了解 AWS 上的 DDoS 攻击

分布式拒绝服务（DDoS）攻击会同时利用多个来源向目标发送大量流量，试图耗尽目标的容量，使合法用户无法连接。由于流量来自数千个分布式主机，您不能简单地阻止一个 IP，而必须吸收或过滤这些洪流。

容量型攻击旨在凭借巨大的流量耗尽网络带宽，通常以每秒千兆比特或太比特为单位进行衡量。示例包括UDP 洪水攻击以及反射或放大攻击，后者会利用开放服务器（DNS、NTP）反弹流量，从而放大流量规模。这些攻击运行在第 3 层。

协议攻击（第 4 层）耗尽的是连接状态资源，而不是带宽。一个经典示例是SYN 洪水攻击：攻击者发送大量未完成的 TCP 握手，耗尽目标的连接表，直到无法建立新的会话。

应用层（第 7 层）攻击会发送大量看似有效的请求，例如向开销很高的页面发送大量 HTTP GET 请求，以耗尽 CPU、内存或数据库连接。这类攻击使用的带宽少得多，并且会混入真实流量，因此比容量型洪水更难检测。

AWS 会在其全球边缘吸收 DDoS 攻击。CloudFront、Route 53 和 Global Accelerator 等服务分布在许多边缘站点，并拥有巨大的总容量，因此洪水流量在到达 Origin 之前就会被分散。在边缘位置构建架构本身就是一种 DDoS 防御。

AWS Shield Standard对所有客户免费启用，并自动防御最常见的网络层和传输层攻击。您无需进行配置；它会保护每个 AWS 资源，尤其是位于边缘服务之后的资源，抵御典型的第 3 层和第 4 层洪水攻击。

Shield Standard 专注于网络层和传输层。应用层洪水攻击通过 AWS WAF 基于速率的规则和 Shield Advanced 来应对。这就是 DDoS 防御要将 Shield 的流量吸收能力与 WAF 的请求级过滤结合起来的原因，这种组合也是考试经常考查的内容。

除了停机之外，DDoS 还可能推高自动扩展和带宽成本，因为您的基础设施会尝试处理洪水流量。这种财务影响有时被称为可持续性的经济拒绝服务，也是 Shield Advanced 为攻击触发的扩展提供成本保护抵扣额度的原因之一。

DDoS 的迹象包括流量突然激增、延迟升高以及错误率飙升。CloudWatch 中关于请求数量的指标和 Shield 控制台可以揭示异常。Shield Advanced 还提供近实时的攻击可见性和通知，让您知道攻击正在进行，而不仅仅是应用程序变慢。

最佳的 DDoS 防护状态应当融入架构设计，而不是事后附加。让工作负载位于CloudFront 和 Route 53之后，使用自动扩展，并尽量减少暴露面，可以让 AWS 在边缘位置吸收洪水流量。Shield 和 WAF 随后处理剩余流量。弹性来自架构与这些服务的共同作用。

接下来，您将比较Shield Standard 和 Shield Advanced，了解 DDoS 响应团队和成本保护带来的额外能力，并学习如何设计具有弹性的架构。理解这里介绍的攻击类型，有助于您为每个层级选择正确的防御方式。

判断攻击类型。

DDoS会利用多个来源向目标发动洪水攻击。容量型（第 3 层）攻击通过 UDP 洪水和放大攻击耗尽带宽；类似 SYN 洪水的协议（第 4 层）攻击耗尽连接状态；应用层（第 7 层）攻击发送看似有效的请求来耗尽计算资源。AWS 边缘服务会分散洪水流量，Shield Standard会自动防御第 3 层和第 4 层攻击，而 WAF 的基于速率规则则处理第 7 层攻击。