分享
什么是 DDoS 攻击？
在分布式拒绝服务攻击中，恶意行为者会利用异常高的流量淹没网络、服务或应用程序，从而有效阻断合法用户的请求。被利用的系统可能包括计算机、联网资源以及物联网 (IoT) 设备，如智能音箱和可穿戴设备。近年来，此类网络攻击的频率、规模和复杂性持续上升。
DDoS 攻击违法吗？
是的，DDoS 攻击属于网络犯罪，已造成数百万美元的损失。例如，在美国，黑客及其他个人因实施 DDoS 攻击而被控联邦刑事罪。其他许多国家也有类似法律。
在大型购物节等特殊时期，网站可能因客户流量激增而过载，导致托管环境或网站运行缓慢甚至崩溃。然而，利用被劫持设备网络进行预谋破坏的行为属于犯罪行为。
DDoS 攻击如何运作？
拒绝服务 (DoS) 攻击仅使用一个网络连接瘫痪机器或网络，而分布式拒绝服务 (DDoS) 攻击则利用多个受感染的机器（称为僵尸网络）来淹没受害者基础设施，可能导致灾难性故障。网络犯罪分子利用恶意软件控制这些僵尸网络，并指挥其向目标发送大量网络流量，通常以恶意数据包形式出现。由于 DDoS 攻击将负载分散到多个受感染设备上，因此比标准 DoS 攻击更难缓解。
从技术层面看，数据包是互联网上传输数据的基本单位。每一次交互（如加载网页、播放视频或发送电子邮件）都依赖服务器和用户之间的数据包传输。在 DDoS 攻击中，僵尸网络会产生大量数据包，耗尽目标带宽、处理能力或连接上限，从而有效瘫痪网络服务。
虽然域名本身通常不是 DDoS 攻击的直接目标，但当域名系统 (DNS) 服务器或相关基础设施受到攻击时，域名可能会受到严重影响。分布式拒绝服务事件可能导致域无法访问，从而扰乱业务运营、阻断客户访问，并损害公司声誉。
DDoS 攻击的类型
尽管分布式拒绝服务事件类型繁多，但大多数可归为以下几类常见攻击类型。
应用层攻击，有时称为第 7 层攻击，针对开放系统互连 (OSI) 模型的最高层，即用户与应用程序交互的层。该层负责处理加载网页、管理数据库查询等任务。攻击者向应用程序发送大量看似合法的请求，产生过量网络流量，耗尽服务器资源并导致服务中断。
协议攻击，有时称为状态耗尽攻击，利用传输层和网络层（OSI 模型第 3 层和第 4 层）通信协议的漏洞。此类攻击旨在消耗防火墙、负载均衡器或服务器中的有限资源，如内存或连接状态表。部分攻击通过发送格式错误或精心构造的数据包，利用系统处理网络流量的方式；另一些则操纵连接处理，制造网络瓶颈。由于协议攻击不一定需要深厚技术知识，因此相对常见。
容量攻击，也称为基于网络的攻击，是最常见、最知名的 DDoS 攻击类型，主要通过耗尽目标可用带宽实现攻击。此类攻击向目标发送大量请求，常借助反射和放大技术增加流量规模。例如，DNS 放大攻击中，攻击者利用开放 DNS 解析器发送小型伪造查询，生成更大的响应数据包并指向受害者 IP 地址。大量响应会导致网络饱和，使合法流量难以通过。
网络犯罪分子可将这些方法任意组合，形成多向量攻击，通过同时攻击不同层面提高攻击的复杂性和严重性。
可参阅我们的洞察报告《加强 DNS 安全的六种方法》，了解阻止 DNS 放大攻击等更多信息。
DDoS 攻击的后果
在当今全天候在线的世界中，即使短时间的计划外停机，也可能对组织造成影响。事件发生后，企业可能面临客户收入损失、员工生产力下降，以及解决安全漏洞的潜在成本。
重大事件可能引发长期后果，如品牌受损、客户信任下降、其他安全漏洞暴露给对手，以及如果企业未能采取充分防护措施而导致 DDoS 事件发生，可能承担法律责任。
企业级 DDoS 防护
分布式拒绝服务攻击易于实施且成本低廉，因此越来越多地用于攻击 DNS 系统，从而扰乱网络业务。由于 DNS 将域名转换为 IP 地址，它是关键攻击目标，必须采取有效的网络安全措施。
如何阻止 DDoS 攻击
强有力的预防措施对于快速检测和阻止 DDoS 攻击至关重要，可将对日常运营的影响降至最低。
为防御基于 DNS 的攻击，建议采用具有多层 DDoS 防护的解决方案。DNS 节点（处理域名解析的关键组件）应配备 DDoS 缓解设备，以持续监控异常流量模式，例如畸形流量或来自可疑位置的高流量。及早发现至关重要。
大多数分布式拒绝服务攻击规模较小，通常可在不造成重大干扰的情况下缓解。速率限制和流量过滤等技术可通过控制请求量和阻断恶意流量来应对这些攻击。
针对大规模流量激增，应将恶意流量自动重定向至能够承载负载的独立专用网络，这一措施称为 DNS 冗余。此举可将潜在损害限制在受攻击的 DNS 基础设施上。在威胁得到控制后，全天候安全运营团队可更高效地进行响应。
如何防范 DDoS 攻击
减少组织的整体攻击面，可降低网络犯罪分子的可乘之机，从而有助于防范 DDoS 攻击。为增强防御能力，可参考以下最佳实践：
加强对相互依赖服务（如 DNS 和云服务提供商）的安全性防护
尽量减少与物联网设备的连接，以降低潜在风险
为远程员工实施安全措施，因为多重 Wi-Fi 连接会扩大攻击面
使用可全面监控域组合的安全平台，帮助识别和缓解潜在安全盲点
利用 DNS 冗余，通过构建遍布全球的多主多备节点网络，实现可靠覆盖
使用内置 DDoS 防护和 DNS 安全扩展 (DNSSEC)，防御恶意流量和其他基于 DNS 的攻击
与提供 DDoS 清洗中心等服务的安全服务提供商合作，在恶意流量到达网络前进行过滤和清除
保护 DNS 免受 DDoS 攻击
提前规划，确保 DNS 在面对分布式拒绝服务威胁时保持韧性，从而保护业务运营。由 Vercara 提供支持的企业级 DNS 服务结合任播路由、内置 DDoS 缓解和全球冗余，确保持续运行并防止服务中断。通过持续监控和自动警报，该解决方案可在潜在威胁影响业务前识别漏洞并进行预警。
常见问题解答
分布式拒绝服务攻击会用过量流量淹没网站、服务器或网络，扰乱正常运行，使合法用户无法访问在线服务。
DDoS 攻击在大多数国家均属非法行为，可能面临严厉处罚，包括罚款和刑事指控。许多司法辖区根据禁止未经授权干扰计算机系统的相关法律，将此类行为认定为网络犯罪。
DDoS 攻击的迹象包括流量骤增、网站响应变慢、意外中断，以及用户无法访问在线服务。安全监控工具可帮助检测与攻击相关的异常流量模式。
是的，企业可以通过速率限制、流量过滤以及 DDoS 缓解服务来防范 DDoS 攻击，这些服务能够在恶意流量到达关键基础设施之前进行检测和阻断。实施 DNS 冗余同样有助于将 DNS 查询分布到多个网络，从而降低攻击期间单点故障的风险。
一次成功的 DDoS 攻击可能扰乱企业运营，影响收入，并损害品牌声誉。企业应制定全面的缓解方案，包括 DDoS 防护服务、网络冗余和事件响应策略。
相关资源
Monitoring Marketplaces:
Image AI Available Now to Identify Brand Threats
6 Ways to Strengthen DNS Security
Domain Security Checklist
咨询
所有标有 * 的字段均为必填项。
