一、 概念釐清：DoS vs DDoS

• DoS (Denial of Service)： 單一來源發送超量封包/請求，耗盡目標頻寬、連線表、CPU，導致合法服務不可用。不涉入侵、不竊資料，但造成業務中斷。
• DDoS (Distributed DoS)： 攻擊者控制大量殭屍主機（Botnet）協同發動。架構分層：Handler（控制端）→ Agent（攻擊端），可動員上千主機產生 Tbps 級流量。2000 年 Yahoo、eBay、CNN 遭攻擊癱瘓數小時即為典型案例。

二、 DDoS 分類學

維度	類型	特徵
自動化程度	手動	駭客手動掃描、植入、下指令
	半自動	散布自動化植入工具，Handler 統一指揮 Agent 攻擊
	全自動	目標/時間/手法預寫代碼，蠕蟲式自動掃描植入定時發動（如 Blaster 蠕蟲）
攻擊向量	協定攻擊	利用協定缺陷消耗資源：TCP SYN Flood、DNS 放大、NTP 放大、SSL 重協商
	暴力攻擊	大量合法請求耗盡應用層資源：HTTP Flood、CC 攻擊、DNS 查詢洪水
頻率模式	持續攻擊	全力持續輸出，流量尖峰明顯，易被偵測
	變頻攻擊	緩慢升溫、脈衝式、隨機間歇，延遲偵測、繞過閾值觸發

三、 遭受攻擊時的生存戰術

1. 溯源與聯動： 從邊界路由器回溯上游 ISP，請求協助封鎖/清洗。跨 ISP 協調需預建聯繫窗口。
2. 更換 IP / 修改 DNS： 若僅單一 IP 遭攻，快速切換 IP 並更新 DNS 記錄（TTL 設低），最快恢復服務；但攻擊者目的達到（服務中斷），屬戰術撤退。
3. 特徵封鎖： 若攻擊特徵明確（單一來源、固定埠、特定旗標），在上游路由器 ACL 或防火牆封鎖。風險：誤殺合法流量。
4. 流量導流/清洗： 引流至 DDoS 清洗中心（自建或雲端服務：Cloudflare、Akamai、AWS Shield、阿里云高防 IP），清洗後回注乾淨流量。
5. 擴容緩衝： 臨時增加頻寬/伺服器作為緩衝，治標不治本，爭取溯源時間。
6. 核心原則： 立即啟動應變流程，保留封包捕獲 (pcap) 做事後分析與法律證據。

四、 預防勝於治療：系統免疫與生態共治

• 資產免疫： 所有主機/網路設備：即時修補漏洞、關閉非必要服務、部署防毒/EDR、強化認證（禁用預設帳密）。
• 反偽造來源路由驗證： 路由器啟用 uRPF (Unicast Reverse Path Forwarding) / BCP38 入口過濾，丟棄來源 IP 偽造封包，斷絕反射放大攻擊根基。
• 跨網域聯防： ISP/IXP 部署流量感測器（NetFlow/sFlow/Telemetry），異常流量早期預警、自動觸發清洗/黑洞路由。
• 應用層韌性： 靜態內容 CDN 化、API 限流/熔斷、無狀態服務水平擴展、資料庫讀寫分離、緩存穿透/擊穿/雪崩防護。

結語：DDoS 是體系對抗，非單點防禦

從頻寬堆疊到智慧清洗，從被動封鎖到主動免疫（零信任、移動標的防禦 MTD、圖神經網路異常偵測），DDoS 防禦正邁向「全域安全網絡 (GSN)」體系：統一註冊存取、策略平台聯動、終端健康檢查、自動化遏制。唯有將防禦延伸至每個網路終端與業務邏輯層，才能在流量洪峰中守住服務可用性。