拒绝服务攻击

拒绝服务攻击（DoS，拒绝服务）试图通过压垮服务，使合法用户无法使用该服务。与窃取数据的攻击不同，拒绝服务攻击针对的是可用性，即 CIA 三元组的第三大支柱。

攻击者向服务器或网络发送超出其处理能力的流量或请求，耗尽其资源，直到真实用户无法访问。

普通的拒绝服务攻击来自单一来源。分布式拒绝服务攻击（DDoS，分布式拒绝服务）同时来自许多来源，通常有数千个，因此更难阻止。

阻止一个攻击者的 IP 很容易；而阻止来自数万个分散地址的流量才是真正的挑战，其中许多地址属于被无辜劫持的设备，这也使分布式拒绝服务攻击十分危险。

分布式拒绝服务攻击通常由僵尸网络发动：这是由攻击者远程控制的一组感染恶意软件的计算机和物联网设备。每台受感染的设备，即僵尸设备，都会按照指令发送攻击流量。

设备所有者通常完全不知道自己的设备正在参与攻击。不安全的物联网设备（例如摄像头）已经构建出规模庞大的僵尸网络，能够产生巨大的攻击流量。

流量型攻击会用海量流量淹没目标，耗尽其互联网带宽。如果通信管道充满垃圾流量，合法流量就无法通过。

示例包括 UDP 洪水攻击和 ICMP（ping）洪水攻击。防御方法是准备足够的容量，或由上游清洗服务在洪水占满链路前将其吸收或过滤。

协议攻击会利用协议的工作方式，耗尽服务器或设备的资源。一个典型例子是 SYN 洪水攻击：攻击者发起大量 TCP 连接（发送 SYN 数据包），却从不完成连接，从而填满服务器的连接表。

服务器会一直等待永远无法完成的握手，直到无法接受新的连接，导致真实用户无法使用服务。

应用层攻击针对软件本身，发送看似合法但处理成本很高的请求，例如复杂搜索或反复加载页面。这类攻击使用的带宽少得多，因此更加隐蔽。

由于每个请求看起来都很正常，要将攻击流量与真实用户流量区分开来非常困难，因此在不过度影响合法访问者的情况下检测和过滤此类攻击尤其棘手。

放大攻击会成倍增加攻击者的攻击能力。攻击者使用伪造的源地址（即受害者的地址）向服务器发送小型请求，而服务器会返回大得多的响应，例如配置错误的 DNS 或 NTP 服务器。

一个很小的请求就能触发发往受害者的大型回复，因此攻击者可以将流量放大许多倍，同时借助欺骗隐藏自己。

拒绝服务攻击的迹象包括流量突然激增、服务变慢或超时、资源使用率异常升高，以及来自多个地址的大量连接。监控和基线有助于快速发现异常的流量激增。

快速检测非常重要：越早识别出攻击而非正常的流量高峰，就能越早开始缓解，并限制服务中断时间。

防御措施需要分层部署：

• 速率限制限制每个来源的请求数。
• 防火墙和 IPS过滤已知的攻击模式。
• 云端分布式拒绝服务清洗服务在上游吸收大规模洪水流量。
• 内容分发网络（CDN）将负载分散到许多服务器上。

互联网中的反欺骗过滤也能从源头减少放大攻击。

拒绝服务攻击尤其难以防御，因为攻击流量可能看起来与合法流量一样，并且来自数不清的来源。您不能简单地阻止所有流量，否则就会自行拒绝服务。

最具韧性的防御措施包括充足的容量、上游清洗、有效的过滤和事件应对计划，同时要接受绝对防止攻击并不可能，将韧性作为现实目标。

拒绝服务攻击通过压垮目标来攻击可用性；分布式拒绝服务攻击则通过僵尸网络从多个来源发动攻击。类型包括流量型、协议型（例如 SYN 洪水）、应用层和放大型攻击。防御措施包括速率限制、防火墙、内容分发网络和云端清洗，以及用于遏制放大攻击的反欺骗措施。

测试您对拒绝服务攻击的了解。

拒绝服务攻击通过压垮服务来阻止其可用性；分布式拒绝服务攻击则利用来自僵尸网络的多个来源发动攻击。攻击类型包括流量型洪水、类似 SYN 洪水的协议攻击、隐蔽的应用层攻击，以及通过欺骗实施的放大攻击。防御措施分层采用速率限制、防火墙、内容分发网络和云端分布式拒绝服务清洗。