Ein Distributed-Denial-of-Service-Angriff (DDoS) ist ein böswilliger Versuch, den normalen Datenverkehr eines Zielservers, -dienstes oder -netzwerks zu stören, indem das Ziel oder die umgebende Infrastruktur mit einer Flut von Internetverkehr überflutet wird. DDoS-Angriffe erreichen ihre Wirksamkeit, indem sie mehrere kompromittierte Computersysteme als Quellen für den Angriffsverkehr nutzen.

Bei einem DDoS-Angriff erlangt ein Angreifer die Kontrolle über ein Netzwerk von Online-Rechnern. Computer und andere Computer werden mit Malware infiziert, wodurch jeder einzelne zu einem Bot wird. Der Angreifer hat dann die Fernsteuerung über die Gruppe von Bots (Botnet genannt). Der Angreifer kann dann die Maschinen dirigieren, indem er über eine Fernbedienung aktualisierte Anweisungen an jeden Bot sendet.

Verschiedene DDoS Angriffsvektoren zielen auf unterschiedliche Komponenten einer Netzwerkverbindung ab. Eine Netzwerkverbindung im Internet setzt sich aus vielen verschiedenen Komponenten oder "Schichten" zusammen. Wie beim Bau eines Hauses hat jeder Schritt im Modell einen anderen Zweck. Das OSI-Modell ist ein konzeptionelles Framework, das zur Beschreibung der Netzwerkkonnektivität in sieben verschiedenen Schichten verwendet wird.

Die Abwehr eines Multi-Vektor- DDoS -Angriffs erfordert verschiedene Strategien, um unterschiedlichen Verläufen entgegenzuwirken. Je komplexer der Angriff, desto schwieriger ist es, sich vom normalen Traffic zu trennen – das Ziel des Angreifers ist es, sich so weit wie möglich "einzufügen". Um einen komplexen Störungsversuch zu überwinden, bietet eine mehrschichtige Lösung den größten Vorteil, Nutzen. 

Eine Web Anwendung Firewall (WAF) trägt zum Schutz von Web Anwendungen bei, indem sie den HTTP-Datenverkehr zwischen einer Web Anwendung und dem Internet filtert und überwacht. Durch das Bereitstellen einer WAF vor einer Web-Anwendung wird ein Schutzschild zwischen der Web-Anwendung und dem Internet platziert. Eine WAF schützt den Server vor Offenlegung, indem Clients die WAF passieren, bevor sie den Server erreichen.

Eine WAF, die auf Basis einer Blacklist (negatives Sicherheitsmodell) arbeitet, schützt vor bekannten Angriffen. Umgekehrt lässt eine WAF, die auf einer Whitelist (positives Sicherheitsmodell) basiert, nur Datenverkehr zu, der vorab genehmigt wurde. Sowohl Blacklists als auch Whitelists haben ihre Vor- und Nachteile, weshalb viele WAFs ein hybrides Sicherheitsmodell anbieten, das beides umsetzt.

Ein Content Delivery Network (CDN) bezieht sich auf eine geografisch verteilte Gruppe von Servern, die zusammenarbeiten, um eine schnelle Bereitstellung von Internetinhalten zu ermöglichen. Ein CDN überträgt schnell Assets, die zum Laden von Internetinhalten benötigt werden. Die Popularität von CDN-Diensten nimmt weiter zu, und heute wird der größte Teil des Webverkehrs über CDNs abgewickelt.

Um die Geschwindigkeit und Konnektivität zu verbessern, platziert ein CDN Server an Austauschpunkten zwischen verschiedenen Netzwerken. Diese Internet Exchange Points (IXPs) sind die primären Standorte, an denen sich verschiedene Internetanbieter verbinden, um sich gegenseitig Zugriff auf den Datenverkehr zu gewähren, der aus ihren verschiedenen Netzwerken stammt.

Bei Websites, die Inhalte laden, fallen die Benutzer schnell ab, wenn eine Website langsamer wird. Der global verteilte Charakter eines CDN bedeutet eine geringere Distanz zwischen Benutzern und Website-Ressourcen. Anstatt sich mit dem Ursprungsserver einer Website verbinden zu müssen, können sich Benutzer mit einem CDN mit einem geografisch näher gelegenen Rechenzentrum verbinden. Weniger Reisezeit bedeutet schnelleren Service.

Das Domain Name System (DNS) ist das Telefonbuch des Internets. Menschen greifen online über Domainnamen wie nytimes.com oder espn.com auf Informationen zu. Webbrowser interagieren über Internet Protocol (IP-)Adresse. DNS übersetzt Domainnamen in die IP-Adresse, damit Browser Internetressourcen laden können.

Bei der DNS-Auflösung wird ein Hostname (z. B. ibm.com/de-de) konvertiert in eine computerfreundliche IP-Adresse (z. B. 192.168.1.1). Jedem Gerät im Internet wird eine IP-Adresse zugewiesen, die zum Auffinden des Geräts verwendet wird. Beim Laden einer Webseite wird das, was ein Benutzer in das Adressfeld seines Browsers eingibt, in die IP-Adresse übersetzt, die zum Auffinden dieser Webseite erforderlich ist.

Der DNS-Resolver ist die erste Station bei der DNS-Suche und ist für den Umgang mit dem Benutzer verantwortlich, der die ursprüngliche Anfrage gestellt hat. Der Resolver startet die Abfragesequenz, die letztendlich zur Übersetzung einer URL in die erforderliche IP-Adresse führt.