分布式拒绝服务（DDoS）攻击是一类网络攻击，旨在耗尽特定应用或网站所在系统的资源，使合法用户无法访问。2023年， 应用层攻击增长了165%，其中科技行业在所有垂直行业中遭受的攻击最多。因此，部署全面的DDoS缓解解决方案对于维持正常运行时间和韧性至关重要。
DDoS攻击的关键概念
在深入了解DDoS缓解方法和解决方案之前，必须充分认识当前的DDoS威胁。分布式拒绝服务（DDoS）攻击 distributed denial-of-service (DDoS) attack 通过向目标资源注入大量流量来降低基础设施的性能，使其过载直至无法运行。DDoS攻击还可能发送特制消息，导致应用性能下降。DDoS攻击既可以针对防火墙状态表等网络基础设施，也可以针对服务器和CPU等应用资源。
DDoS攻击可能造成严重后果，损害在线服务的可用性和完整性，引发重大中断，并可能导致经济损失和声誉受损。恶意行为者还可能利用此类攻击转移注意力，以访问重要数据。
DDoS攻击是拒绝服务（DoS）攻击的一种，旨在通过大量流量使网络、服务器或网站不堪重负，从而干扰其正常运行。与之不同的是，DDoS攻击利用多台设备向目标发送海量流量。由于一次DDoS攻击涉及多个系统同时攻击单个系统，因此威胁要大得多，也更难抵御。
以下是开放系统互连（OSI）七层模型中常见的DDoS攻击类型：
- 流量型攻击旨在利用海量流量使网络不堪重负，直至无法运行。此类攻击通常通过僵尸网络实施。僵尸网络是由单个攻击者控制的受感染设备网络。
- 协议攻击以OSI模型的网络层为目标，利用TCP/IP、ICMP和UDP等网络协议中的漏洞。此类攻击旨在耗尽防火墙、路由器和负载均衡器等网络设备的资源，从而导致服务中断，也称为“计算型”攻击。
- 应用层攻击以OSI模型的应用层为目标，并利用HTTP、HTTPS和DNS等Web应用中的漏洞。这些攻击旨在耗尽Web服务器资源，从而导致服务中断。
DDoS攻击中常见的攻击途径：
- UDP洪水攻击：此类攻击使用用户数据报协议（UDP）数据包淹没目标服务器，可能导致服务器崩溃或无响应。
- TCP SYN洪水攻击：此类攻击利用传输控制协议（TCP）在两台设备之间建立连接时所采用的三次握手过程。攻击者向目标服务器发送大量SYN数据包，可能导致服务器无响应。
- HTTP洪水攻击：此类攻击通过向目标服务器发送大量HTTP请求来攻击Web服务器，可能导致服务器无响应。
- DNS放大攻击：此类攻击利用域名系统（DNS），向目标服务器发送大量DNS响应数据包，可能导致服务器无法响应。
- NTP放大攻击：此类攻击利用网络时间协议（NTP），向目标服务器发送大量NTP响应数据包，可能导致服务器无法响应。
- SSDP放大攻击：此类攻击利用简单服务发现协议（SSDP），向目标服务器发送大量SSDP响应数据包，可能导致服务器无响应。
- SYN-ACK洪泛攻击：此攻击利用TCP三次握手过程，向目标服务器发送大量SYN-ACK数据包，可能导致服务器无响应。
- HTTP慢速读取攻击：此类攻击向目标服务器发送HTTP请求，但会缓慢读取响应，可能导致服务器无响应。
- 死亡之Ping：此攻击会向目标服务器发送超大Ping数据包，可能导致服务器崩溃或无响应。
- Smurf攻击：此类攻击利用互联网控制消息协议（ICMP），从多个来源向目标服务器发送大量ping请求，可能导致服务器无响应。
- 高负载URL：在攻击规划的侦察阶段，攻击者会寻找网站中计算资源开销最大的URL，并将其用于DDoS攻击。这些URL被称为“高负载”URL，因为请求此类URL会给服务器带来更大的负载。
- 低速慢速攻击：这类DDoS攻击旨在以极低的带宽悄无声息地耗尽应用资源。因此，这类攻击很难被检测到；而且，由于攻击发生在已建立TCP连接的应用层，其HTTP请求看起来是合法的。
因此，DDoS攻击构成了巨大威胁，可能使企业更容易遭受网络攻击。因此，必须了解DDoS攻击的发生方式，以便采取措施减轻其影响。
为何必须在网络安全策略中实施DDoS缓解措施以保障可用性：
DDoS攻击可能导致服务长时间中断并影响服务可用性，进而造成经济损失和声誉受损。
防护：通过采用DDoS缓解措施，贵公司可以降低恶意流量进入网络基础设施的风险，同时确保合法用户能够访问网站和Web应用。DDoS攻击有时会被用作烟幕，分散安全团队对协同攻击活动的注意力，而此类活动可能导致数据泄露。此外，有些类型的攻击根本无法通过“编码”消除。
韧性：投资有效的DDoS缓解技术，可增强组织抵御国家级对手及其他恶意行为者的韧性，降低其成为攻击目标的可能性。
节省成本：快速缓解DDoS攻击可以帮助组织节省时间和资金。
通过将DDoS缓解措施纳入网络安全策略，组织可以主动保护自身资源、维持服务可用性，并尽可能降低潜在DDoS攻击的影响。
DDoS缓解技术
现在，我们已经了解易受DDoS攻击会给业务关键型数据和应用带来哪些风险，以及部署DDoS缓解解决方案为何至关重要。接下来，我们将介绍DDoS缓解的类型，帮助您确定更符合自身需求的解决方案。
本地部署的DDoS缓解
组织可以实施多种本地部署解决方案和措施，以降低DDoS攻击风险。其中一些还可与云端解决方案结合使用，从而构建更强大的整体防御体系。
- 网络基础设施强化：此解决方案通过增强网络基础设施来抵御DDoS攻击，包括增加带宽、添加冗余链路以及升级网络设备。
- 速率限制和流量整形：此解决方案限制可进入网络的流量。可通过在网络设备上设置速率限制，或使用流量整形技术确定流量优先级来实施。
- 防火墙和入侵防御系统（IPS）：此解决方案使用防火墙和IPS设备过滤恶意流量。防火墙可根据IP地址、端口和协议阻止流量，而IPS设备可根据攻击特征检测并阻止攻击。
基于云的DDoS缓解
将DDoS缓解工作迁移到云端或采用混合解决方案，有助于提高效率、可扩展性和有效性。部分云解决方案可与本地部署的解决方案集成。基于云的DDoS缓解解决方案在云交付网络（即CDN）上运行。
- 任播路由将流量分配到能够处理该流量的最近数据中心。其工作原理是在网络的不同位置通告同一网络，从而缩短到达该网络的“传输时间”。当CDN网络使用任播路由时，可以更有策略地分配流量，从而扩大接收网络的覆盖范围，并帮助将大量流量重新路由到更多数据中心。
- 流量清洗中心是用于从合法流量中过滤恶意流量的数据中心。它们通过过滤攻击流量并将清洁流量转发至客户服务器，帮助缓解DDoS攻击。发生DDoS攻击时，流量会经由清洗中心进行分析和过滤。随后，清洁流量会转发至客户服务器。
混合云DDoS缓解
将DDoS缓解工作迁移到混合解决方案，可以兼顾公有云安全与私有云或本地管理的优势。混合模式可让企业根据自身独特的数据需求，进一步调整安全态势。
应用DDoS缓解
应用是现代业务发展的驱动力，但正日益成为DDoS攻击的目标。传统DDoS缓解方案采用静态的集中式架构。由于应用分布在不同的云和架构中，因此需要可扩展且灵活的DDoS缓解方案，以提供充分保护。
DDoS缓解的组成部分
全面的DDoS缓解策略通常包括几个关键组成部分。
流量分析与监控
DDoS缓解的第一步是检测潜在问题或风险。识别威胁并发出警报主要有两种方法：基于特征的检测和基于异常的检测。
基于特征的检测依靠预先设定的已知失陷指标（IOC）列表来识别威胁。这些IOC可能包括恶意网络攻击行为、电子邮件主题行内容、文件哈希、已知字节序列或恶意域名等。基于特征的检测处理已知攻击的速度快，误报率低，但无法检测零日漏洞利用。
基于异常的检测则能够针对未知的可疑行为发出警报。基于异常的检测首先使用标准化基线训练系统，然后将活动与该基线进行比较；一旦检测到异常情况，就会触发警报。基于异常的检测可能会产生较高的误报率。
实时流量转移
保护DNS资源对业务至关重要。两种实时流量转移解决方案可提供帮助。
- DNS重定向是指将DNS查询从一个域名重定向到另一个域名。当网站已迁移到新域名，或公司希望将流量从一个域名重定向到另一个域名时，此方法会很有用。DNS重定向可通过DNS区域文件中的CNAME记录实现。当DNS服务器收到针对原域名的DNS查询时，会返回一条指向新域名的CNAME记录。随后，客户端会针对新域名发送新的DNS查询。
- BGP Anycast是指从互联网中的多个位置通告同一IP地址。在BGP Anycast中，边界网关协议（BGP）用于从多个位置通告该IP地址。当客户端向Anycast IP地址发送DNS查询时，该查询会被路由到通告此IP地址的最近位置。这可以通过降低延迟来帮助提升DNS服务的性能和可用性。BGP Anycast通常由在不同地理区域设有多个数据中心的大型组织使用。
攻击过滤与清洗
当流量流向并通过您的网络时，需要使用DDoS缓解解决方案持续监控流量中的恶意活动。
- 恶意流量识别的工作原理是，在来自客户端的流量发送到应用层之前对其进行检查，确保恶意流量绝不会越过代理屏障。服务器返回的流量可在确认允许传回客户端之前接受全面检查。这有助于确保信用卡号或个人身份信息（PII）等敏感数据绝不会越过代理屏障。
- 流量清洗算法和技术用于在恶意流量进入网络时将其识别并删除。流量清洗中心是流量的第一站；流量清洗中心会根据流量特征和可能的攻击方式对流量进行分类处置。流量在通过清洗中心时会持续接受检查，以确认恶意流量已被彻底清除。这项安全控制至关重要，因为DDoS攻击很容易使进入客户环境的入口链路不堪重负。
选择提供商时需考虑的DDoS缓解因素
在选择适合贵组织需求的DDoS缓解解决方案时，应结合业务增长趋势和潜在风险面，权衡以下因素。如果考虑采用云服务，现在可以从多个公有云（AWS、Google Cloud、Microsoft Azure和Alibaba Cloud）以及私有云服务商中进行选择。
选择DDoS缓解服务提供商时的考虑因素
- 可扩展性：解决方案应能够处理公司网络的流量，并可根据需要扩容或缩容。
- 灵活性：解决方案应具备足够的灵活性，能够适应DDoS攻击不断变化的特性，并能够防御新的攻击向量。
- 可靠性：解决方案应当可靠，能够实时检测并缓解攻击，且不影响合法流量。
- 成本效益：解决方案应当具有成本效益，并能创造价值，做到物有所值。
- 易用性：解决方案应当易于部署、配置和管理。
- 支持：解决方案应配备响应及时的支持团队，能够在需要时提供帮助
DDoS缓解实践指南
全面的DDoS缓解解决方案有助于为网络提供主动防护，并通过实时事件响应以及持续测试和审查，确保网络保持出色性能。
主动防护措施
网络架构设计：合理设计的网络架构有助于防范DDoS攻击，具体方式是确保网络具备韧性，能够承受大流量。例如，采用多层安全防护设计的网络，包括防火墙、入侵检测系统及其他安全措施，有助于防止DDoS攻击侵入网络。此外，网络分段可以隔离受影响的网络区域，从而帮助限制攻击的影响范围。
负载均衡：负载均衡通过将流量分配到多台服务器，有助于防范DDoS攻击，从而避免任何一台服务器因负载过高而不堪重负。这有助于确保网络即使在遭受DDoS攻击时仍保持可用。负载均衡器还可以帮助检测和阻止恶意流量，从而降低DDoS攻击得逞的可能性。
详细的供应商SLA：在考虑由第三方提供DDoS攻击防护时，必须了解供应商应对各种DDoS场景的能力，并将相关规程、行动和响应措施纳入SLA。
事件响应
DDoS事件处理步骤：快速有效地响应DDoS事件涉及6个关键步骤。需要注意的是，这些步骤并非按线性顺序进行，而是循环开展。
- 准备工作：建立联系人机制、制定流程并备齐工具，以便在遭受攻击时节省时间。
- 检测：检测事件，确定其影响范围，并让相关方参与处理。
- 分析：分析攻击流量，确定其特征并识别攻击目标。
- 遏制：通过过滤流量并阻止恶意流量来遏制攻击。
- 根除：从网络中清除恶意流量，以根除攻击。
- 恢复：通过恢复服务并审查事件，从攻击中恢复。
DDoS事件期间与缓解服务提供商的通信协议： 从一开始，公司及其缓解服务提供商就必须遵循严格的通信协议。以下是事件期间建议采用的通信最佳实践：
- 制定沟通计划：在攻击发生前，与DDoS缓解服务提供商共同制定沟通计划。该计划应包括关键人员的联系信息、升级流程和沟通渠道。
- 提供详细信息：向DDoS缓解服务提供商提供攻击的详细信息，包括攻击类型、攻击目标和持续时间。这些信息有助于服务提供商制定有效的缓解策略。
- 与服务提供商协作：与DDoS缓解服务提供商密切合作，制定符合贵组织需求的缓解策略。这可能包括调整流量路由、过滤流量或阻止恶意流量。
- 监控情况：密切监控情况，并定期向DDoS缓解服务提供商提供最新信息。这有助于服务提供商根据需要调整缓解策略。
- 审查事件：攻击得到缓解后，与DDoS缓解服务提供商共同审查该事件，找出需要改进之处，并根据需要更新事件响应计划。
定期测试和审查
IT和安全团队应定期开展分析和测试。其中一种测试是红队测试，即模拟现实世界中攻击者的战术和技术。在这种情况下，红队测试人员会尝试发起多种DDoS攻击，以监测缓解解决方案的响应。
及时了解网络攻击趋势也至关重要，尤其是全球各地的恶意行为者仍在不断改变攻击手段。缓解解决方案应具备可扩展性和适应能力，以应对任何新型破坏。
DDoS缓解案例研究
无论身处哪个行业、规模大小或在全球何处运营，组织都能从部署可靠的DDoS缓解解决方案中受益。这些案例研究展示了DDoS缓解解决方案在各种场景中的成效。与贵公司类似的企业通过应对DDoS风险，取得了可衡量的成果。
DDoS缓解的未来趋势
尽管DDoS攻击已存在数十年，但发起此类攻击的恶意行为者正变得愈发老练和激进。了解网络安全领域DDoS防护的当前及未来趋势至关重要。
总体而言，F5发现2023年呈现以下趋势：
- 应用层攻击增加了165%
- 与2022年相比，科技行业成为遭受攻击最多的行业
- 观察到的事件总数下降了9.7%
- 峰值带宽较2020年增长216%
- 所有垂直行业都应预期会出现更多应用层DDoS攻击和多向量DDoS攻击
此外，网络安全专家正在密切关注以下三个日益受到重视的领域：
人工智能和机器学习：随着越来越多的公司在制造或客户服务等其他业务领域部署AI和ML，这些技术也可以在检测和缓解DDoS攻击方面发挥作用。近期一项研究表明，使用人工智能方法检测DDoS攻击的准确率超过96%。
物联网（IoT）：物联网不断发展，但如果无法妥善保护由此增加的计算攻击面，这些解决方案可能更容易受到攻击。专家建议采用更完善的安全实践和密码保护措施，并使用防火墙或VPS，以减少面临攻击风险的设备数量。
区块链技术：区块链技术为DDoS缓解提供了一种值得关注的选择，因为区块链本身具有去中心化特性，并采用安全的分布式存储。这尤其有助于应对地域性攻击，因为此类攻击也可能针对特定地理区域的安全防护。
尽管DDoS攻击不会消失，但无论是现在还是未来几年，都将有更多工具帮助缓解此类攻击。
F5如何提供帮助
分布式拒绝服务（DDoS）攻击已存在数十年，而且不会消失。因此，企业需要以前瞻性思维规划DDoS缓解解决方案。在F5，网络安全几乎始终是我们各项工作的重中之重。我们的DDoS缓解解决方案和出色支持可帮助贵组织在降低潜在DDoS攻击风险方面占据优势。此外，还应确保DDoS缓解解决方案能够扩展并适应企业需求，以及DDoS攻击者不断变化的威胁手段。
无论您还是网络需要何种DDoS攻击防护，F5都能提供帮助。我们在根据组织需求实施适当类型的DDoS缓解方案方面拥有丰富经验。