如何防御DDoS攻击？

DDoS 的攻击方式

DDoS 攻击的精髓是：利用分布式的客户端，向目标发起大量看上去合法的请求，消耗或者占用大量资源，从而达到拒绝服务的目的。

其主要攻击方法有 4 种：

1. 攻击带宽

网络拥塞和响应延迟通常发生在数据包的数量达到或超过网络容量的上限时。分布式拒绝服务攻击（DDoS）正是利用这一点，通过向目标发送海量数据包，占据其所有带宽，导致合法请求无法得到响应，从而实现拒绝服务。这种攻击虽然简单，但因为依赖于攻击者控制的主机的网络性能，其效果有限，且攻击源容易被追踪。为此，攻击者发展出了反射攻击的策略。

在此策略中，攻击者发送带有伪造的目标IP地址的特殊数据包到第三方服务器（即反射器），使得这些服务器被欺骗，向目标地址发送响应数据，这样不仅消耗了目标的带宽资源，还难以追踪到真正的攻击者。

2. 攻击系统

建立TCP连接时，客户端和服务器之间需要进行三次握手过程，此过程的相关信息被记录在所谓的连接表中。然而，这个表的容量是有限的，达到上限后，服务器将无法处理新的TCP连接请求。

攻击者通过控制多个主机发起大量恶意的TCP连接请求，特别是通过发送大量的TCP SYN（同步）报文，迅速填满服务器的连接表。这些报文导致服务器为每个请求分配资源以等待连接完成，从而迅速耗尽连接表的空间，结果使得合法用户的新连接请求无法被接受。这种策略有效地使目标服务器无法与合法客户端建立新的TCP连接，从而达到拒绝服务的目的。

3. 攻击应用

DNS和Web服务因其广泛应用和核心地位，常成为DDoS攻击，特别是资源耗尽型攻击的主要目标。随着Web技术的快速进步，攻击者通过控制众多主机，向Web服务器发送大量恶意HTTP请求，这些请求占据了服务器的全部处理能力。结果，合法用户的正常Web访问请求无法得到响应，导致服务不可用。这种攻击不仅耗尽了服务器资源，还可能对依赖该Web服务运行的业务造成重大影响，影响范围广泛，损害严重。

4. 混合攻击

在现实世界的攻击场景中，攻击者通常不会挑剔具体的攻击方法，他们的主要目标是通过任何可行的手段达成其攻击目的。这意味着，攻击者往往会利用所有可用的资源和策略来对目标发起全面的攻击。对于防御方来说，这种情况意味着必须准备应对来自不同协议和不同资源的DDoS攻击，这无疑会增加分析、响应和处理攻击的成本和复杂性。

近年来，随着僵尸网络趋向小型化，攻击者为了降低成本、有效隐藏攻击源、绕过安全防护措施，同时确保攻击的有效性，开始采用针对应用层的小流量、慢速攻击策略。这种策略虽然看似微不足道，但因其难以被传统的安全设备检测到，因此变得越发流行和危险。