什么是 DDoS 攻击？| IBM

什么是 DDoS 攻击？

DDoS 攻击旨在通过无意义的连接请求、虚假数据包或其他恶意流量压垮网站、Web 应用程序、云服务或其他在线资源，从而禁用或关闭网站、Web 应用程序、云服务或其他在线资源。由于无法处理大量非法流量，目标会变得缓慢或完全崩溃，从而导致合法用户无法使用。

DDoS 攻击是较广泛的拒绝服务攻击（DoS 攻击）类别的一部分，其中包括所有减慢或停止应用程序或网络服务的网络攻击。DDoS 攻击的独特之处在于，它们同时从多个来源发送攻击流量，这将“分布式”归为“分布式拒绝服务”。

超过 20 年以来，网络罪犯一直在使用 DDoS 攻击来破坏网络运行，但最近其频率和威力急剧上升。一份报告显示，与 2021 年同期相比，2022 年上半年 DDoS 攻击增加了 203%（ibm.com 外部链接）。

DDoS 攻击的运作方式

与其他网络攻击不同，DDoS 攻击不会利用网络资源中的漏洞来破坏计算机系统。相反，它们使用超文本传输协议 (HTTP) 和传输控制协议 (TCP) 等标准网络连接协议，以超出其处理能力的流量使得端点、应用程序和其他资产无法访问。Web 服务器、路由器和其他网络基础设施在任何给定时间只能处理有限数量的请求并维持有限数量的连接。通过耗尽资源的可用带宽，DDoS 攻击会阻止这些资源响应合法的连接请求和数据包。

从广义上讲，DDoS 攻击分为三个阶段。

第 1 阶段：选择目标

DDoS 攻击目标的选择源于攻击者的动机，其范围可能很广。黑客利用 DDoS 攻击向组织勒索金钱，要求支付赎金才能结束攻击。一些黑客利用 DDoS 进行激进主义行动，针对他们反对的组织和机构。不道德的行为者利用 DDoS 攻击来关闭竞争企业，一些民族国家在网络战中使用了 DDoS 策略。

一些最常见的 DDoS 攻击目标包括：

在线零售商。DDoS 攻击可能会引起零售商的数字商店瘫痪，导致客户在一段时间内无法购物，从而对零售商造成重大财务损失。
云服务提供商。Amazon Web Services (AWS)、Microsoft Azure 和 Google Cloud Platform 等云服务提供商是常见的 DDoS 攻击目标。由于这些服务为其他企业托管数据和应用程序，因此黑客可以通过一次攻击造成大范围的中断。2020 年，AWS 遭受了大规模 DDoS 攻击（ibm.com 外部链接）。在高峰期，恶意流量以每秒 2.3 太字节的速度涌入。
金融机构。DDoS 攻击会导致银行服务脱机，使客户无法访问自己的账户。2012 年，美国六家主要银行遭受了一致的 DDoS 攻击，此次攻击可能是出于政治动机的行为（ibm.com 外部链接）。
软件即服务 (SaaS) 提供商。与云服务提供商一样，Salesforce、GitHub 和 Oracle 等 SaaS 提供商也是有吸引力的目标，因为黑客可以通过它们同时破坏多个组织。2018 年，GitHub 遭受了有记录以来当时最大规模的 DDoS 攻击（ibm.com 外部链接）。
游戏公司。DDoS 攻击可以用流量使服务器瘫痪，中断在线游戏。这些攻击通常是由怀有个人恩怨、心怀不满的玩家发起，就像 Mirai 僵尸网络一样，它最初是为了针对 Minecraft 服务器而构建的（ibm.com 外部链接）。

第 2 阶段：创建（或租用或购买）僵尸网络

DDoS 攻击通常需要僵尸网络 — 一个由已感染恶意软件的互联网连接设备组成的网络，黑客能够使用该恶意软件远程控制设备。僵尸网络可以包括笔记本电脑和台式计算机、手机、物联网设备以及其他消费者或商业端点。这些受感染设备的所有者通常不知道自己已被感染或正被用于 DDoS 攻击。

一些网络罪犯从零开始构建僵尸网络，而另一些网络罪犯则根据名为“拒绝服务即服务”的模式购买或租用预先建立的僵尸网络。

（注意：并非所有 DDoS 攻击都使用僵尸网络；有些攻击利用未受感染设备的正常操作来达到恶意目的。请参阅下面的“Smurf 攻击”。）

第 3 阶段：发起攻击

黑客命令僵尸网络中的设备向目标服务器、设备或服务的 IP 地址发送连接请求或其他数据包。大多数 DDoS 攻击依靠暴力破解，发送大量请求来耗尽目标的所有带宽；一些 DDoS 攻击会发送较少数量更加复杂的请求，需要目标花费大量资源来响应。无论哪种情况，结果都是相同的：攻击流量使目标系统瘫痪，导致拒绝服务并阻止合法流量访问网站、Web 应用程序、API 或网络。

黑客经常通过伪造 IP 来掩盖攻击源，网络罪犯通过这种技术为从僵尸网络发送的数据包伪造虚假源 IP 地址。在一种名为“反射”(Reflection) 的伪造 IP 形式中，黑客伪造一种假象，使恶意流量看起来像是从受害者自己的 IP 地址发送的。

DDoS 攻击的类型

DDoS 攻击类型通常根据开放式系统互连 (OSI) 参考模型的术语进行命名或描述，该模型是一个定义七个网络“层”的概念框架（有时称为 OSI 七层模型）。

应用层攻击

顾名思义，应用层攻击的目标是 OSI 模型的应用层（第 7 层），即为响应用户请求而生成 Web 页面的层。应用层攻击用恶意请求使 Web 应用程序瘫痪，中断 Web 应用程序。

最常见的应用层攻击之一是 HTTP 洪流攻击，攻击者从多个设备连续向同一网站发送大量 HTTP 请求。该网站无法处理所有 HTTP 请求，并且速度显著减慢或完全崩溃。HTTP 洪流攻击类似于数百或数千个 Web 浏览器重复刷新同一网页。

发起应用层攻击相对容易，但很难预防和缓解。随着越来越多的公司转向使用微服务和基于容器的应用程序，应用层攻击导致关键 Web 和云服务失效的风险也在增加。

协议攻击

协议攻击针对 OSI 模型的网络层（第 3 层）和传输层（第 4 层）。它们的目标是通过恶意连接请求使关键网络资源无法访问，例如防火墙、负载平衡器和 Web 服务器。

常见的协议攻击包括：

SYN 洪流攻击。SYN 洪流攻击利用 TCP 握手，即两个设备相互建立连接的过程。

在典型的 TCP 握手中，一个设备发送 SYN 数据包来启动连接，另一个设备使用 SYN/ACK 数据包进行响应以确认请求，原始设备发回 ACK 数据包以完成连接。

在 SYN 洪流攻击中，攻击者向目标服务器发送大量伪造的源 IP 地址的 SYN 数据包。服务器将其响应发送到伪造 IP 地址并等待最终的 ACK 数据包。由于源 IP 地址是伪造的，因此这些数据包永远不会到达。服务器被大量未完成的连接占用，使其无法进行合法的 TCP 握手。

Smurf 攻击。Smurf 攻击利用因特网控制报文协议 (ICMP)，这是一种用于评估两个设备之间连接状态的通信协议。在典型的 ICMP 交换中，一个设备向另一个设备发送 ICMP 回传请求，后一台设备以 ICMP 回传答复进行响应。

在 Smurf 攻击中，攻击者从与受害者 IP 地址匹配的伪造 IP 地址发送 ICMP 回传请求。此 ICMP 回传请求被发送到 IP 广播网络，该网络将请求转发到给定网络上的每个设备。收到 ICMP 回传请求的每个设备（可能是数百或数千个设备）都会通过向受害者的 IP 地址发送 ICMP 回传答复来进行响应，从而向设备发送超出其处理能力的信息。与许多其他类型的 DDoS 攻击不同，Smurf 攻击不一定需要僵尸网络。

容量耗尽攻击

DDoS 容量耗尽攻击消耗目标网络内或目标服务与互联网其余部分之间的所有可用带宽，从而阻止合法用户连接到网络资源。即使与其他类型的 DDoS 攻击相比，容量耗尽攻击通常也会以非常高的流量让网络瘫痪，使资源无法访问。众所周知，容量耗尽攻击会击垮清洗中心等 DDoS 防护措施，这些措施旨在从合法流量中过滤掉恶意流量。

常见的容量耗尽攻击类型包括：

UDP 洪流攻击。这些攻击向目标主机的端口发送虚假的用户数据报协议 (UDP) 数据包，促使主机寻找接收这些数据包的应用程序。由于 UDP 数据包是虚假的，因此没有应用程序可以接收它们，主机必须向发送者发回 ICMP“目标无法到达”消息。主机的资源因响应源源不断的虚假 UDP 数据包流而被占用，导致主机无法响应合法数据包。

ICMP 洪流攻击。这些攻击也称为“ping 洪流攻击”，旨在通过来自多个伪造 IP 地址的 ICMP 回传请求来轰炸目标。目标服务器必须响应所有这些请求，因此会过载，并且无法处理有效的 ICMP 回传请求。ICMP 洪流攻击与 Smurf 攻击的区别在于，攻击者从其僵尸网络发送大量 ICMP 请求，而不是通过欺骗网络设备向受害者的 IP 地址发送 ICMP 响应。

DNS 放大攻击。在此类攻击中，攻击者向一台或多台公共 DNS 服务器发送多个域名系统 (DNS) 查找请求。这些查找请求使用属于受害者的伪造 IP 地址，并要求 DNS 服务器为每个请求返回大量信息。然后，DNS 服务器回复请求时用大量数据使受害者的 IP 地址无法访问。

多向量攻击

顾名思义，多向量攻击旨在利用多个攻击向量来最大限度制造损害并阻碍采取 DDoS 缓解措施。当一个向量受阻时，攻击者可以同时使用多个向量，或者在攻击中途在向量之间切换。例如，黑客可能会从 Smurf 攻击开始，但来自网络设备的流量被关闭时，他们可能会从僵尸网络发起 UDP 洪流攻击。

DDoS 威胁也可能与其他网络攻击结合使用。例如，勒索软件攻击者可能会威胁受害者，如果不支付赎金，就会发动 DDoS 攻击。

为什么 DDoS 攻击如此普遍

DDoS 攻击已经持续了很长时间，并且随着时间的推移，越来越受到网络罪犯的欢迎，因为

实施这类攻击需要很少的技能或不需要任何技能。通过从其他黑客那里租用现成的僵尸网络，网络罪犯可以轻松地自行发起 DDoS 攻击，而无需任何准备或计划。
这类攻击很难检测。由于僵尸网络主要由消费者和商业设备组成，因此组织可能很难将恶意流量与真实用户分开。此外，DDoS 攻击的迹象（服务缓慢、站点和应用程序暂时不可用）也可能是由合法流量突然激增引起的，因此很难在最早阶段检测到 DDoS 攻击。
这类攻击很难缓解。如果发现 DDoS 攻击，网络攻击的分布式性质意味着组织无法仅仅通过关闭单个流量源来阻止攻击。旨在阻止 DDoS 攻击的标准网络安全控制（例如速率限制）也会减慢合法用户的操作速度。
潜在的僵尸网络设备比以往任何时候都多。物联网 (IoT) 的兴起为黑客提供了丰富的设备来源，可以将其转变为僵尸网络设备。支持互联网的设备、工具和小配件（包括卫生保健设备和制造系统等操作技术 (OT)）通常在通用默认设置和薄弱或不存在的安全控制下进行销售和操作，因此它们特别容易受到恶意软件感染。这些设备的所有者可能很难注意到它们已受到损害，因为物联网和 OT 设备的使用通常是被动进行，频率也较低。

随着黑客采用人工智能 (AI) 和机器学习 (ML) 工具来帮助引导攻击，DDoS 攻击变得越来越复杂。这导致了自适应 DDoS 攻击的增加，这种攻击使用 AI 和 ML 来查找系统中最容易遭到攻击的漏洞，并自动改变攻击向量和策略，以响应网络安全团队采取 DDoS 缓解措施。

DDoS 攻击的成本、规模和影响不断增长

DDoS 攻击的目的是破坏系统运行，这可能会让组织承担高昂的成本。根据 IBM 的 2022 年数据泄露成本报告，网络攻击造成的服务中断、系统停机和其他业务中断平均给组织造成 142 万美元的损失。2021 年，DDoS 攻击致使一家 VoIP 提供商蒙受近 1200 万美元的损失（ibm.com 外部链接）。

2021 年 11 月，发生了有记录以来最大规模的 DDoS 攻击，这次攻击每秒生成 3.47 太字节的恶意流量，其目标是 Microsoft Azure 客户（ibm.com 外部链接）。攻击者使用由来自世界各地的 10,000 个设备组成的僵尸网络以每秒 3.4 亿个数据包轰炸受害者。

DDoS 攻击也用于针对政府，包括 2021 年对比利时的攻击（ibm.com 外部链接）。黑客以政府运营的因特网服务提供商 (ISP) 为目标，切断超过 200 个政府机构、大学和研究机构的互联网连接。

黑客渐渐地不再使用 DDoS 作为主要攻击，而是分散受害者对更严重网络犯罪的注意力，例如，在网络安全团队忙于抵御 DDoS 攻击时，泄露数据或向网络部署勒索软件。

DDoS 防护、检测和缓解

DDoS 缓解和防护工作通常依赖于尽快转移恶意流量，例如通过将网络流量路由到清洗中心或使用负载平衡器重新分配攻击流量。为此，旨在加强 DDoS 攻击防御的公司可能会采用能够识别和拦截恶意流量的技术，包括：

Web 应用程序防火墙。如今，大多数组织都使用外围设备和 Web 应用程序防火墙 (WAF) 来保护其网络和应用程序免受恶意活动的侵害。标准防火墙在端口级别提供保护，而 WAF 在将请求转发到 Web 服务器之前确保请求是安全的。WAF 知道哪些类型的请求是合法的，哪些类型是非法的，因此能够丢弃恶意流量并防止应用层攻击。
内容交付网络 (CDN)。CDN 是一个分布式服务器网络，可以帮助用户更快速、更可靠地访问在线服务。通过使用 CDN，用户的请求不会一直传回服务的源服务器。相反，系统会将它们路由到地理位置较近的 CDN 服务器来交付内容。CDN 可以通过提高服务的整体流量容量来帮助防御 DDoS 攻击。如果 CDN 服务器因 DDoS 攻击而瘫痪，用户流量可以路由到网络中其他可用的服务器资源。
SIEM（安全信息和事件管理）。SIEM 系统提供一系列功能，用于在生命周期的早期检测 DDoS 攻击和其他网络攻击，包括日志管理和网络洞察。SIEM 解决方案旨在对本地和基于云的安全工具生成的安全数据进行集中式管理。SIEM 可以监控连接的设备和应用程序是否存在安全事件和异常行为，例如过多的 ping 或非法连接请求。然后，SIEM 会标记这些异常，以便网络安全团队采取适当的措施。
检测和响应技术。端点检测和响应 (EDR)、网络检测和响应 (NDR) 以及扩展检测和响应 (XDR) 解决方案均使用高级分析和 AI 来监控网络基础设施的受感染指标（例如可能指示存在 DDoS 攻击的异常流量模式）以及实时响应正在进行的攻击的自动化功能（例如终止可疑的网络连接）。