一、DoS 基礎：單點癱瘓服務

DoS (Denial of Service) 指駭客試圖妨礙合法用戶使用網路服務。頻寬、設備、主機處理能力皆有上限，駭客製造超量封包即可癱瘓服務。例：大量封包攻擊頻寬較小的撥接/ADSL 用戶，導致網站無法連線或極度緩慢。DoS 不入侵主機、不竊取資料，但能造成業務中斷 (如電商網站無法下單)。

二、DDoS：分散式規模化攻擊

DDoS 是 DoS 特例：駭客預先入侵大量主機植入攻擊程式 (Agent)，再由控制端 (Handler) 統一指揮發動攻擊。架構演進：

• 手動攻擊： 早期，手動尋找肉雞、植入程式、下指令。
• 半自動 (Handler/Agent)： 自動化掃描植入 Agent，Handler 控制所有 Agent 攻擊。
• 全自動 (蠕蟲型)： 攻擊目標/時間/方式預寫入程式，散布後自動掃描植入、定時發動 (如 W32/Blaster 蠕蟲)。

按攻擊弱點分類

1. 協定攻擊： 利用協定設計缺陷/實作 Bug 消耗資源。例：TCP SYN Flood、認證伺服器攻擊。
2. 暴力攻擊： 大量正常連線消耗目標資源。單位時間攻擊流量 > 目標處理能力即癱瘓。

按攻擊頻率分類

1. 持續攻擊： 指令一下全力持續轟炸，瞬間產生巨量流量，易被偵測。
2. 變頻攻擊： 頻率緩增或波動，延緩偵測時間，更隱蔽。

三、歷史大案回顧

2000 年 Yahoo、eBay、Buy.com、CNN 等知名站點遭 DDoS 攻擊，合法流量中斷數小時，震驚業界。

四、現代 DDoS 趨勢：更大、更隱、更智能

• 流量規模 Tbps 級： 物聯網設備 (Mirai 等) 組成超大型 Botnet。
• 多向量混合攻擊： 同步發動 SYN Flood + HTTP Flood + DNS Amplification 等。
• 加密流量攻擊 (HTTPS Flood)： 利用 TLS 加密隱藏惡意負載，傳統清洗設備無法解密檢測。
• 應用層低速攻擊 (Slowloris, RUDY)： 佔用連線槽位極低頻率發送資料，極難區分正常慢速用戶。
• 勒索型 DDoS (RDDoS)： 先示警小規模攻擊，勒索比特幣不付款則全面發動。
• AI 驅動攻擊： 自動化偵察目標弱點、動態調整攻擊向量、對抗防禦模型。

五、防禦演進：從單點到全域智能體系

1. 本地/設備層 (第一道防線，必要但不足)

• 防火牆/路由器 ACL、速率限制、SYN Cookie、連線數限制。
• 優點：零延遲、無額外成本。缺點：頻寬型攻擊上游鏈路已飽和，設備無力回天。

2. ISP/運營商清洗 (第二道防線)

• 流量導向運營商清洗中心，黑洞路由 (RTBH) 或特徵清洗。
• 優點：上游攔截。缺點：僅限頻寬型、延遲高、誤傷合法流量、無法處理加密應用層攻擊。

3. 雲端高防 / CDN 整合防護 (主流最佳實踐)

• 雲端清洗中心： Tbps 級清洗能力，特徵+行為+AI 多引擎，秒級識別清洗，回注乾淨流量。
• CDN 邊緣節點： 吸收應用層攻擊 (HTTP Flood/CC)，隱藏源站真實 IP，提供 WAF、Bot 管理、API 防護。
• 智能調度： 根據攻擊類型自動切換清洗策略、調度流量路徑。

4. 全域威脅情報與協同響應 (SOAR)

• 整合全球 C2 IP、惡意域名、Botnet 指標，即時下發封鎖至邊緣/清洗中心。
• 攻擊事件自動關聯、生成劇本 (封 IP、啟用清洗、切換備用線路、通知運營)，人工複核關鍵決策。

5. 源站隱匿與多活架構 (終極韌性)

• 源站 IP 不公開，僅通過高防 IP/負載均衡/CDN 對外。
• 多區域部署、DNS 故障切換、資料同步，單點攻擊/故障不中斷服務。

結語

DDoS 防禦已進入「雲端清洗 + 邊緣緩解 + 全域情報 + 智能協同 + 源站隱匿」時代。企業應依業務價值選型：中小企業直接雲高防/CDN；大型企業建設自有清洗節點 + SOAR 平台。核心鐵律：將戰場拉離源站，用全域視野換取本地安全，用架構韌性換取業務連續性。