如何防御DDoS攻击？

本文目录导读：

1. 网络层防御（基础防护）
2. 应用层防御（精细化防护）
3. 运营与应急响应（事前、事中、事后）
4. 典型攻击场景的专项防御
5. 成本与风险平衡建议

DDoS（分布式拒绝服务）攻击通过大量恶意流量耗尽目标服务器、网络带宽或应用资源，导致正常用户无法访问，防御DDoS攻击需要从网络层、应用层和运营管理三个层面构建纵深防御体系，以下是具体策略和措施：

网络层防御（基础防护）

1. 带宽与资源冗余

   • 增加带宽：与上游ISP（互联网服务提供商）签订大带宽合同，或使用BGP（边界网关协议）多线接入，分散流量压力。
   • 硬件资源扩容：提升服务器CPU、内存、网卡处理能力，或部署负载均衡器（如Nginx、HAProxy）分散流量。

2. 流量清洗与过滤

   • 启用云WAF/抗D服务：使用专业厂商（如阿里云盾、腾讯云大禹、AWS Shield、Cloudflare）的DDoS高防IP或清洗中心，将正常流量回源，恶意流量被过滤。
   • 实施流量限速：在入口路由器或防火墙设置速率限制（如每秒允许的最大TCP SYN包数、ICMP包数）。
   • 过滤特征流量：丢弃来源IP为内网地址的伪造包（RFC 1918）、丢弃广播包、限制特定端口（如DNS放大攻击中针对UDP 53端口的异常流量）。

3. 网络架构调整

   • 使用CDN加速：将静态内容分发至边缘节点，源站隐藏在CDN之后，攻击者难以直接攻击源IP。
   • 部署Anycast（任播）：通过BGP将同一IP广播至多个数据中心，攻击流量被分散到最近的节点，减少单个节点的压力（常用于DNS防护）。

应用层防御（精细化防护）

1. Web应用防火墙（WAF）

   • HTTP Flood防护：识别并拦截异常高频的HTTP请求（如IP、Cookie、User-Agent异常模式），限制单IP每秒请求数（QPS）。
   • CC攻击防御：针对消耗资源的接口（如登录、搜索）启用验证码、滑块验证或触发速率限制（如120秒内同一IP仅允许5次登录尝试）。
   • 协议合规性检查：过滤畸形HTTP报文、未遵循规范的请求头（如Referer、Content-Type异常值）。

2. 资源隔离与动态调整

   • 应用层熔断：在API网关或微服务中设置限流（如基于令牌桶算法），当请求量超过阈值时自动拒绝新请求或返回503错误。
   • 会话管理：对低频访问用户使用无状态Token，对高频访问IP强制使用会话绑定（如JWT Token绑定IP+User-Agent）。

3. 数据库与缓存保护

   • 数据库连接池限制：设置最大连接数，防止慢查询耗尽数据库资源。
   • 缓存高频查询结果：对热门数据使用Redis/本地缓存，避免每次请求直接读取数据库。

运营与应急响应（事前、事中、事后）

1. 事前准备

   • DDoS演练：定期模拟攻击场景（如慢速连接、HTTP Flood），测试防御系统响应。
   • 监控与告警：部署流量监控系统（如Prometheus + Grafana、Zabbix），设置CPU、内存、带宽、连接数的告警阈值（如连接数突然增长300%）。
   • 备份应急预案：提前与云服务商签署DDoS应急响应服务；准备回滚脚本、备用IP、备用域名。

2. 事中应对

   • 快速隔离：在发现攻击后，立即将可疑IP段加入黑名单（如通过防火墙ACL或ISP的BGP Flow Spec策略）或切换到高防节点。
   • 协作溯源：联系网络运营商或云服务商，请求流量镜像分析攻击源（如检查DNS放大攻击中受害源IP）。
   • 降级服务：关闭非核心功能（如图片压缩、第三方API调用），降低资源消耗；对核心页面启用静态页面缓存（如HTML静态化）。

3. 事后总结

   • 日志分析：分析被攻击期间的访问日志，识别攻击特征（如攻击工具UA、请求参数模式）。
   • 修复漏洞：若攻击利用应用漏洞（如慢速HTTP POST攻击），优化代码（如限制请求超时时间、设置请求体大小限制）。
   • 调整防御策略：根据攻击日志更新WAF规则、提升流量清洗阈值。

典型攻击场景的专项防御

• SYN Flood（同步洪水攻击）：启用SYN Cookie、设置半连接队列超时、调低TCP SYN重试次数。
• DNS放大攻击：关闭DNS递归查询的开放功能，限制UDP源端口过滤（仅允许白名单IP查询）。
• UDP Flood（UDP洪水攻击）：限制UDP连接速率，丢弃来自非标准端口（如非53、123、161）的UDP包。
• Slowloris（慢速攻击）：在Web服务器设置request_read_timeout（如2秒）、限制单连接请求间隔、禁用keepalive。

成本与风险平衡建议

• 中小型网站：优先使用云WAF（如Cloudflare免费版、阿里云安全加速）自动防御，预算有限时可自建iptables速率限制和白名单。
• 大型企业/关键业务：采用混合云架构（自建IDC + 云上高防），投入专线BGP和专业抗D设备（如Arbor、Radware）。

最后提醒：没有100%的防御方案，建议对业务进行分级保护（核心功能高成本防护，非核心功能允许降级），并购买DDoS保险以降低停产损失，定期检查API、DNS、邮件服务器等敏感服务，减少攻击面。