傳統DoS因單機帶寬/算力限制效果遞減，分布式拒絕服務（DDoS）利用僵尸網絡放大攻擊力。2011年洛克希德·馬丁遭持續「猛烈攻擊」引發美政府協助，凸顯DDoS實戰威脅。新型DDoS分三類：
一、基於堵流量的攻擊（犧牲自己帶寬堵塞目標）
1. SYN變種攻擊
發送偽造源IP的大包SYN（超千字節而非傳統64字節），導致防火牆處理錯誤鎖死，同時消耗服務器CPU/內存並阻塞帶寬。變體：偽造TCP標誌位隨機設置，干擾狀態機處理。
2. TCP並發攻擊
利用Windows每進程套接字上限（默認1024），短時大量建立TCP連接耗盡套接字資源，繞過傳統防火牆對SYN/UDP/ICMP的過濾（正常TCP連接被放行）。
二、基於網站腳本的攻擊（應用層CC攻擊）
針對動態頁面（搜索、登錄、報表、大文件下載）發起大量看似合法請求，耗盡後端CPU/內存/數據庫連接池。特點：流量小、難識別、成本低、殺傷力大。
防禦組合拳：
- 前端WAF/防火牆識別異常請求模式（高頻、重複參數、無Referer）；
- 應用層業務限流：用戶/ IP/Session維度令牌桶/漏桶算法；
- 緩存策略：熱點頁面CDN/Redis緩存，減少動態渲染；
- 異步削峰：耗時任務進消息隊列（Kafka/RabbitMQ）異步處理；
- 驗證碼/行為分析：疑似機器流量強制人機驗證。
三、另類攻擊方式
- DNS放大/反射：利用開放解析器小查詢換大響應，源IP偽造為受害者；
- NTP/SSDP/CLDAP放大：同原理，不同協議放大倍數可達百倍；
- 應用層協議攻擊：HTTP/2 Rapid Reset、TLS Renegotiation、WebSocket連接耗盡；
- 業務邏輯攻擊：暴力破解、枚舉用戶、刷單/薅羊毛、API濫用。
綜合防禦架構
- 接入層：運營商級清洗/黑洞路由、Anycast分散；
- 邊界層：硬件防火牆+DDoS緩解設備（SYN Cookie、速率限制、指紋識別）；
- 應用層：WAF+業務限流+緩存+異步+驗證碼；
- 監控層：全鏈路流量可視化、自動告警、一鍵切換緊急預案；
- 演練層：定期紅隊模擬攻擊，驗證防御有效性與響應時效。
DDoS防禦是資源博弈與智慧博弈的結合，靜態配置必敗，唯有動態對抗體系方能制勝。