什么是分布式拒绝服务（DDoS）攻击？
分布式拒绝服务（DDoS）攻击会导致系统无法正常运行，使合法用户无法使用该系统。
什么是DDoS？DDoS是一种恶意攻击，会导致系统性能下降，使合法用户无法使用该系统。在许多情况下，DDoS是一种协同攻击，攻击者利用多台已被入侵的设备，以海量流量压垮目标，导致预期用户无法访问其服务。
DDoS如何运作？
DDoS攻击会通过向目标资源注入大量流量，使其过载直至无法运行，或发送专门构造的消息来降低应用性能，从而削弱基础设施。DDoS攻击既可以针对防火墙状态表等网络基础设施，也可以针对服务器和CPU等应用资源。DDoS攻击可能造成严重后果，损害在线服务的可用性和完整性，引发重大中断，并可能导致经济损失和声誉受损。这类攻击还可能被用作烟幕，转移安全和风险团队对数据外泄的注意力。
DDoS攻击就像成千上万的人同时试图挤过一扇门，结果谁也无法通过，包括那些确实需要到门另一边的人。另一种情况是，攻击就像有人拿着一把钥匙，在自己通过后将门锁上，阻止其他任何人进入。
此类攻击通常会协调大量客户端计算机和其他联网设备共同发起。这些由攻击者控制的资源可能是专门为此目的而部署的，但更常见的情况是，它们感染了恶意软件，使攻击者能够远程控制设备并利用其参与攻击。
由于攻击来自众多不同的来源，因此可能极难阻止。再想象一下，一大群人挤在门口的情景。仅仅拦住一个无权进入的人（或恶意流量源）并无济于事，因为还有成千上万个其他人（或流量源）可以取而代之。自动化框架的发展使攻击能够伪造IP地址、自治系统编号（ASN）、浏览器用户代理及其他遥测数据，从而绕过传统安全控制措施。
区分分布式拒绝服务（DDoS）攻击和拒绝服务（DoS）攻击非常重要。两者都是旨在破坏目标系统或网络可用性的网络攻击，但攻击实施方式有所不同。
DoS攻击通常从单个或少量来源发起。攻击者通过大量流量或请求淹没目标系统或网络，使其超出处理能力。
相比之下，DDoS攻击涉及多个攻击源或僵尸网络。僵尸网络是由攻击者控制的受感染计算机或设备组成的网络。攻击者协调这些攻击源，同时对目标发起攻击。由于DDoS攻击来自多个攻击源，难以区分合法流量与恶意流量，因此通常比DoS攻击更难缓解。
常见的DDoS攻击类型
尽管DDoS威胁形势不断演变，但F5发现，大多数攻击都属于以下几大类。
容量型攻击是较为常见的DDoS攻击类型之一。这类攻击通过向目标发送海量数据或流量，试图耗尽其网络带宽。此类技术包括UDP（用户数据报协议）洪水攻击、ICMP（互联网控制消息协议）洪水攻击，以及利用NTP（网络时间协议）、Memcached和DNS等协议放大目标所接收流量的反射攻击。巨大的流量会使目标的网络基础设施饱和，导致合法用户无法访问。洪水攻击通常以第3层、第4层或第7层为目标，其中SYN洪水攻击十分常见，可能会使网络防火墙及其他关键网络基础设施不堪重负。
- 以容量型DDoS攻击为例，2018年，软件开发平台GitHub遭遇了一次大规模容量型DDoS攻击，导致其服务中断。此次攻击的峰值速率达到前所未有的1.35 TBps，是当时有记录以来规模较大的DDoS攻击之一。因此，GitHub的网站和服务出现间歇性中断和性能下降。
协议攻击，例如针对TCP/IP协议栈弱点的攻击。TCP/IP协议栈是互联网通信的基础。这类攻击专门针对网络基础设施跟踪和处理流量的能力。例如，SYN洪水攻击会向目标发送大量TCP SYN数据包，使其无法正常建立合法连接。这类攻击也称为“计算型”攻击，因为它们通常会使路由器和防火墙等网络设备的计算能力过载。
- 2021年11月，F5观测并缓解了公司当时所见规模最大的协议攻击。此次攻击以一家金融服务客户为目标，仅持续4分钟，并在短短1.5分钟内达到近1.4 TBps的峰值攻击带宽。
应用漏洞攻击，也称为第7层攻击，专门针对网络协议栈的应用层。这类攻击主要利用目标服务器上运行的应用或服务中的软件漏洞，耗尽服务器的CPU、内存或数据库连接等资源。应用层攻击包括HTTP GET洪水攻击（发送大量HTTP请求）、Slowloris攻击（通过发送不完整请求使连接保持打开状态）、HTTP POST洪水攻击、TLS重新协商和DNS查询。
- 2023年2月，一个名为Killnet、颇具影响力的亲俄黑客行动主义组织对欧洲一家大型组织发起了复杂的L7 DDoS攻击。此次攻击旨在通过海量流量使该组织的服务器不堪重负，导致用户难以访问其网站，攻击流量峰值达到每秒120,000个请求。此次DDoS攻击来自19个国家/地区的35个不同IP地址，主要针对应用层。
非对称攻击，也称为反射攻击或放大攻击，利用某些网络协议的功能来放大攻击流量。在非对称DDoS攻击中，攻击者通常使用伪造的源IP地址，向存在漏洞的网络或服务发送少量经过特殊构造的网络数据包。这些数据包会触发目标系统或网络生成大得多的响应，从而产生显著的放大效应。
- 2021年2月，威胁行为者以DDoS攻击相要挟，要求一家为游戏和博彩组织提供信息安全服务的科技公司支付赎金。攻击者随即发起4 Gbps的SYN洪水攻击作为警告；不到5天，DDoS围攻便正式开始。攻击持续了近一个月，一波接一波，威胁行为者不断增加攻击向量。最终，攻击峰值达到500 Gbps，其中包括由大流量UDP、LDAP反射、DNS反射、NTP反射和UDP分片攻击组成的多向量攻势。
多向量攻击会利用上述多种方法，正变得越来越常见。攻击者通过采用多种攻击技术，可以扩大攻击影响，并增加同时防御多个攻击向量的难度。
- 2016年10月，负责管理和引导互联网流量的DNS提供商Dyn遭遇了一次大规模DDoS攻击，导致包括Twitter、Reddit、Netflix和Spotify在内的众多热门网站和服务中断。攻击者结合使用了多种DDoS技术，包括DNS反射和放大攻击以及僵尸网络。此次攻击利用了存在漏洞的物联网设备，例如安全措施薄弱或仍使用默认登录凭据的网络摄像头和路由器。攻击者通过入侵这些设备，构建了一个能够产生巨大流量的庞大僵尸网络。
DDoS 核心概念
以下是与DDoS攻击、缓解和防范相关的几个关键概念及定义。
- 僵尸网络是由受攻击者控制的失陷计算机、服务器或设备组成的网络。这些失陷设备通常称为“僵尸主机”或“肉鸡”，用于协同发起DDoS攻击。攻击者可以远程操控僵尸网络，向目标发送大量流量或请求，从而扩大攻击影响。
- 欺骗是指伪造或掩盖网络数据包或通信的真实来源或身份。在DDoS攻击中，欺骗通常用于隐藏攻击流量的来源。
- SYN洪水攻击是一种DDoS攻击，它利用TCP三次握手过程耗尽目标资源。攻击者向目标发送大量SYN数据包，但不响应SYN-ACK数据包，或伪造源IP地址。这会导致目标系统持续等待始终不会到达的ACK数据包，占用其资源，并阻止建立合法连接。
- UDP（用户数据报协议）洪水攻击是一种针对UDP协议的DDoS攻击。UDP是一种无连接协议，不需要握手。在此类攻击中，攻击者向目标网络或服务发送大量UDP数据包，耗尽其资源。
- DNS（域名系统）放大攻击是一种DDoS攻击，利用DNS服务器中的漏洞生成大量攻击流量。攻击者向存在漏洞的开放式DNS解析器发送源IP地址经过伪造的小型DNS查询。这些解析器无法识别伪造行为，因而返回更大的DNS响应，放大流向目标的流量，耗尽目标资源，并可能导致服务中断。
- DDoS缓解是指用于抵御DDoS攻击并尽可能降低其影响的策略和技术。缓解解决方案可以结合网络基础设施升级、流量过滤、速率限制、异常检测和流量牵引等措施，以吸收并缓解攻击流量。云交付的DDoS缓解解决方案尤其适合在攻击到达网络基础设施和应用之前进行检测和缓解。不过，鉴于近期应用层／L7 DoS攻击有所增加，还需要在靠近受保护资源的位置部署安全控制措施。
- 事件响应是指检测、分析和应对DDoS攻击的过程，包括识别正在发生的攻击迹象、调查攻击来源和性质、实施缓解措施，以及恢复正常运营。事件响应计划有助于组织有效应对DDoS攻击并尽可能降低其影响。
DDoS攻击的影响
DDoS攻击可能会对企业、组织和个人造成严重影响。
DDoS攻击可能导致重大经济损失。当服务中断或无法访问时，交易中断、客户参与度下降或错失商机都可能影响企业收入。此外，组织还可能需要承担攻击缓解、事件响应与恢复活动相关的费用，以及可能面临的监管罚款。
成功的DDoS攻击可能会损害组织声誉，并削弱客户信任。如果公司的服务反复中断或不可用，客户可能会对该组织提供可靠服务的能力失去信心。重建信任和修复受损声誉可能既困难又耗时。
DDoS攻击可能造成严重的运营中断。高度依赖在线服务的组织可能因员工无法访问关键系统或有效协作而面临生产力损失。服务中断可能影响供应链、客户支持和整体业务运营，导致延误、效率下降和运营成本增加。
通过投资部署可靠的DDoS缓解策略，并聘请网络安全专业人员设计和实施安全措施，组织可以显著降低DDoS攻击得逞的风险及其影响，维护财务稳定和声誉，并确保业务连续性。
DDoS缓解与防范
以下是一些用于抵御攻击的常见DDoS缓解技术。组织通常会综合运用这些方法，以构建分层防御策略，有效减轻DDoS攻击的影响。及早检测也是及时启动事件响应和缓解措施的关键，有助于组织在影响扩大之前将其控制住。
流量过滤是指检查传入的网络流量，并应用过滤器来阻止或允许特定类型的流量。该技术可部署在不同层级，例如网络边缘路由器、防火墙或专用DDoS缓解设备。通过过滤恶意或不需要的流量，组织可以降低DDoS攻击的影响，并帮助确保合法流量到达预期目的地。
速率限制可限制来自特定来源或指定时间范围内的传入请求或数据包数量。通过实施速率限制，组织可以防止流量大量涌入，从而减轻DDoS攻击的影响。
异常检测是指监控网络流量模式和行为，以识别偏离正常模式的情况。它利用统计分析和机器学习算法建立行为基线，并检测可能表明发生DDoS攻击的异常活动。异常检测系统可以识别异常流量激增、数据包洪泛或其他表明攻击正在进行的模式。
行为分析侧重于监控用户、系统或网络实体的行为，以检测并识别可疑或恶意活动。行为分析技术有助于区分合法流量与攻击流量，使组织能够有效应对DDoS攻击，同时尽可能减少误报。此类分析既可在客户端执行，也可通过智能代理在服务器端执行；智能代理可检测可能表明拒绝服务攻击的系统压力。
部署内容分发网络（CDN）有助于减轻流量型攻击的影响，并提升可用性和性能。CDN可以利用其分布式网络基础设施识别并阻止恶意流量，确保合法请求到达目标。
负载均衡器和应用交付控制器（ADC）还可通过智能分配和管理流量，抵御DDoS攻击。负载均衡器可采用速率限制、流量整形或将流量重定向至专用DDoS防护解决方案等多种技术，检测并缓解DDoS攻击。
部署基于云的DDoS防护服务有助于提供专用且可扩展的缓解能力，以抵御DDoS攻击。通过将流量重定向至这些服务，组织可以利用先进的缓解技术、实时威胁情报以及专业服务提供商的专业能力。
防范DDoS攻击的其他良好实践包括启用传输控制协议（TCP）和用户数据报协议（UDP）请求管理，确保仅处理合法请求。定期监控和记录日志有助于及早发现攻击，并可减轻负面影响。流量增加、错误或异常活动等模式可触发警报，以便进一步调查。对应用与客户端之间的流量进行加密，可增加攻击者拦截和篡改流量的难度。定期更新软件可确保系统采用最新的安全功能和补丁，从而缓解包括DDoS攻击在内的已知威胁。
DDoS案例研究
随着DDoS攻击的规模和复杂性不断增加，组织需要部署多层防护，在攻击到达企业网络之前将其阻止。这些攻击通常将大流量与隐蔽、低速持续且针对应用的攻击技术相结合，并由自动化僵尸网络或人工操控的工具发起。随着此类攻击日益频繁，停机成本持续攀升，采用全面的分层防御至关重要，可帮助缓解此类攻击，保障关键业务。
观看或阅读以下案例研究，了解真实发生的DDoS攻击及其缓解方式。
- 了解F5如何帮助一家电子邮件服务提供商阻止了一次26 Gbps的流量型DDoS攻击。
- 了解澳大利亚Heritage Bank如何部署一套可提供全天候DDoS防护的F5产品，并满足该银行的监管要求。
DDoS新兴趋势
随着DDoS攻击不断演变，组织需要及时了解最新趋势和动态。
近期的一个趋势是，物联网（IoT）僵尸网络日益普遍。智能摄像头、路由器和联网家电等IoT设备通常安全措施薄弱，容易遭到入侵。攻击者利用这些设备中的漏洞植入恶意软件，并将其纳入僵尸网络。数千台遭入侵的IoT设备汇聚起来的计算能力可产生海量DDoS攻击流量。
应用层攻击旨在耗尽服务器资源或利用特定应用中的漏洞，通常会模仿合法用户行为，因此更难检测和缓解。应用层攻击的防御尤其具有挑战性，因为这需要深入了解应用行为，并采用专门的防护机制。
随着DDoS即服务平台的出现，技术能力较弱的人员也更容易发起DDoS攻击。这些平台可在暗网上找到，并提供易于使用的界面，用户可通过这些界面租用和部署DDoS攻击资源，通常会利用租赁的僵尸网络。
F5如何提供帮助
高级DDoS威胁需要高级DDoS防护，F5服务和解决方案可为您提供帮助。抵御DDoS攻击的有效方式是防患于未然。F5解决方案可缓解多向量拒绝服务攻击。此类攻击会导致关键基础设施不堪重负、以关键协议为目标，并利用应用或服务中的漏洞。F5解决方案还可防御DNS放大攻击及其他洪泛攻击。通过验证查询请求、缓解恶意通信，并提供DNS和应用可见性，这些解决方案有助于充分提升其运行状况、优化水平和防护能力。F5 DDoS缓解解决方案提供多层防御，可增强对混合型网络攻击和复杂应用漏洞利用的纵深防御，并能近乎实时地检测和消除威胁。
此外，F5 NGINX Plus是一款云原生、易于使用的反向代理、负载均衡器和API网关。它通过内置的速率限制功能以及TCP和UDP请求管理提供DDoS防护。F5 NGINX App Protect DoS是一款专为DevOps环境设计的动态软件安全模块，可在NGINX Plus上原生运行，并使用eBPF技术加速缓解针对现代应用和API的第7层DDoS攻击。F5 NGINX App Protect WAF是一款专为DevOps环境设计的轻量级现代应用和API安全解决方案，可在NGINX Plus上原生运行。它不仅提供基本的OWASP十大风险防护，还提供高级安全功能，包括7,500多个威胁特征、机器人特征以及威胁活动防护。