(mais detalhes na secao 5.4);ser cuidadoso ao usar e elaborar senhas e, se disponivel, usar verificacao em duas etapas;criar usuarios distintos para diferentes servicos e funcoes;monitorar os logs, a procura de erros e de tentativas de exploracao de vulnerabilidades;verificar o trafego de entrada na rede a procura de tentativas de acesso nao autorizado;verificar o trafego de saida da rede, a procura de indicios de vazamento de dados, varreduras (scan) e acessos indevidos partindo da rede;habilitar filtro antispoofing, implementando mecanismos de egress filtering que impedem a saida da rede de pacotes com endereco de origem pertencente a uma rede reservada e que nao faca parte de um dos blocos de enderecos da rede interna. Detalhes sobre esse tipo de filtragem podem ser encontrados no Portal de boas praticas para a Internet no Brasil;fazer campanhas de conscientizacao de usuarios, alertando sobre os riscos e formas de prevencao;criar uma politica de seguranca definindo as regras de uso de equipamentos pessoais dentro da organizacao;ter pessoal treinado para tratar incidentes de seguranca, pois se a rede estiver sendo abusada para gerar ataques DDoS sao grandes as chances do administrador receber notificacoes dos responsaveis pela rede ou sistema atacado;estar atento a sites e blogs de seguranca para ficar ciente de tendencias de ataques e novas vulnerabilidades.5.4 Provedores de conectividadeAssim como os administradores de rede, os provedores de conectividade (ISP Internet Service Provider) podem ajudar a reduzir os ataques DDoS implementando boas praticas que impecam que as infraestruturas deles e de seus clientes sejam abusadas para gerar ataques. Para isso, e essencial o combate aos ataques do tipo DRDoS.Os principais motivos dos ataques DRDoS serem tao potentes sao o trafego de enderecos forjados (spoofados), o abuso de servicos que permitem a amplificacao de trafego e a grande quantidade de equipamentos de redes, como CPEs, instalados sem preocupacoes de seguranca. Algumas boas praticas que podem ajudar a reverter esse cenario sao:habilitar filtro antispoofing, implementando mecanismos de egress filtering que impedem a saida da rede de pacotes com endereco de origem pertencente a uma rede reservada e que nao faca parte de um dos blocos de enderecos da rede interna. Detalhes sobre esse tipo de filtragem podem ser encontrados no Portal de boas praticas para a Internet no Brasil;proteger os CPEs dos clientes:desabilitar os servicos desnecessarios;manter os equipamentos atualizados, incluindo o firmware;nao usar senhas padrao, pois elas sao muitas vezes obvias e facilmente encontradas em listas na Internet;usar senhas bem elaboradas, com grande quantidade de caracteres e que nao contenham dados pessoais, palavras conhecidas e sequencias de teclado.configurar adequadamente os servicos, principalmente os que podem ser abusados para amplificacao do trafego:servico DNS (53/UDP):contatar os administradores dos servidores vulneraveis para que corrijam os problemas;permitir acesso aos servidores recursivos apenas para a rede interna;desabilitar a recursao nos servidores autoritativos;usar o recurso Response Rate Limit (RRL) para limitar a quantidade de consultas. Mais detalhes podem ser encontrados no documento Recomendacoes para Evitar o Abuso de Servidores DNS Recursivos Abertos.servico NTP (123/UDP):considerar uma implementacao mais simples, como o OpenNTP;atualizar para a versao mais recente;desabilitar a funcao "monitor" no arquivo de configuracao;configurar para que o servico