo da maneira como a rede se conecta a Internet;redes que possuem sistema autonomo (Autonomous System AS) proprio tem autonomia para controlar os anuncios de rota e ativar os servicos de Black Hole e Sink Hole;redes que nao possuem AS devem verificar se o contrato