# 什么是DDoS攻击
拒绝服务（Denial of Service，简称DoS）攻击也称洪水攻击，是一种网络攻击手法，其目的在于使目标电脑的网络或系统资源耗尽，服务暂时中断或停止，导致合法用户不能够访问正常网络服务的行为。当攻击者使用网络上多个被攻陷的电脑作为攻击机器向特定的目标发动DoS攻击时，称为分布式拒绝服务攻击（Distributed Denial of Service Attack，简称DDoS）。常见DDoS攻击类型如[表1]所示。
 表1常见DDoS攻击类型 
| 攻击类型  | 说明                                                                                                                                                    | 举例                                                                  |
|:---|:---|:---|
| 网络层攻击 | 网络层攻击是一种针对网络层的攻击手段，通过大量恶意流量淹没目标系统的网络带宽和资源，使其无法正常处理合法请求。网络层DDoS攻击通常利用网络协议的漏洞，消耗目标系统的带宽、CPU和内存资源，导致被攻击者的业务无法正常响应客户访问。                                   | NTP Flood攻击、ICMP洪水攻击。                                               |
| 传输层攻击 | 传输层攻击是一种针对传输层攻击的手段，通过占用服务器的连接池资源，达到拒绝服务的目的。                                                                                                           | SYN Flood攻击、ACK Flood攻击、ICMP Flood攻击、UDP洪水攻击。                       |
| 会话层攻击 | 会话层攻击是一种针对会话层的攻击手段。会话层负责建立、管理和终止通信会话，确保数据在两个应用之间可靠地传输。会话层攻击通过干扰或操纵会话层的通信，导致服务中断、数据泄露或会话劫持等问题。这些攻击通常利用会话层协议的漏洞，消耗目标系统的资源，或破坏会话的完整性。                    | SSL连接攻击。                                                            |
| 应用层攻击 | 应用层攻击是一种针对应用层的攻击手段。应用层负责处理应用程序之间的通信，包括Web请求、数据库查询、API调用等。应用层DDoS攻击通过大量恶意请求消耗目标系统的应用资源，导致服务中断或响应延迟。这种攻击通常利用应用程序的漏洞，消耗服务器的CPU、内存和带宽资源，使目标系统无法处理正常的用户请求。 | HTTP Get Flood攻击、HTTP Post Flood攻击、Slowloris攻击、RUDY攻击、CC攻击、DNS洪水攻击。 |
   
#### DDoS攻击原理
DDoS（分布式拒绝服务）攻击是一种通过大量恶意流量使目标系统无法正常提供服务的网络攻击手段。
- 首先攻击者选择目标系统并构建一个由被感染设备组成的僵尸网络，这些设备称为"僵尸机"。
- 接着，攻击者通过命令与控制服务器向僵尸机发送攻击指令，生成大量恶意流量，这些流量可以是HTTP请求、TCP连接或UDP数据包。
- 最后，这些恶意流量通过多个路径传输到目标系统，耗尽其计算资源（如CPU、内存、带宽），导致目标系统无法处理合法用户的请求，从而引发服务中断或响应延迟。
 
#### 为什么会出现DDoS攻击
DDoS攻击发生的原因主要有以下几个方面：
| 类型        | 说明                   | 典型场景        |
|:---|:---|:---|
| 商业竞争      | 通过攻击竞争对手的服务器，使其业务中断。 | 电商大促、游戏开服   |
| 敲诈勒索      | 威胁企业支付赎金以停止攻击。       | 金融、直播等现金流行业 |
| 政治或意识形态表达 | 组织行动、网络对抗等。          | 政府网站        |
| 恶意破坏      | 个人报复、制造破坏等。          | 社交平台        |
| 掩盖其他攻击    | 在进行其他攻击时，分散安全团队注意力。  | 金融机构、大型企业   |
   
#### DDoS攻击的危害
DDoS攻击是一种严重的网络安全威胁，其危害主要体现在以下几个方面：
- **直接危害**
  - 服务中断：导致网站、应用程序或网络服务无法访问，正常用户无法使用。
  
  - 资源耗尽：消耗网络带宽、系统资源，使服务器无法处理合法请求。
   
- **经济损失**
  - 业务损失：电子商务网站无法访问导致直接销售损失。
  
  - 应对成本：需要投入资金购买防护设备、雇佣安全专家。
  
  - 恢复成本：系统恢复和业务重建的费用。
   
- **信任受损**
  - 品牌形象受损：服务中断影响客户对企业的信任。
  
  - 客户流失：用户可能转向竞争对手。
  
  - 负面媒体报道：进一步扩大负面影响。
   
- **安全风险**
  - 数据安全威胁：某些DDoS攻击可能是为了分散注意力，同时进行数据窃取。
  
  - 安全系统失效：攻击可能导致安全防护机制过载而失效。
   
- **运营影响**
  - 内部工作中断：员工无法访问关键系统和资源。
  
  - 业务流程中断：影响整体运营效率和生产力。
  
  - 供应链中断：可能影响上下游合作伙伴。
   
- **法律风险**
  - 法律诉讼风险：未能保护客户数据或确保服务可用性可能导致法律纠纷。
  
  - 监管处罚：违反相关法规可能面临监管机构罚款。
   
 
#### 如何判断业务已受DDoS攻击
分布式拒绝服务（DDoS）攻击是一种常见的网络攻击手段，通过大量恶意流量使目标系统无法正常提供服务。以下是判断业务是否已受DDoS攻击的常见方法和迹象：
- 网络流量异常：网络流量突然激增，超出正常范围。
- 带宽利用率高：网络带宽利用率接近或达到100%。
- 资源使用率高：CPU、内存和磁盘I/O使用率显著增加。
- 服务不可用：用户无法访问网站或应用，服务中断。
- 防火墙和安全设备告警：防火墙、入侵检测系统（IDS）和入侵防御系统（IPS）触发告警。
- 流量来源分析：流量来源分布异常，大量请求来自少数IP地址或特定地区。
 
#### 华为云如何提供DDos防护
- **DDoS原生基础防护** 通过对互联网访问公网IP的业务流量进行实时监测，及时发现异常DDoS攻击流量。在不影响正常业务的前提下，根据用户配置的防护策略，清洗掉攻击流量。同时，Anti-DDoS为用户生成监控报表，清晰展示网络流量的安全状况。更多请参见[DDoS原生基础防护](https://support.huaweicloud.com/productdesc-aad/aad_01_0261.html)。
- **DDoS原生高级防护** 为提升华为云ECS、ELB、WAF、EIP等云服务的DDoS防御能力而推出的。DDoS原生高级防护对华为云上的IP生效，无需更换IP地址，通过简单的配置，提供的安全能力就可以直接加载到云服务上，提升云服务的安全防护能力。更多请参见[DDoS原生高级防护](https://support.huaweicloud.com/productdesc-aad/aad_01_0264.html)。
- **DDoS高防** 通过高防IP代理源站IP对外提供服务，将所有的公网流量都引流至高防IP，进而隐藏源站，避免源站（用户业务）遭受大流量DDoS攻击。更多请参见[DDoS高防](https://support.huaweicloud.com/productdesc-aad/aad_01_0267.html)。