DDoS (分散式拒絕服務) 透過耗盡目標資源 (頻寬、連線表、CPU、記憶體、磁碟 I/O) 使合法用戶無法存取服務。本文從 TCP 協議機制切入，系統解析 DDoS 核心原理與主流攻擊手法。

一、TCP 協議核心機制回顧 (RFC 793/1122/1323)

• 三向交握**：SYN → SYN+ACK → ACK，建立可靠連線。
• 序號/確認號**：32-bit，每個位元組編碼，確保有序、不重複、無遺漏。
• 滑動窗口/流量控制**：Window 欄位告知接收端剩餘緩衝區大小。
• 重傳機制**：RTO (重傳超時) 內未收到 ACK → 重傳，指數退避。
• 六大旗標**：URG、ACK、PSH、RST、SYN、FIN — 控制連線狀態機。

二、DDoS 分類與核心原理

層級	類型	核心原理	典型手法	防禦重點
網路層 (L3/L4)	頻寬耗盡	海量封包佔滿鏈路頻寬，合法流量無法進入	UDP Flood (NTP/DNS/SSDP/Chargen 放大反射)、ICMP Flood、SYN Flood (半連線耗盡連線表)	流量清洗 (Blackhole/Scrubbing Center)、Anycast 分散、SYN Cookie、限速/黑名單
	協定耗盡	利用協定特性耗盡伺服器資源 (連線表、狀態表、CPU)	SYN Flood、ACK Flood、RST Flood、TCP 連線耗盡 (低速率 Slowloris/RUDY)	SYN Cookie、連線數限制、狀態表優化、應用層檢查
	反射放大	偽造受害者 IP 向開放反射器發送請求，回應流量放大數十倍襲擊受害者	NTP (monlist 1:200+)、DNS (ANY 查詢 1:50+)、SSDP (1:30+)、Memcached (1:50000+)、CLDAP、CharGen	封鎖開放反射器、BCP38 來源位址驗證 (防偽造來源 IP)、速率限制
應用層 (L7)	HTTP/HTTPS Flood	模擬合法用戶行為 (GET/POST 大量請求、大檔案下載、API 暴力呼叫) 耗盡應用伺服器 CPU/記憶體/資料庫連線池	CC 攻擊 (Challenge Collapsar)、Slowloris (慢速 HTTP 標頭)、Slow POST、大檔案下載、API 暴力	WAF (速率限制/人機驗證/語意分析)、CDN 緩存/護盾、應用層限流/熔斷、快取靜態資源
	DNS/SSL/VoIP 等協定 Flood	針對特定應用協定發送畸形/大量請求	DNS Query Flood、SSL Renegotiation、SIP INVITE Flood	協定感知防護、速率限制、異常流量特徵識別

三、常見攻擊工具與平台

• 殭屍網路**：Mirai (IoT)、Emotet/TrickBot (載荷下發)、暗網 DDoS 僱傭服務 (Booter/Stresser)。
• 開源工具**：hping3, LOIC, HOIC, Slowloris, RUDY, GoldenEye, Memcrashed (Memcached 反射)。
• 放大器掃描**：ZMap, Masscan 掃描開放反射埠口 (UDP 123/53/1900/11211/389)。

四、企業級防禦架構

1. 邊界：ISP/雲廠商清洗 (Blackhole Routing → Scrubbing Center → 回注乾淨流量)、Anycast 分散流量 (Cloudflare, Akamai, AWS Shield, Azure DDoS Protection)。
2. 網路層**：邊界路由器/防火牆 ACL/速率限制、SYN Cookie、反射器封鎖 (BCP38/uRPF)。
3. 應用層**：WAF (規則/機器學習/行為分析)、CDN 邊緣緩存/護盾、API 閘道限流/熔斷/認證授權。
4. 可觀測性**：NetFlow/sFlow/Telemetry 即時流量可視化、自動化告警 (閾值/基線偏離/ML 異常檢測)。
5. 應急預案**：DDoS 演練、流量切分開關、備用網站/靜態頁面、法務/公關/客服協同話術。

關鍵認知：DDoS **無法完全消除**，只能**將影響降至業務可接受範圍**。投資重點應置於**彈性架構 (多活/多雲/CDN)、可觀測性、自動化緩解、業務連續性規劃**。