分散式阻斷服務（DDoS）攻擊是一種惡意嘗試，透過大量湧入的網路流量壓垮目標伺服器、服務或網路，使其無法為合法使用者提供服務。

什麼是 DDoS 攻擊？

DDoS 攻擊的本質是使線上服務失效。想像一下，一個受歡迎的商店在銷售日被數千名虛假顧客同時湧入，導致真正想購物的顧客無法進入。DDoS 攻擊在數位世界中做的就是類似的事情。攻擊者利用多個受感染的電腦或設備（統稱為「殭屍網路」）向單一目標發送大量流量。這種壓倒性的流量會導致目標服務變慢、崩潰，或完全無法訪問。

這些攻擊利用了網路資源（如伺服器、資料庫和頻寬）的有限容量。當這些資源被過多的請求淹沒時，它們就無法處理合法的請求，從而實現阻斷服務。

DDoS 攻擊如何運作？

DDoS 攻擊的運作方式通常涉及以下幾個步驟：

感染與建立殭屍網路： 攻擊者透過惡意軟體感染多個電腦或物聯網（IoT）設備。這些受感染的設備成為「殭屍（zombies）」或「機器人（bots）」，並由攻擊者從遠端控制，形成一個「殭屍網路（botnet）」。使用者通常不知道他們的設備已成為殭屍網路的一部分。
指令與控制： 攻擊者透過一個命令與控制（C2）伺服器，向殭屍網路中的所有機器人發送指令。這些指令告訴機器人何時以及如何攻擊目標。
發動攻擊： 在預定的時間，所有殭屍網路機器人同時開始向目標伺服器或網路發送請求。這些請求可能是惡意的、無效的，或者只是大量的合法請求，它們的目的是消耗目標的資源。
服務中斷： 目標伺服器無法處理如此大量的請求。其頻寬可能會耗盡，CPU 和記憶體資源被佔用，網路設備（如路由器和防火牆）可能會不堪重負，導致合法使用者的請求無法到達服務器，從而導致服務中斷。

DDoS 攻擊運作原理示意圖

這種分散式的性質使得 DDoS 攻擊比單一來源的阻斷服務攻擊更難以防禦和追蹤，因為流量來自許多不同的 IP 位址，難以區分合法與惡意流量。要理解 IP 位址如何運作，您可以參考我們關於公共與私人 IP 的文章。

DDoS 攻擊的類型

DDoS 攻擊有多種類型，它們針對 OSI 模型（開放式系統互連模型）的不同層。理解這些層級對於有效防禦至關重要。我們可以將其分為三大類：

1. 容量型攻擊 (Volumetric Attacks)

這類攻擊旨在消耗目標的頻寬，透過發送大量數據來淹沒目標網路與網際網路之間的連接。它們是 DDoS 攻擊中最常見的類型，通常是最容易識別的。

UDP 洪水 (UDP Flood)： 攻擊者向目標的隨機連接埠發送大量的 UDP（使用者資料包協議）數據包。由於目標主機必須檢查應用程式以確定哪個應用程式正在監聽該連接埠，然後發送一個「目標無法訪問」ICMP 包作為回應，這會迅速耗盡其資源。
ICMP 洪水 (ICMP Flood)： 類似於 UDP 洪水，攻擊者發送大量的 ICMP（網際網路控制訊息協議）「迴響請求」（ping）數據包，目標主機必須用「迴響回應」來回應。這會消耗出站頻寬和處理能力。
DNS 放大攻擊 (DNS Amplification)： 攻擊者利用開放的 DNS 解析器。他們向解析器發送一個帶有目標 IP 位址作為來源的請求，該請求旨在引發一個非常大的回應。解析器隨後會將這個大型回應發送給目標，從而以較小的請求量生成大量的攻擊流量。這會佔用大量的頻寬。有關 DNS 如何運作的更多資訊，請參閱我們的文章。
NTP 放大攻擊 (NTP Amplification)： 類似於 DNS 放大，攻擊者利用網路時間協議（NTP）伺服器，向目標發送放大的流量。

2. 協議型攻擊 (Protocol Attacks)

這些攻擊針對 OSI 模型的第三層（網路層）和第四層（傳輸層）的協議。它們透過消耗伺服器或網路設備（如防火牆和負載平衡器）的資源來實現服務中斷。

SYN 洪水 (SYN Flood)： 攻擊者利用 TCP 握手過程中的漏洞。攻擊者發送大量的 SYN（同步）請求到目標伺服器，但從不回應伺服器發送的 SYN-ACK（同步-確認）包。這使得伺服器維持許多半開的連接，最終耗盡其連接表，使其無法接受新的合法連接。了解 TCP/IP 如何運作有助於理解此類攻擊。
分段包攻擊 (Fragmented Packet Attack)： 攻擊者發送大量的 IP 分段包，這些包需要目標系統重新組裝。由於目標系統會花費大量資源嘗試將這些不完整或惡意分段的數據包組裝起來，從而導致服務變慢或崩潰。
Smurf 攻擊 (Smurf Attack)： 攻擊者向一個被配置為回應廣播請求的網路發送大量的 ICMP 迴響請求，這些請求的來源 IP 位址被偽造為目標的 IP 位址。網路中的所有主機都會回應目標，從而產生大量流量。

3. 應用層攻擊 (Application Layer Attacks)

這類攻擊針對 OSI 模型的第七層，即應用層。它們利用特定應用程式（如 Web 伺服器）的漏洞，透過少量請求即可使服務器失效，因此很難被偵測到。

HTTP 洪水 (HTTP Flood)： 攻擊者向目標 Web 伺服器發送大量的 HTTP GET 或 POST 請求。這些請求可能看起來是合法的，但它們旨在消耗伺服器的處理能力、記憶體和資料庫資源。例如，不斷請求一個需要大量伺服器處理的複雜頁面。
Slowloris 攻擊 (Slowloris Attack)： 這種攻擊嘗試讓 Web 伺服器保持盡可能多的連接，並盡可能長時間地開放它們。它透過發送部分 HTTP 請求來實現，並且定期發送更多的 HTTP 標頭，但從不完成請求。這導致伺服器保持這些連接開放，最終耗盡其連接池，無法處理新的合法連接。
零日攻擊 (Zero-day DDoS Attacks)： 這些攻擊利用新發現的、尚未有已知解決方案或補丁的軟體漏洞。由於這些漏洞是未知的，因此防禦這些攻擊特別困難。

為什麼攻擊者發動 DDoS 攻擊？

DDoS 攻擊背後有各種動機：

勒索： 攻擊者要求支付贖金以停止攻擊。
網路行動主義： 團體透過攻擊網站來抗議或宣傳其意識形態。
競爭性破壞： 商業競爭對手可能試圖損害彼此的線上業務。
報復： 個人或團體可能出於不滿或報復而發動攻擊。
分散注意力： DDoS 攻擊有時被用作分散注意力的手段，掩蓋更惡意活動（如資料竊取）的發生。
惡作劇或測試： 某些情況下，攻擊者可能只是出於惡作劇或測試其能力而發動攻擊。

DDoS 攻擊的影響

DDoS 攻擊對個人、企業和組織都可能造成毀滅性影響：

服務中斷和收入損失： 網站和服務中斷意味著客戶無法訪問產品、服務或資訊，導致銷售額和收入的直接損失。
聲譽損害： 客戶對無法訪問的服務感到不滿，可能導致對品牌信任度的長期損害。
運營成本增加： 應對 DDoS 攻擊可能需要額外的 IT 資源、網路頻寬和專業服務，從而增加營運成本。
客戶流失： 頻繁或長時間的中斷可能會導致客戶轉向競爭對手。
安全漏洞： 有時，DDoS 攻擊被用作「煙霧彈」，以分散安全團隊的注意力，同時攻擊者在後台執行其他惡意活動，例如數據竊取。
數據丟失（間接）： 雖然 DDoS 攻擊本身不直接竊取數據，但長時間的停機或隨後的系統恢復可能會導致未保存或未備份數據的丟失。

如何辨識 DDoS 攻擊？

識別 DDoS 攻擊可能很困難，因為其症狀可能與合法的流量激增、網路問題或伺服器故障相似。然而，有幾個跡象可能表明您正遭受 DDoS 攻擊：

來自單一 IP 位址或 IP 範圍的異常流量激增： 儘管 DDoS 是分散式的，但有時大部分攻擊流量會來自於某些特定的地理區域或網路。
服務的極度緩慢或完全不可用： 這包括網頁載入緩慢、文件下載緩慢或應用程式響應延遲。
特定應用程式或服務的崩潰： 例如，Web 伺服器、資料庫伺服器或 DNS 伺服器突然停止響應。
大量垃圾流量或格式錯誤的數據包： 網路監控工具可能會顯示不尋常的數據包類型或模式。
異常的頻寬使用情況： 您的網路連接可能被異常大量流量淹沒。
「服務器錯誤」或「連線超時」錯誤： 合法使用者無法連接到您的服務時會看到這些錯誤。

DDoS 攻擊的緩解策略

保護您的網站和服務免受 DDoS 攻擊需要多層次的防禦策略。以下是一些關鍵的緩解措施：

1. 事前準備

建立事件應變計畫： 清楚地定義在發生 DDoS 攻擊時的應變步驟、責任人、通訊協定和恢復程序。這包括與您的 ISP 和 DDoS 緩解服務提供商協調。
網路架構設計： 採用具有冗餘性、擴展性和彈性的網路架構。這包括分佈式伺服器、負載平衡器和異地備份。
頻寬超額配置： 確保您的網路頻寬遠大於您的正常需求，以便在流量激增時有足餘量。

2. 偵測與分析

流量監控與分析： 持續監控網路流量模式、頻寬使用情況和連線狀態。異常的流量模式（例如突然激增、來自不尋常來源的流量）可能表明攻擊正在發生。
基線建立： 了解您的正常流量模式對於識別異常至關重要。
入侵偵測系統 (IDS) / 入侵防禦系統 (IPS)： 部署這些系統以偵測和阻止惡意流量模式。

3. 即時回應與緩解

速率限制 (Rate Limiting)： 配置網路設備（如路由器、防火牆或負載平衡器）限制在一定時間內從單一 IP 位址或 IP 範圍接收的請求數量，以防止單一來源的流量淹沒服務器。
黑名單與白名單： 根據流量的來源 IP 位址，阻止已知的惡意 IP 位址（黑名單）或只允許來自信任來源的 IP 位址（白名單）。
IP 偽造過濾 (IP Spoofing Filtering)： 配置路由器以防止傳出流量使用偽造的來源 IP 位址，這有助於減少您的網路被用於發動 DDoS 放大攻擊的風險。
流量清洗服務 (Traffic Scrubbing Services)： 將所有入站流量重新路由到 DDoS 緩解服務提供商的「清洗中心」。在這些中心，惡意流量被過濾和移除，而乾淨的合法流量則被轉發到您的伺服器。
內容傳遞網路 (CDN)： CDN 可以透過將網站內容分發到全球多個伺服器來幫助緩解 DDoS 攻擊。這些伺服器能夠吸收攻擊流量，並將合法請求導向到最近的健康伺服器。
網頁應用程式防火牆 (WAF)： WAF 位於您的 Web 應用程式和網際網路之間，可以過濾和監控 HTTP 流量。它有助於抵禦應用層 DDoS 攻擊以及其他 Web 應用程式漏洞利用。

4. 服務提供商與工具

DDoS 防護服務： 許多雲端供應商和專業安全公司提供專門的 DDoS 防護服務，例如 Cloudflare、Akamai、AWS Shield 等。這些服務通常提供廣泛的頻寬和先進的分析工具來應對大規模攻擊。
雲端擴展： 利用雲端服務的彈性，在攻擊期間擴展資源以吸收增加的流量。
混合式防禦： 結合本地部署設備和雲端服務的優勢，實現更全面的防護。

不斷演變的威脅格局

DDoS 攻擊的性質在不斷變化。攻擊者不斷開發新的方法，利用新的協議、更大規模的殭屍網路和更複雜的技術。這意味著防禦者需要持續更新他們的知識和防禦策略，才能有效保護他們的線上資產。定期進行安全審計、壓力測試和員工培訓是保持領先的關鍵。

透過理解 DDoS 攻擊的運作原理、類型和可用的緩解策略，組織可以更好地準備和保護自己免受這些破壞性網路威脅的侵害。