Als je server wordt aangevallen, is "we worden geDDoSt" niet bruikbaar; "SYN-flood, vier miljoen packets per seconde, gespoofte bronnen, gericht op poort 443" wel. Het verschil tussen die twee is een dertig seconden durende packet capture en een gestructureerde blik erop. Deze gids behandelt veilig vastleggen op een machine die al verzadigd is (tcpdump, niet de Wireshark-GUI), de triageworkflow in Wireshark (Protocol Hierarchy, Conversations, I/O Graphs) en de display-filter-signaturen van de gangbare aanvalsvectoren, en sluit af met hoe je bevindingen omzet in mitigatie.

DDoS-aanvallen zijn onder te verdelen in drie brede families: volumetrische floods die je verbinding verzadigen, protocolaanvallen die de connectiestatus uitputten, en aanvallen op applicatieniveau die op legitiem verkeer lijken. Elke vorm put een andere resource uit, dus elke vorm vraagt om een andere verdediging, en geen enkele laag stopt alle drie. Deze gids koppelt de veelvoorkomende aanvalsvormen aan de resource die ze uitputten en de mitigatie die daadwerkelijk werkt, legt uit wat een firewall op de server wel en niet kan tegenhouden, en eindigt met een praktisch incident-response-draaiboek voor wanneer je server onder vuur ligt.