DDoS（分散式拒絕服務）攻擊技術門檻低、成本低、破壞力極大，已成為企業業務連續性的頭號威脅。本文從攻擊原理、演變趨勢、防禦架構三個維度，提供可落地的企業級防禦指南。
一、 攻擊本質：資源耗盡的非對稱戰爭
DDoS 核心目標：讓合法使用者無法存取服務。攻擊者操控殭屍網路（Botnet），向目標發送海量偽造或合法請求，耗盡：
- 頻寬： volumetric attacks（UDP Flood、NTP/DNS 放大、Memcached 放大）。
- 連線表/狀態表：SYN Flood、TCP 連線耗盡、SSL 握手耗盡。
- 應用層資源：HTTP Flood、CC 攻擊（模擬真實使用者行為）、Slowloris（緩慢發送 Header 佔用連線）、大文件上傳/下載、資料庫查詢耗盡。
二、 攻擊演變趨勢（2024 觀察）
- 多向量混合：單次攻擊同時發動 L3/4 流量洪水 + L7 應用層耗盡，繞過單一防禦設備。
- 加密流量攻擊：HTTPS Flood、TLS 協商耗盡，傳統清洗設備無法解密檢測。
- IoT 殭屍網暴增：Mirai 變種、Mozi、Gafgyt 持續感染路由器、攝影機、智慧家電，攻擊頻寬動輒 Tbps 級。
- 勒索 DDoS (RDDoS)：先示範攻擊再勒索比特幣，不付款持續攻擊。
- 攻擊即服務：地下市場提供「按小時租用 Botnet」，幾美元即可發動百 Gbps 攻擊。
三、 企業級纵深防禦架構
1. 基礎設施加固（內功心法）
- 作業系統/中介軟體修補：啟用 TCP SYN Cookie、調大 backlog、調整 TCP 逾時參數。
- Web 伺服器優化：靜態內容 CDN 快取、啟用 Gzip/HTTP2、限制單 IP 連線數/請求率、資料庫連線池隔離、讀寫分離。
- DNS 彈性：部署 Anycast DNS、多組權威伺服器、啟用 DNSSEC、TTL 策略平衡快取與切換速度。
2. 邊界清洗與流量工程（外功招式）
- 上游運營商/ISP 清洗：簽訂 DDoS 緊急清洗 SLA，攻擊時一鍵導流。
- 專業抗 DDoS 服務：Cloudflare、Akamai、AWS Shield、Azure DDoS Protection、本地廠商（如寶塔、知道創宇、華雲數據），提供 Anycast 清洗中心、全球頻寬池。
- BGP 導流/黑洞路由：攻擊超過清洗能力時，宣告黑洞路由犧牲單一 IP 保全整體網路。
3. 應用層精準防護（點穴功夫）
- WAF 規則引擎：IP 信譽庫、地理封鎖、速率限制、行為分析（JS 挑戰、驗證碼、設備指紋）。
- Bot 管理：識別自動化工具、爬蟲、憑證填充，回傳 403/挑戰頁/蜜罐。
- API 保護：Schema 驗證、OAuth2/JWT 強制、配額限流、異常呼叫模式封鎖。
4. 可觀測性與應急響應（戰場指揮所）
- 全鏈路監控：流量基線、延遲、錯誤率、連線數、CPU/記憶體/磁碟 I/O、業務指標（下單量、登入成功率）。
- 自動化響應：Prometheus + Alertmanager + Webhook 觸發導流、擴容、封鎖 IP、切換備援站點。
- 演練與複盤：每季實施紅藍軍對抗、DDoS 壓測（授權環境）、事後複盤產出改進清單。
四、 預算有限的中小企業優先行動清單
- 啟用 CDN（Cloudflare 免費版/付費版）隱藏真實 IP、吸收 L3/4 攻擊、提供基礎 WAF。
- DNS 解析指向 CDN，源站 IP 僅允許 CDN 回源 IP 段存取。
- Web 應用啟用速率限制（Nginx limit_req、應用層中介軟體）。
- 備份關鍵靜態頁面至 Object Storage（S3/OSS），主站掛掉時快速切換維護頁面。
- 建立事件響應手冊：聯絡人、上游運營商緊急電話、清洗服務開通流程、溝通話術。
五、 結語
DDoS 無法 100% 根治，但可透過架構彈性化、清洗雲端化、防禦智慧化、響應自動化將業務影響降至最低。資安投資不應只買「盾」，更要練「內功」——系統韌性、可觀測性、團隊實戰能力，才是抵禦未知風暴的根本。