DDoS攻击的基本概念
分布式拒绝服务（DDoS）攻击通过大量恶意流量淹没目标系统（如服务器、网络或应用），导致合法用户无法访问服务。攻击者通常利用僵尸网络（Botnet）发起协同攻击。
常见DDoS攻击类型
流量型攻击
通过耗尽目标带宽或资源达成瘫痪效果：
- UDP洪水：伪造大量UDP数据包冲击目标端口。
- ICMP洪水：利用ICMP协议（如Ping）发送超量请求。
- 放大攻击：通过DNS/NTP等协议漏洞，将小查询放大为巨量响应（如DNS反射攻击）。
协议型攻击
利用协议栈漏洞消耗计算资源：
- SYN洪水：发送大量半开TCP连接请求，耗尽连接池。
- Slowloris：保持大量低速HTTP连接，占用服务器线程。
- HTTP洪水：模拟高频合法HTTP请求，消耗后端处理能力。
应用层攻击
针对特定应用逻辑的高级攻击：
- CC攻击（Challenge Collapsar）：高频请求动态页面或数据库查询。
- WordPress Pingback：滥用XML-RPC接口发起反射攻击。
分层防御策略
网络层防护
- 流量清洗：通过ISP或云服务（如Cloudflare、阿里云高防IP）过滤恶意流量。
- 黑洞路由：在攻击峰值时将目标IP流量导向"黑洞"避免网络拥堵。
- 速率限制：对特定协议（如ICMP、DNS）设置流量阈值。
系统层加固
- SYN Cookie：启用SYN Cookie机制防御SYN洪水。
- 连接数限制：配置防火墙限制单个IP的最大连接数。
- 关闭冗余服务：禁用不必要的协议（如ICMP）和端口。
应用层优化
- CDN分流：通过内容分发网络分散请求压力。
- Web应用防火墙（WAF）：识别并拦截异常HTTP请求模式。
- 缓存静态内容：减少后端动态请求的负载。
监测与响应
- 实时流量分析：使用工具（如NetFlow、sFlow）检测流量突变。
- 自动化响应：结合SIEM系统触发防御规则或告警。
- 应急演练：定期模拟攻击测试防御体系有效性。
防御效果评估指标
- 延迟时间：服务响应是否在正常范围内。
- 丢包率：清洗后合法流量的损失比例。
- 恢复时间：从攻击开始到完全恢复的时长。
通过组合技术手段与持续监控，可构建覆盖全链路的DDoS防御体系。实际部署需根据业务特性调整策略优先级。