一、認識 DoS 與 DDoS：從單點到分散式攻擊

1. 拒絕服務（DoS）本質

DoS 旨在耗盡目標資源（頻寬、連接表、CPU、記憶體），使合法使用者無法獲得服務。類比現實：剪斷大樓電話線導致無法通話。網路層面，攻擊者發送超出目標處理能力的封包洪流，導致服務癱瘓。DoS 不涉及主機入侵或資料竊取，但對電商等可用性敏感業務造成直接經濟損失。

2. 分散式拒絕服務（DDoS）演進

DDoS 透過控制大量肉雞（Botnet）協同攻擊，放大破壞力。2000 年 Yahoo、eBay、CNN 等巨頭遭受持續數小時攻擊，震驚全球。DDoS 分類維度：

分類維度	類型	特徵
自動化程度	手動	駭客手動植入攻擊程式、下達指令
	半自動	Handler 控制 Agent，自動化植入，手動發動
	全自動	攻擊目標、時間、手法預寫代碼，如 W32/Blaster 蠕蟲
攻擊弱點	協議攻擊	利用 TCP SYN Flood、認證伺服器漏洞消耗資源
	暴力攻擊	大量合法連線佔滿頻寬/連接表
攻擊頻率	持續攻擊	全力持續發送，流量尖峰明顯，易被偵測
	變頻攻擊	緩慢遞增或波動頻率，延遲偵測時間

二、遭受 DDoS 攻擊時的生存戰術

1. 來源追溯與上游協作

攻擊來源多為被植入肉雞，真實駭客難直接定位。需逐級回溯：

1. 確認攻擊流量經由哪些邊界路由器進入。
2. 聯繫上游 ISP/電信業者協助封鎖或追溯上一跳。
3. 在上游處理前，本地可採取緊急應變措施。

2. 戰術性規避與緩解

• 更換 IP 與 DNS 記錄：若僅單一 IP 遭攻擊，快速更換 IP 並更新 DNS 可瞬間恢復服務，但攻擊者目的（阻斷服務）仍達到。
• 流量特徵過濾：若攻擊模式單一（如固定來源、特定協議特徵），在路由器 ACL 或防火牆部署封鎖規則。
• 犧牲性隔離：若流量集中來自特定上游路由器，可暫時封鎖該方向流量，保全其他用戶服務（附帶誤傷風險）。
• 擴充頻寬/機器作為緩衝：治標不治本，僅爭取應急時間。

核心原則：立即啟動應急響應流程，與上游 ISP、CERT/CC 協調溝通，尋求根源治理。

三、預防 DDoS：全產業鏈共同責任

1. 終端與主機衛生

• 及時修補系統漏洞、關閉非必要服務。
• 部署防毒軟體、主機型防火牆（HIDS/HIPS）。
• 避免成為肉雞節點，切斷攻擊鏈條源頭。

2. 來源位址驗證（SAV/BCP 38）

駭客常偽造來源 IP 逃避追蹤。網路邊界路由器啟用入口過濾：丟棄來源 IP 不屬於該網段的封包，防止偽造封包流出本網域。若全網設備正確部署，可大幅縮短追蹤時間。

3. 跨域聯防與早期預警

• ISP 骨幹節點部署流量感測器，偵測異常流量激增並預警。
• 建立跨 ISP/企業的資安情報共享機制（如 ISAC），實現早期封阻與聯防。

結語

DDoS 攻擊已從單純技術對抗演變為資源與協作的博弈。單一組織難以獨力完美防禦，需構建「端點衛生 + 邊界過濾 + 上游協作 + 彈性架構」的立體防禦體系，並在平時完成應急預案演練，才能在洪流來襲時最大程度保障業務連續性。