一、什么是DDoS攻击
DDoS（Distributed Denial of Service，分布式拒绝服务攻击） 是指攻击者通过控制大量被入侵的计算机或设备，同时向目标服务器发送海量无效请求，耗尽其网络带宽、CPU、内存等资源，导致正常用户无法访问服务的网络攻击行为。
其核心逻辑可以用一个比喻来理解：就像一群人涌进餐馆，把菜单上的菜品都点一遍却不付款，导致后厨忙不过来、食材被消耗一空，真正想吃饭的顾客无法正常点餐消费。
1.1 DDoS与DoS的区别
在DDoS之前，存在一种更早期的攻击形式------DoS（Denial of Service，拒绝服务攻击） 。DoS是一台机器攻击一个目标，攻击者用自己的个人电脑向服务器发送大量垃圾信息。
DDoS则是DoS的升级版，其核心差异在于攻击源的数量：DDoS利用大量被控制的设备（少则数百台，多则成千上万台）同时发起攻击，形成碾压效果。攻击者通过命令与控制服务器（C&C）向这些被感染的设备下达指令，让它们在同一时刻向目标发起攻击。
1.2 为什么DDoS很难防御
DDoS攻击之所以成为网络安全领域最具破坏力的威胁之一，主要基于两个现实：
-
攻击成本远低于防御成本：攻击者可以利用大量廉价甚至免费的工具发起攻击，而企业要防御同等规模的攻击，需要投入专业的流量清洗设备、高防服务和技术团队。攻击者发起一次攻击只需极低成本，防御方却需要调动大量资源来应对。
-
攻击源难以追踪：被控制的"僵尸设备"分布在全球各地，攻击指令通过多层代理转发，难以定位真实的攻击源头。随着物联网设备的普及，大量安全性薄弱的路由器、摄像头等设备被僵尸网络控制，进一步加剧了这一状况。
二、DDoS攻击的三大类型
根据攻击目标的不同层级，DDoS攻击可分为网络层/传输层攻击、协议层攻击和应用层攻击三大类。
2.1 流量型攻击（网络层/传输层）
这类攻击的目标是直接占满目标服务器的网络带宽，让正常数据无法传输。
| 攻击方式 | 原理 | 典型特征 |
|---|---|---|
| UDP Flood | 向目标服务器特定端口发送大量UDP数据包。由于UDP是无连接协议，服务器收到后会尝试处理并回应，消耗处理资源和带宽 | 单方向流量显著增大，数据包内容呈现规律性 |
| ICMP Flood | 向目标发送大量ICMP Echo请求（即Ping请求），使目标系统忙于响应这些请求，无力处理正常业务 | 通常伴随大量ICMP回显请求包 |
| 反射放大攻击 | 攻击者伪造受害者的IP地址，向NTP、DNS等第三方服务器发送小请求，这些服务器将放大数十倍甚至数百倍的响应数据发往受害者，造成巨大流量冲击 | 小流量撬动大流量，DNS放大倍数可达1:380 |
2.2 协议层攻击（传输层）
这类攻击利用网络协议本身的机制缺陷，精准消耗目标服务器的连接资源。
SYN Flood攻击是最典型的DDoS攻击方式。它利用TCP协议的三次握手机制：
-
正常情况下：客户端发送SYN → 服务器回复SYN-ACK → 客户端回复ACK，连接建立
-
攻击时：攻击者发送大量伪造源IP的SYN请求，但不完成第三次握手
-
服务器会为每个SYN请求分配资源并等待ACK确认，但这些确认永远不会到来
-
大量半开连接占满服务器的连接队列，导致合法用户无法建立新连接
2.3 应用层攻击（第7层）
这类攻击模拟正常用户行为，发送合法的HTTP请求，因此最难防御。
HTTP Flood攻击通过发送大量GET或POST请求，耗尽Web服务器的处理能力。由于这些请求看起来与正常用户请求无异，传统的流量清洗设备难以区分。
Slowloris攻击则是通过缓慢发送不完整的HTTP头部，长期占用服务器连接池，以极低的流量消耗达到拒绝服务效果。
三、DDoS攻击的主要目标
金融、电商、政务等高价值行业是DDoS攻击的主要目标。
一次成功的DDoS攻击可能造成以下后果：
-
业务中断，用户无法访问
-
客户信任度下降
-
运维团队需投入大量精力进行应急响应和恢复
四、常见的DDoS防御手段
防御DDoS攻击需要构建多层次的立体防护体系。
4.1 流量清洗
通过部署专业的流量清洗设备或云服务，对网络流量进行实时监测，识别并过滤恶意流量，只允许合法流量通过。流量清洗系统通常部署在数据中心的网络入口处，可应对SYN Flood、UDP Flood等多种类型的攻击。
4.2 高防CDN与IP隐藏
通过CDN（内容分发网络）将网站内容分发到全球多个节点，当攻击发生时，攻击流量被分散到各CDN节点，而非直接攻击源站服务器。同时，CDN还能隐藏源站的真实IP地址，让攻击者难以直接定位目标。
4.3 弹性带宽与自动扩容
与云服务商合作，在遭受大规模攻击时动态扩展带宽上限。当检测到流量异常时，系统自动增加带宽资源进行应对。
4.4 WAF与限流策略
Web应用防火墙（WAF）可配置针对应用层攻击的规则，如限制单个IP的并发连接数、请求间隔时间等。Nginx的limit_req_module模块可实现基于令牌桶算法的限流策略，配置示例如下：
text
http {
limit_req_zone $binary_remote_addr zone=mylimit:10m rate=10r/s;
server {
location /api/ {
limit_req zone=mylimit burst=20 nodelay;
proxy_pass http://backend;
}
}
}上述配置的含义是：针对客户端IP，限制请求速率为每秒10个，允许瞬时突发20个请求，超过限制的请求将被直接拒绝。
4.5 AI智能防御
利用机器学习分析用户行为模式，区分正常用户与僵尸网络发起的恶意请求。例如，通过分析请求频率、请求间隔分布、User-Agent的一致性、鼠标轨迹等维度，建立正常用户的访问模型。当某IP的请求特征偏离模型时，系统自动触发限流或验证码挑战。结合设备指纹识别等机制，可有效降低机器流量的占比。
五、不同攻击类型的防御策略速查
在实际运维中，针对不同类型的DDoS攻击需要采取差异化的防御策略：
| 攻击类型 | 推荐防御手段 | 原理简述 |
|---|---|---|
| UDP Flood | 流量清洗、UDP限速 | 识别异常UDP流量并丢弃，或对UDP报文进行速率限制 |
| SYN Flood | 开启SYN Cookie、SYN Proxy | 服务器在收到SYN后不立即分配资源，待三次握手完成再建立连接 |
| HTTP Flood | WAF规则、限流、IP黑名单 | 分析HTTP请求特征，过滤异常高频或恶意构造的请求 |
| Slowloris | 缩短超时时间、限制并发连接数 | 配置合理的keepalive超时和单IP最大并发连接数 |
| 反射放大攻击 | 源IP验证、运营商侧过滤 | 在网络入口处过滤伪造源IP的数据包，或联系运营商封禁反射源端口 |
六、云上部署的常见防御方案
对于部署在云上的业务系统，通常采用分层防御策略：
| 防御层级 | 产品形态 | 应对的攻击类型 |
|---|---|---|
| 第一层 | 高防IP | 应对大流量型攻击（UDP Flood、反射放大等），提供Tbps级别的带宽储备 |
| 第二层 | WAF（Web应用防火墙） | 应对应用层攻击（HTTP Flood、SQL注入等），分析HTTP/HTTPS请求内容 |
| 第三层 | 业务层限流 | 针对具体API的限流熔断，防止特定接口被高频调用拖垮服务 |
三层协同工作，共同构成从网络层到业务层的完整防御体系。
总结
| 对比维度 | DoS攻击 | DDoS攻击 |
|---|---|---|
| 攻击源 | 单台机器 | 大量被控设备组成的僵尸网络 |
| 攻击规模 | 较小 | 可达Tbps级别 |
| 防御难度 | 较低 | 极高 |
| 溯源难度 | 相对容易 | 极难 |
DDoS攻击的本质是利用大规模分布式架构，通过海量无效请求耗尽目标系统资源，使正常用户无法获得服务。其防御的核心挑战在于：攻击流量与正常流量混杂，且来源分散。
对于企业而言，构建包含流量清洗、CDN加速、弹性扩容和WAF防护在内的多层次防御体系，是当前应对DDoS威胁的主流方案。从网络层到应用层逐级过滤，云上业务建议采用高防IP + WAF + 业务限流的三层组合，以应对不同规模和类型的攻击。