DDoS（分散式阻斷服務）攻擊核心在於「拒絕服務」與「分散式」：攻擊者耗盡目標頻寬、運算、儲存等資源，使合法用戶無法存取。早期以網路/傳輸層大流量洪水攻擊為主，隨頻寬成本降低、特徵明顯易防，比例下降。Web 2.0 時代，應用層 DDoS 激增：攻擊流量偽裝正常協議、業務邏輯緊密結合、流量不大卻極具殺傷力，傳統網路設備難以識別。
攻擊鏈條與前置偵察
攻擊前需大量準備：尋找代理/肉雞隱藏真實位置 → 分散式掃描探測目標（作業系統、資料庫、開放埠、服務類型、業務特性、硬體效能） → 以極低成本發動攻擊，迫使目標耗盡資源拒絕服務。天融信 TopIDP 入侵防禦系統提供完整解決方案。
網路/傳輸層統計型攻擊防護
SYN Flood 經典攻擊機制
偽造源 IP 發送大量 SYN 封包，服務器回應 SYN-ACK 後無 ACK 回應，導致半連接佇列填滿，正常連接請求被丟棄，服務癱瘓。
TopIDP 統計代理防護機制
- UDP Flood、ICMP Flood、Ping Sweep、Port Scan 歸類統計型攻擊
- 基於流量基線學習、異常閾值觸發、自動封鎖源 IP/限流
- 支援協議解析深度檢查，識別偽造封包特徵
應用層 DDoS（CC攻擊）進階防護
攻擊特徵：業務邏輯層面的「低頻高傷」
- 模擬真實用戶行為：完整 TCP 三向交握、正常 HTTP 請求、攜帶有效 Cookie/Session
- 鎖定高資源消耗介面：搜尋、報表生成、複雜查詢、驗證碼生成
- 分散式來源：僵屍網路、代理池、雲端實例，單 IP 流量極低
多維度防禦體系
| 防禦層次 | 技術手段 | 應用場景 |
|---|
| 邊界清洗 | 流量導流至清洗中心，特徵+行為分析清洗後回注 | 大流量洪水攻擊 |
| WAF 應用防火牆 | HTTP 語義分析、IP 信譽、行為基線、JS 挑戰、驗證碼 | CC 攻擊、SQL 注入、XSS |
| 業務層限流 | API 閘道級限流、用戶級配額、滑動視窗計數器 | 防止單一用戶/介面佔用過多資源 |
| 快取與靜態化 | CDN 邊緣快取、靜態資源分離、資料庫查詢快取 | 降低源站壓力，吸收突發流量 |
| 架構彈性 | 自動擴縮容、無狀態服務、熔斷降級、多活架構 | 業務層面韌性保障 |
天融信 TopIDP 綜合防護優勢
- 全協議解析：支援 HTTP/HTTPS/DNS/SMTP 等 200+ 協議深度檢查
- 智慧基線學習：無監督學習建立正常流量基線，零配置識別異常
- 威脅情報聯動：整合全球 IP 信譽、惡意域名、C&C 特徵庫
- 可視化作戰大屏：攻擊拓撲、流量熱力圖、阻斷效果即時呈現
企業 DDoS 防禦成熟度自我評估
- 是否有 DDoS 專用清洗服務（ISP/第三方/自建）？
- 關鍵業務是否部署 WAF 並啟用 CC 防護規則？
- 是否建立業務基線（QPS、延遲、錯誤率）並配置自動告警？
- 是否定期進行 DDoS 實戰演練（紅藍軍對抗）？
- 供應鏈關鍵依賴服務（DNS、CDN、支付）是否有防護 SLA？