什么是 DDoS 攻击？

分布式拒绝服务（DDoS）攻击是一种通过流量压垮目标系统、网络或应用的网络攻击。攻击者使用大量受感染的设备同时发送请求流量，使合法用户无法使用服务。

一个简单理解 DDoS 攻击的方式是想象一个只有一个入口的小商店。正常情况下，顾客可以顺畅地进出。在 DDoS 攻击期间，数千个协调一致的虚假顾客同时涌入每个入口，并用无意义的请求占用员工时间。商场本身完好无损，但所有可用容量耗尽，合法购物者无法再进入服务。

从技术角度来看，DDoS 攻击通常通过 OSI 模型的视角进行分析，该模型描述了数据如何在网络中分层移动。

不同类型的 DDoS 攻击针对该模型的不同层，以不同的方式耗尽资源。一些攻击专注于淹没网络带宽；另一些则利用网络或传输协议的弱点，而更复杂的攻击在应用层运行，且与合法用户行为极为相似。

以下部分将详细介绍 DDoS 攻击的主要类型，并阐明它们与特定层和攻击机制的关系。

什么是容量耗尽型 DDoS 攻击（L3/L4）？

容量耗尽型 DDoS 攻击通过大量流量淹没目标，压垮其网络容量这些攻击主要针对 OSI 模型的网络层和传输层（第 3 层和第 4 层），侧重于耗尽带宽和路由资源，而非利用应用程序逻辑。

它们通常由大型僵尸网络生成，使攻击者能够从数千甚至数百万个分布式来源发送流量洪水。由于流量本身即是武器，这些攻击通常以每秒比特数（bps）而非请求数来衡量。

可以把它想象成一根消防水带对着窄水管喷水。巨大的水量瞬间填满管道，没有留下正常流动的空间。同样，容量耗尽型攻击会饱和网络链路，从而有效阻止合法请求。

容量耗尽型 DDoS 攻击的常见示例包括：

尽管广为人知，但容量耗尽型攻击在压垮网络容量和中断合法流量方面仍然非常有效。

什么是协议型 DDoS 攻击（L3/L4）？

协议型 DDoS 攻击针对网络和传输协议的弱点，通过迫使服务器或网络处理异常或不完整的连接来耗尽资源。

与容量耗尽型攻击类似，协议型攻击主要作用于 OSI 模型的第 3 层和第 4 层。然而，它们的目标不同。它们不是消耗带宽，而是旨在使负责管理连接、状态表和包处理的系统过载。

你可以将协议攻击想象成反复拨打客服热线，然后在通话完成前挂断。每个通话只占用少量系统资源，但当数千个这样的通话同时发生时，系统就无法再响应真实客户了。同样，协议攻击会耗尽有限的连接资源，直到正常流量被拒绝。

通过利用网络协议的固有设计，协议攻击即使使用相对较低的流量也能造成严重破坏，使其比纯粹的容量耗尽型洪水更难检测。

协议型 DDoS 攻击的常见示例包括：

即使在相对较低的流量下，协议攻击在耗尽连接资源和破坏正常网络运行方面仍然非常有效。

什么是应用层（第 7 层）DDoS 攻击？

应用层 DDoS 攻击针对 OSI 模型的最高层（第 7 层），直接关注 Web 应用程序和服务，而不是网络基础设施这些攻击并非压垮带宽或协议机制，而是通过生成大量看似合法的 HTTP 或 HTTPS 请求来耗尽服务器资源。由于流量通常模仿正常用户行为，区分恶意活动与真实使用变得异常困难。

可以把它想象成一个在线商店，成千上万的“购物者”同时将商品加入购物车、搜索商品或反复刷新页面。单个操作是无害的，但大规模下，自动化请求会消耗 CPU、内存和数据库连接，导致服务变慢甚至崩溃。

与容量耗尽型或协议型攻击相比，应用层攻击通常以每秒请求数（RPS）而非带宽来衡量。它们需要更少的僵尸网络就能生效，但可能造成严重破坏，尤其是对 API、登录系统和搜索功能。

应用层 DDoS 攻击的常见示例包括：

HTTP GET/POST 洪水攻击
Slowloris 攻击
XML-RPC 洪水攻击
WordPress 管理员登录洪水攻击

DoS 和 DDoS 有什么区别？

上述攻击都依赖于分布式的流量源。然而，并非所有的拒绝服务（DoS）攻击都是分布式的。

DoS 攻击是一种通常源自单个来源的攻击类型。由于流量来自一台机器或有限的 IP 地址范围，通常更容易检测和阻止。

相比之下，DDoS 攻击同时使用许多受感染的设备。DDoS 攻击的分布式结构增加了规模、弹性和影响，使缓解变得异常复杂。

本质上，两种攻击都旨在破坏可用性，但 DDoS 是通过协调分布式攻击而非单一攻击源来实现服务中断。

DDoS 攻击的目的是什么？

DDoS 攻击的形式和技术执行各不相同，但其根本目标是一致的：破坏可用性。

与旨在获得未经授权访问或窃取数据的入侵不同，DDoS 攻击专注于服务中断。当在线服务变慢或无法访问时，运营和声誉方面的损失可能是立竿见影的。

在实践中，组织因以下几个常见原因而成为 DDoS 攻击的目标：

金钱勒索：要求付款以停止正在进行的攻击
竞争性干扰：在关键业务窗口期间禁用服务
政治或意识形态运动：针对面向公众的平台以提高可见性
声东击西战术：压垮系统以分散对同时进行的其他攻击的注意力

无论动机如何，目标始终如一：使服务对合法用户变得缓慢、不稳定或完全不可用。理解这一目标有助于看清攻击者如何设计和执行 DDoS 攻击活动。

DDoS 攻击是如何工作的？

DDoS 攻击通过协调来自众多受感染设备的流量来压垮目标服务器或网络，从而中断服务。攻击者通常构建并控制一个僵尸网络，指挥数千甚至数百万个受感染系统同时向同一目标发送请求。

大多数 DDoS 攻击遵循一个类似的过程，分四个阶段展开：

1. 创建僵尸网络
攻击者首先使用恶意软件感染易受攻击的联网设备。这些受感染的设备可能包括路由器、物联网系统或云服务器，成为远程控制的僵尸网络的一部分。

2. 集中协调
命令与控制（C&C）系统向僵尸网络发送指令，指定攻击目标和方法。攻击者可以选择攻击网络层或生成应用级请求。

3. 生成流量
激活后，受感染设备同时发送大量恶意流量，从连接洪水到类似于合法用户活动的请求。诸如 DNS 放大攻击等技术通过触发第三方服务器的大响应来增加流量影响。

4. 资源耗尽
随着流量的累积，带宽、CPU、内存和连接限制被耗尽。当这些资源饱和时，合法用户将无法再访问服务。

如何识别 DDoS 攻击？

DDoS 攻击通常通过异常的流量模式和对基础设施的突然压力来识别，而不是通过单一的明确错误。当大量协调请求开始压垮网络容量或服务器资源时，服务性能会迅速下降。

DDoS 攻击的常见迹象包括：

意外的流量高峰
在没有明确业务原因（如活动或产品发布）的情况下，请求或带宽使用量突然激增。
性能缓慢或服务中断
网页加载异常缓慢，连接超时，或用户无法访问某些功能甚至整个网站。
资源耗尽
CPU、内存或网络容量突然达到临界水平并持续高位。
异常的请求行为
对特定端点（如登录页面或 API）产生大量重复请求，尤其是来自广泛分布 IP 地址的请求。

综合来看，这些信号通常表明传入流量正在超出正常操作模式，这可能是协调一致的 DDoS 攻击活动正在进行的常见迹象。

如何阻止 DDoS 攻击？

阻止 DDoS 攻击始于在区分恶意流量与合法用户的同时保持服务可用。由于现代攻击通常同时针对多个层次并实时调整，缓解必须结合流量分析、过滤和自适应响应，以维持不间断的服务。

检测与流量评估

异常的带宽峰值、持续的资源耗尽或对特定端点的集中请求通常表明攻击正在发生。持续的流量监控和日志分析提供了确认恶意模式所需的可见性。

流量过滤与应用保护

缓解的重点是在不干扰正常用户的情况下分离恶意流量。常见控制措施包括：

对过量请求进行速率限制
阻止与已知威胁相关的 IP 源
丢弃畸形或伪造的数据包
部署 WAF 以检查和过滤可疑的 HTTP 和 HTTPS 流量

这些机制在保障合法访问的同时，减轻了对基础设施的压力。

上游清洗与流量分发

大容量的容量耗尽型攻击必须在到达源服务器之前进行处理。清洗中心分析和清理传入的数据流，仅将验证后的流量转发到下游。分布式边缘基础设施进一步分散流量负载，防止局部饱和。

CDNetworks 的 Flood Shield 2.0 集成了网络层过滤、分布式清洗能力和应用层防御，在保持服务连续性的同时，缓解诸如 SYN 洪水、UDP 洪水和 HTTP 洪水等攻击。

自适应缓解

由于 DDoS 模式可能在事件中发生变化，有效的保护依赖于实时流量分析和动态规则调整。自适应缓解确保过滤策略能够随着攻击行为的发展而演进。

💡 专家提示： 虽然 DDoS 缓解措施能恢复可用性，但提前设计好防御措施更能提升韧性。通过多层架构和持续流量监控，探索预防 DDoS 攻击的实用方法。

DDoS 攻击常见问题解答