DDoS攻击

GGBOND2025/11/5大约 4 分钟

DDoS 攻击原理与防护

1. 什么是 DDoS 攻击

分布式拒绝服务攻击（DDoS，Distributed Denial of Service）是一种利用大量被控制设备同时向目标发送请求的攻击方式。
其目的是耗尽目标的带宽或系统资源，使网站或服务无法正常响应。

特点：

分布式：攻击流量来自不同地区、多台主机
高流量：规模可达数百 Gbps 至数 Tbps
隐蔽性强：来源分散，难以追踪
破坏性大：可能导致系统长时间宕机

2. 攻击原理

攻击者通过恶意软件感染大量设备，组成僵尸网络（Botnet）
通过控制服务器（C&C）下达攻击命令
僵尸网络中的设备同时向目标发起请求
目标服务器或网络资源被耗尽，无法提供服务

典型架构：
攻击者 → 控制服务器 → 僵尸网络 → 目标系统

3. 常见攻击类型

3.1 网络层攻击

SYN Flood：发送大量未完成的 TCP 握手请求，占满连接队列
UDP Flood：向随机端口发送大量 UDP 包，耗尽带宽
ICMP Flood：大量 Ping 请求淹没目标网络

3.2 传输层攻击

TCP 连接耗尽：建立并保持大量 TCP 连接，消耗资源
TCP RST 攻击：伪造 RST 包中断正常连接

3.3 应用层攻击

HTTP Flood：伪装为正常请求，频繁访问 Web 页面
DNS Flood：发送大量 DNS 查询请求，压垮 DNS 服务器
Slowloris：发送不完整的 HTTP 请求并保持连接占用

4. 攻击危害

类型	说明
服务中断	网站或系统无法访问
经济损失	交易失败、收入下降
品牌损害	用户信任度降低
法律风险	面临监管处罚或诉讼

5. 检测方法

常见检测指标：

网络流量或请求量异常突增
单 IP 访问频率过高
CPU、内存使用率异常升高
并发连接数异常

常用命令：

# 检查 SYN 攻击
tcpdump -i eth0 -n 'tcp[tcpflags] & tcp-syn != 0' | head -100

# 查看连接状态
netstat -an | grep :80 | awk '{print $6}' | sort | uniq -c | sort -n

6. 防护策略

6.1 网络层防护

流量清洗：通过清洗设备或服务过滤异常流量
黑洞路由：将恶意流量丢弃
限速策略：限制单 IP 的访问速率

6.2 传输层防护

SYN Cookie：防御 SYN Flood 攻击

echo 1 > /proc/sys/net/ipv4/tcp_syncookies

连接限制：限制单 IP 并发连接数

6.3 应用层防护

WAF（Web 应用防火墙）：识别和阻断恶意请求
负载均衡：分散访问压力
CDN 与缓存：减少源服务器负载

6.4 云防护

CDN 防护：隐藏源站 IP，分散流量
云安全服务：利用厂商的防护系统（如 AWS Shield、阿里云 DDoS 防护）

7. 典型案例

GitHub 攻击事件（2018）
攻击流量峰值达 1.35 Tbps，利用 Memcached 放大攻击。GitHub 通过启用防护系统成功化解。

Dyn DNS 攻击事件（2016）
Mirai 僵尸网络发动大规模攻击，导致 Twitter、Netflix 等服务在美国东海岸中断。

8. 防护最佳实践

8.1 预防

合理架构设计，避免单点故障
提前进行容量规划
加强系统与网络安全配置

8.2 监控

实时监控流量与访问日志
设置告警阈值
定期分析日志识别异常

8.3 应急

制定应急预案
定期进行防护演练
建立快速响应机制

9. 新兴趋势

物联网僵尸网络：大量 IoT 设备被入侵参与攻击
AI 驱动攻击：智能化调整策略，提高攻击效率
加密流量攻击：利用 HTTPS 隐藏攻击行为

10. 总结

DDoS 攻击已从传统流量型攻击演变为智能化、多层次攻击。
有效防护应从以下三方面入手：

架构层面：高可用与分布式设计
技术层面：多层防护与智能检测
管理层面：完善监控与应急响应

通过网络层、应用层及云防护的综合防御体系，才能最大限度降低 DDoS 攻击的影响，保障系统的稳定运行。