一、為何 DDoS 攻擊頻發？
頻寬增長、DDoS 工具泛濫、實施門檻極低。商業競爭、報復、網路敲詐驅使 IDC 機房、商業站點、遊戲伺服器、聊天網路長期遭攻擊，引發客戶投訴、虛擬主機連坐、法律糾紛、商業損失。解決 DDoS 已成網路服務商頭等大事。
二、什麼是 DDoS？
DDoS = Distributed Denial of Service (分散式阻斷服務)。拒絕服務定義：任何導致合法用戶無法存取正常網路服務的行為。目的單一：阻止合法存取。
DDoS vs DoS：
- DDoS： 大量「殭屍主機」發送看似合法封包 → 頻寬阻塞/資源耗盡 → 洪水式攻擊。手段：SYN/ACK/UDP/ICMP/TCP/Connections/Script/Proxy Flood 等。
- DoS： 利用主機特定漏洞 → 協定棧失效/系統崩潰/死機。手段：TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、OOB 等。
結論： DDoS 危害更大、更難防；DoS 打補丁/裝防火牆即可較好防範。
三、如何判斷是否遭受 DDoS？
1. 流量型攻擊 (針對頻寬)
- Ping 超時/嚴重丟包 (平時正常) → 疑似流量攻擊。
- 同交換機上其他伺服器也無法存取 → 基本確認流量攻擊。
- 前提：ICMP 未被封鎖；否則用 Telnet 服務埠測試同理。
- 典型徵兆：遠端終端 (SSH/RDP) 連線失敗。
2. 資源耗盡型攻擊 (針對主機)
- 網站極慢/無法存取，但 Ping 通 → 疑似資源耗盡。
- 伺服器執行 `netstat -na` 大量 `SYN_RECEIVED`、`TIME_WAIT`、`FIN_WAIT_1`，`ESTABLISHED` 極少 → 確認資源耗盡 (SYN Flood 等)。
- Ping 自家主機不通/丟包，但 Ping 同交換機其他主機正常 → 主機 CPU 100% (核心/應用佔滿) 無法回應 ICMP，頻寬實際尚可。
四、當前三大主流 DDoS 攻擊手法深度解析
1. SYN/ACK Flood — 經典最猛、最難防
- 大量偽造源 IP/埠的 SYN 或 ACK 封包 → 目標緩存耗盡/忙於回應 → 拒絕服務。
- 源 IP 偽造 → 追蹤極難。需高頻寬殭屍網支援。
- 少量：無法存取 Web 但 Ping 通，`netstat` 大量 `SYN_RECEIVED`。
大量：Ping 失敗、TCP/IP 棧失效、系統凍結 (鍵滑鼠無回應)。
普通防火牆多無法抵禦。
2. TCP 全連接攻擊 — 繞過傳統防火牆
- 利用防火牆放行正常 TCP 連接特性。
- 大量殭屍主機建立完整 TCP 三向交握連接 → 耗盡 Web 伺服器 (IIS/Apache) 連接數上限 → 記憶體耗盡拖垮。
- 特點：繞過一般防火牆。缺點：需大量殭屍、源 IP 暴露易追蹤。
3. 刷 Script 腳本攻擊 (應用層 CC 攻擊) — 以小博大
- 針對動態腳本 (ASP/JSP/PHP/CGI) + 資料庫 (MSSQL/MySQL/Oracle) 架構。
- 建立正常 TCP 連接，高頻提交耗資源查詢 (搜尋、列表、複雜報表)。
- 客戶端成本極低 (GET/POST 指令)，伺服器端需從萬筆記錄查詢，資源消耗巨大。
- 數百並發查詢即癱瘓常見資料庫伺服器。
- 特點：完全繞過普通防火牆，Proxy 代理即可實施。缺點：靜態頁面站點效果差，部分 Proxy 洩露攻擊者 IP。
五、分層防禦架構：從識別到緩解的完整閉環
- 邊緣接入層： ISP 黑洞路由 (RTBH)、流量工程 (FRR/TE) 快速隔離異常流量。
- 雲端清洗中心： Tbps 級清洗，特徵+行為+AI 多引擎，秒級識別回注乾淨流量。
- 高防 IP / 負載均衡層： 隱藏源站真實 IP，分發流量、終結 SSL、WAF 防護應用層攻擊 (CC、SQLi、XSS)。
- 源站防護層： 系統/應用加固 (SYN Cookie、連接數限制、快取、靜態資源 CDN 化)、HIDS/EDR 監控異常進程/連線。
- 全域威脅情報與 SOAR： 整合 C2/Botnet 指標即時下發封鎖，攻擊事件自動關聯生成劇本 (封 IP、調度清洗、切換備線、通知運營)。
- 多活架構與演練： 多區域部署、DNS 故障切換、資料同步、季度紅藍對抗演練。
六、站長自助應急清單 (被攻擊時立即執行)
- 確認攻擊類型 (流量型 vs 資源型) — `ping` + `netstat -na`。
- 啟用雲高防/CDN (修改 DNS 解析至高防 CNAME)，隱藏源站 IP。
- 聯繫 ISP/雲廠商啟用緊急清洗通道。
- 源站防火牆臨時封鎖明顯攻擊源 IP 段 (配合日誌分析)。
- 調整 Web 伺服器連接限制、啟用快取、關閉非必要動態功能。
- 保留完整日誌 (存取、錯誤、防火牆、系統) 供事後溯源/法律追訴。
- 對外發布維護公告，安撫用戶，啟用靜態備用頁面。
結語
DDoS 防禦無銀彈，唯有架構級纵深防禦 + 全域威脅情報 + 智能化協同響應 + 多活韌性架構才能在 Tbps 級攻擊洪流中守住業務連續性。站長必須從「買台防火牆」思維轉型為「建設安全體系」思維，平時深耕基線加固、情報訂閱、演練預案，戰時才能從容應對。