本文目录导读：
拒绝服务攻击（DoS）和分布式拒绝服务攻击（DDoS）的目标是通过大量非法请求耗尽目标服务器的资源（如带宽、CPU、内存），导致合法用户无法访问，防御这类攻击需要多层次、多角度的策略，没有单一方法可以解决所有问题，防御系统会结合事前预防、事中检测与缓解和事后溯源三个阶段。
以下是主要的防御策略和方法：
网络层与基础设施防御（核心基础）
这是防御大流量攻击的第一道防线，通常在ISP（互联网服务提供商）或云端完成。
- 增加带宽： 虽然不能阻止攻击，但更大的带宽可以提供更高的“震中容量”,但单纯增加带宽成本高昂且治标不治本。
- 流量清洗与黑洞路由：
- 黑洞路由： 检测到攻击后，将目标IP的流量直接丢弃（黑洞化），优点是速度快，缺点是该IP的所有流量都丢失（合法用户也无法访问）。
- 流量清洗中心（Scrubbing Center）： 将可疑流量引流到专门的清洗设备，设备会分析数据包（如来源、行为特征），过滤掉攻击流量，只将干净的流量放回原服务器,这是目前最主流的方法。
- CDN（内容分发网络）与云防护：
- CDN通过将网站内容缓存到全球各地的节点，将攻击流量分散到多个节点，而不是集中在单一服务器上,CDN提供商通常拥有巨大的带宽和抗DDoS能力。
- 云WAF（Web应用防火墙）、DDoS高防IP、DDoS防护包等云服务商提供的服务，可以自动检测和拦截应用层（Layer 7）和网络层（Layer 3/4）的攻击。
应用层防御（针对CC攻击、Slowloris等）
这类攻击模拟正常用户请求，更难以检测,需要更精细的识别机制。
- Web应用防火墙（WAF）：
- 可以基于规则（如IP频率、User-Agent、请求参数异常）进行过滤，检测到单个IP在1秒内请求100次,则自动将其加入黑名单或触发验证码。
- 可以分析HTTP头、URL、POST数据等。
- 速率限制（Rate Limiting）： 对单个IP、特定接口、用户会话或账户设定访问频率上限（每秒不超过5次请求）,超出限额则返回445错误或要求验证码。
- 验证码（CAPTCHA）： 在登录、注册、发帖等敏感操作前增加验证码步骤，可以有效阻止自动化脚本攻击（如CC攻击）。
- 行为分析： 基于AI/机器学习的系统，分析用户行为模式（如鼠标移动轨迹、页面停留时间、访问路径）,区分人类用户和机器人。
- 会话完整性检查： 使用JavaScript计算“谜题”或设置Cookie（如Syn Cookie），强制客户端完成握手，识别出伪造来源的“僵尸”请求。
服务器及系统层面防御
- 防火墙规则： 配置iptables（Linux）或Windows防火墙，限制常见攻击端口、丢弃带恶意标志的TCP包（如SYN Flood）,可以限制单个IP的连接数。
- 操作系统调优：
- 调整TCP/IP协议栈参数（如syn_backlog、tcp_syncookies），增强对SYN Flood等攻击的耐受性。
- 限制同一IP的最大并发连接数和半开连接数。
- 负载均衡： 将请求分发到多台服务器，如果一台服务器被打垮,其他服务器仍可提供服务。
- 资源隔离： 将Web服务器、数据库服务器、应用服务器等分离,避免一台服务器被攻击导致整个系统瘫痪。
监控与应急响应
- 实时流量监控： 使用工具（如Zabbix、Prometheus、Grafana）监控带宽、CPU、内存、连接数等指标，设置异常告警（如流量突然飙升10倍）。
- 日志分析： 分析入侵检测系统（IDS）或Web日志，查找攻击来源IP、攻击特征（如特定User-Agent、Referer、URL模式）。
- 建立响应预案： 明确责任人、沟通流程、切换防护手段（如临时启用黑洞、增加带宽、使用CDN）的步骤。
预防性措施与最佳实践
- 隐藏服务器真实IP： 使用CDN或反向代理，避免攻击者直接获取服务器源IP，如果必须暴露，可以通过防火墙只允许特定IP（如代理服务器IP）访问。
- 最小化暴露面： 关闭不必要的端口和服务（如FTP、Telnet、SSH只对管理IP开放）。
- 内容优化： 对Web页面进行缓存（如使用Redis、Memcached），减少数据库查询压力,使用静态资源CDN。
- 冗余设计： 核心服务采用高可用架构（主备、集群）,避免单点故障。
- 使用专业第三方服务： 对于中小企业和关键业务，强烈建议直接购买云厂商的DDoS高防服务（如阿里云、腾讯云、AWS Shield、Cloudflare等），它们拥有专业的人力、技术和海量带宽,是最有效的应对方案。
防御策略选择建议
| 攻击类型 | 典型症状 | 优先防御手段 |
|---|---|---|
| 大流量攻击 (如UDP Flood、ICMP Flood) | 带宽打满，所有用户无法访问 | 流量清洗中心/黑洞路由 增加带宽 CDN与云防护 |
| SYN Flood | 服务器CPU/内存飙升，大量半连接 | 操作系统TCP调优（如syn_cookies） 防火墙限制半连接数 |
| 应用层攻击 (如CC攻击、Slowloris、HTTP Flood) | 网站响应慢，部分页面不可用 | Web应用防火墙（WAF） 速率限制与验证码 行为分析与AI检测 |
| 慢速攻击 (如Slowloris) | 保持长连接，占用全部连接池 | 设置请求超时时间 限制单IP并发连接数 |
核心建议：
- 不要自己硬扛： 对于大流量DDoS（超过1Gbps），个人或中小企业几乎无法依靠自身服务器抵御，应立即联系ISP或云服务商启用清洗。
- 预防为主： 日常做好系统加固、隐藏真实IP、使用CDN,减少被攻击的可能性。
- 多级防御： 结合网络层、应用层、主机层的工具,形成纵深防御体系。
- 保持更新： 攻击手段不断演进（如新兴的DDoS反射放大、QUIC协议攻击等）,需定期更新防御规则和软件。
如果在遭受攻击时需要具体操作指引（如处理Linux服务器的SYN Flood、配置iptables限流）,可以进一步提问。
