DDoS攻擊就是攻擊者發(fā)起的一個(gè)嘗試，目的是耗盡可用于網(wǎng)絡(luò)、應(yīng)用程序或服務(wù)的資源，以致于真正的用戶(hù)無(wú)法訪問(wèn)這些資源。它是由一組惡意軟件感染的計(jì)算機(jī)或自愿的客戶(hù)端計(jì)算機(jī)產(chǎn)生的攻擊，這些計(jì)算機(jī)企圖耗盡特定的網(wǎng)絡(luò)、網(wǎng)站或服務(wù)的資源。不過(guò)，并非所有DDoS攻擊均按照相同的方式來(lái)操作。

　　DDoS攻擊可分為多種不同的形式。這些形式包括洪水攻擊和更加尖端的應(yīng)用層攻擊手段/工具。洪水攻擊依賴(lài)大量流量/會(huì)話(huà)來(lái)耗盡一個(gè)目標(biāo)，例如TCP SYN、ICMP和UDP洪水;尖端的應(yīng)用層攻擊手段/工具包括Slowloris、KillApache等。

　　DDoS攻擊可分為大流量攻擊、TCP狀態(tài)耗盡攻擊或應(yīng)用層攻擊。在2011年第2季度出版的Kapersky的DDoS攻擊報(bào)告中，HTTP洪水攻擊是最常見(jiàn)的DDoS手段，它就是應(yīng)用層攻擊的一個(gè)實(shí)例。應(yīng)用層攻擊占據(jù)主導(dǎo)地位反映了快速演變的DDoS已脫離傳統(tǒng)的大流量攻擊方向。

　　大流量攻擊

　　大流量攻擊通過(guò)海量流量使得網(wǎng)絡(luò)的帶寬和基礎(chǔ)設(shè)施達(dá)到飽和，將其消耗殆盡，從而實(shí)現(xiàn)淹沒(méi)網(wǎng)絡(luò)的目的。一旦流量超過(guò)網(wǎng)絡(luò)的容量，或網(wǎng)絡(luò)與互聯(lián)網(wǎng)其他部分的連接能力，網(wǎng)絡(luò)將無(wú)法訪問(wèn)，如上圖所示。大流量攻擊實(shí)例包括ICMP、碎片和UDP洪水。

　　TCP狀態(tài)耗盡攻擊

　　TCP狀態(tài)耗盡攻擊試圖消耗許多基礎(chǔ)設(shè)施組件（例如負(fù)載均衡器、防火墻和應(yīng)用服務(wù)器本身）中存在的連接狀態(tài)表。例如，防火墻必須分析每個(gè)數(shù)據(jù)包來(lái)確定數(shù)據(jù)包是離散連接，現(xiàn)有連接的存續(xù)，還是現(xiàn)有連接的完結(jié)。同樣，入侵防御系統(tǒng)必須跟蹤狀態(tài)以實(shí)施基于簽名的數(shù)據(jù)包檢測(cè)和有狀態(tài)的協(xié)議分析。這些設(shè)備和其他有狀態(tài)的設(shè)備—包括負(fù)責(zé)均衡器—被會(huì)話(huà)洪水或連接攻擊頻繁攻陷。例如，Sockstress攻擊可通過(guò)打開(kāi)套接字來(lái)填充連接表以便快速淹沒(méi)防火墻的狀態(tài)表。

　　應(yīng)用層攻擊

　　應(yīng)用層攻擊使用更加尖端的機(jī)制來(lái)實(shí)現(xiàn)黑客的目標(biāo)。應(yīng)用層攻擊并非使用流量或會(huì)話(huà)來(lái)淹沒(méi)網(wǎng)絡(luò)，它針對(duì)特定的應(yīng)用/服務(wù)緩慢地耗盡應(yīng)用層上的資源。應(yīng)用層攻擊在低流量速率下十分有效，從協(xié)議角度看，攻擊中涉及的流量可能是合法的。這使得應(yīng)用層攻擊比其他類(lèi)型的DDoS攻擊更加難以檢測(cè)。HTTP洪水、DNS詞典、Slowloris等都是應(yīng)用層攻擊的實(shí)例。

　　如何防御DDoS攻擊的六大絕招

　　分布式拒絕服務(wù)攻擊（DDoS）是一種特殊形式的拒絕服務(wù)攻擊。它是利用多臺(tái)已經(jīng)被攻擊者所控制的機(jī)器對(duì)某一臺(tái)單機(jī)發(fā)起攻擊，在帶寬相對(duì)的情況下，被攻擊的主機(jī)很容易失去反應(yīng)能力。作為一種分布、協(xié)作的大規(guī)模攻擊方式，分布式拒絕服務(wù)攻擊（DDoS）主要瞄準(zhǔn)比較大的站點(diǎn)，像商業(yè)公司，搜索引擎和政府部門(mén)的站點(diǎn)。由于它通過(guò)利用一批受控制的機(jī)器向一臺(tái)機(jī)器發(fā)起攻擊，來(lái)勢(shì)迅猛，而且往往令人難以防備，具有極大的破壞性。

　　對(duì)于此類(lèi)隱蔽性極好的DDoS攻擊的防范，更重要的是用戶(hù)要加強(qiáng)安全防范意識(shí)，提高網(wǎng)絡(luò)系統(tǒng)的安全性。專(zhuān)家建議可以采取的安全防御措施有以下幾種。

　　1.及早發(fā)現(xiàn)系統(tǒng)存在的攻擊漏洞，及時(shí)安裝系統(tǒng)補(bǔ)丁程序。對(duì)一些重要的信息（例如系統(tǒng)配置信息）建立和完善備份機(jī)制。對(duì)一些特權(quán)賬號(hào)（例如管理員賬號(hào)）的密碼設(shè)置要謹(jǐn)慎。通過(guò)這樣一系列的舉措可以把攻擊者的可乘之機(jī)降低到最小。

　　2.在網(wǎng)絡(luò)管理方面，要經(jīng)常檢查系統(tǒng)的物理環(huán)境，禁止那些不必要的網(wǎng)絡(luò)服務(wù)。建立邊界安全界限，確保輸出的包受到正確限制。經(jīng)常檢測(cè)系統(tǒng)配置信息，并注意查看每天的安全日志。

　　3.利用網(wǎng)絡(luò)安全設(shè)備（例如：防火墻）來(lái)加固網(wǎng)絡(luò)的安全性，配置好這些設(shè)備的安全規(guī)則，過(guò)濾掉所有可能的偽造數(shù)據(jù)包。

　　4.與網(wǎng)絡(luò)服務(wù)提供商協(xié)調(diào)工作，讓網(wǎng)絡(luò)服務(wù)提供商幫助實(shí)現(xiàn)路由的訪問(wèn)控制和對(duì)帶寬總量的限制。

　　5.當(dāng)用戶(hù)發(fā)現(xiàn)自己正在遭受DDoS攻擊時(shí)，應(yīng)當(dāng)啟動(dòng)自己的應(yīng)付策略，盡可能快地追蹤攻擊包，并且及時(shí)聯(lián)系ISP和有關(guān)應(yīng)急組織，分析受影響的系統(tǒng)，確定涉及的其他節(jié)點(diǎn)，從而阻擋從已知攻擊節(jié)點(diǎn)的流量。

　　6.如果用戶(hù)是潛在的DDoS攻擊受害者，并且用戶(hù)發(fā)現(xiàn)自己的計(jì)算機(jī)被攻擊者用作主控端和代理端時(shí)，用戶(hù)不能因?yàn)樽约旱南到y(tǒng)暫時(shí)沒(méi)有受到損害而掉以輕心。攻擊者一旦發(fā)現(xiàn)用戶(hù)系統(tǒng)的漏洞，這對(duì)用戶(hù)的系統(tǒng)是一個(gè)很大的威脅。所以用戶(hù)只要發(fā)現(xiàn)系統(tǒng)中存在DDoS攻擊的工具軟件要及時(shí)把它清除，以免留下后患。