DDoS 防御是指成功保護(hù)目標(biāo)服務(wù)器或網(wǎng)絡(luò)以抵御分布式拒絕服務(wù) (DDoS) 攻擊的過(guò)程。目標(biāo)受害者可以使用專(zhuān)門(mén)設(shè)計(jì)的網(wǎng)絡(luò)設(shè)備或基于云的保護(hù)服務(wù)緩解傳入的威脅。

使用基于云的提供商來(lái)防御 DDoS 攻擊時(shí)，可以分為 4 個(gè)階段：

1. 檢測(cè) – 為阻止分布式攻擊，網(wǎng)站需要能夠區(qū)分攻擊流量與大規(guī)模正常流量。如果產(chǎn)品發(fā)布或其他公告導(dǎo)致網(wǎng)站涌入大批新的合法訪(fǎng)問(wèn)者，那么網(wǎng)站最不希望的就是限制訪(fǎng)問(wèn)者或以其他方式阻止訪(fǎng)問(wèn)者查看網(wǎng)站內(nèi)容。IP 信譽(yù)、常見(jiàn)攻擊模式和過(guò)往數(shù)據(jù)均有助于妥善完成檢測(cè)。
2. 響應(yīng) – 在此步驟中，DDoS 保護(hù)網(wǎng)絡(luò)將通過(guò)智能方式丟棄惡意機(jī)器人流量并吸收其余流量，從而對(duì)傳入的已識(shí)別威脅做出響應(yīng)。利用 WAF 頁(yè)面規(guī)則應(yīng)對(duì)應(yīng)用程序?qū)樱↙7）攻擊，或者運(yùn)用其他過(guò)濾流程來(lái)應(yīng)對(duì)低層（L3/L4）攻擊（如 memcached 或 NTP 放大），網(wǎng)絡(luò)能夠緩解中斷攻擊。
3. 路由 – 高效 DDoS 緩解解決方案通過(guò)智能方式路由流量，將剩余流量分解為可管理的區(qū)塊，從而防止拒絕服務(wù)。
4. 調(diào)整 – 卓越的網(wǎng)絡(luò)可以分析流量總結(jié)模式（如重復(fù)違規(guī)的 IP 阻止），特別是攻擊來(lái)自某些特定國(guó)家/地區(qū)或特定協(xié)議使用不當(dāng)時(shí)效果尤為顯著。通過(guò)調(diào)整應(yīng)對(duì)攻擊模式，保護(hù)服務(wù)可以加強(qiáng)自身以防范未來(lái)攻擊。

選擇 DDoS 防御服務(wù)

傳統(tǒng) DDoS 緩解解決方案需要采購(gòu)現(xiàn)場(chǎng)設(shè)備并過(guò)濾傳入流量。這種方法需要采購(gòu)和維護(hù)昂貴的設(shè)備，而且依賴(lài)能夠緩解攻擊的網(wǎng)絡(luò)。如果 DDoS 攻擊規(guī)模足夠大，將可以從上游切斷網(wǎng)絡(luò)基礎(chǔ)設(shè)施，阻止各類(lèi)現(xiàn)場(chǎng)解決方案生效。如果采購(gòu)基于云的 DDoS 防御服務(wù)，應(yīng)對(duì)某些特征進(jìn)行評(píng)估。

1. 可擴(kuò)展性 – 高效解決方案必需能夠適應(yīng)不斷增長(zhǎng)的業(yè)務(wù)需求，并對(duì)層出不窮的 DDoS 攻擊做出響應(yīng)。超過(guò)每秒 1 TB/s (TBPS) 的攻擊已然出現(xiàn)，而且尚無(wú)跡象表明攻擊流量規(guī)模呈下滑趨勢(shì)。Cloudflare 網(wǎng)絡(luò)能夠處理比以往任何時(shí)候都大得多的 DDoS 攻擊。
2. 靈活性 – 能夠創(chuàng)建臨時(shí)策略和模式，因而可以實(shí)時(shí)調(diào)整 Web 資產(chǎn)以抵御傳入的威脅。為確保站點(diǎn)在攻擊期間保持在線(xiàn)狀態(tài)，實(shí)施 Page Rule 并在整個(gè)網(wǎng)絡(luò)中填充相關(guān)更改顯得至關(guān)重要。
3. 可靠性 – DDoS 保護(hù)就好比座椅安全帶，只在必要時(shí)使用，一旦使用最好確保正常運(yùn)行。無(wú)論任何保護(hù)策略，保證 DDoS 解決方案可靠性對(duì)于順利推行策略均至關(guān)重要。為確保服務(wù)長(zhǎng)時(shí)間正常運(yùn)行及實(shí)現(xiàn)較高的站點(diǎn)可靠性，工程師每天 24 小時(shí)不間斷工作，以維持網(wǎng)絡(luò)在線(xiàn)狀態(tài)并識(shí)別新威脅。冗余、failover 及廣闊的數(shù)據(jù)中心網(wǎng)絡(luò)是推行平臺(tái)戰(zhàn)略的核心。
4. 網(wǎng)絡(luò)規(guī)模 – 隨著具體協(xié)議和攻擊手段的不斷轉(zhuǎn)變，互聯(lián)網(wǎng) DDoS 攻擊也存在一定的規(guī)律。鑒于網(wǎng)絡(luò)龐大且數(shù)據(jù)傳輸范圍較廣，DDoS 緩解提供商可以快速有效地分析和響應(yīng)攻擊，通常能夠搶先一步阻止攻擊。京東云星盾 網(wǎng)絡(luò)為數(shù)百萬(wàn)個(gè)網(wǎng)站運(yùn)行互聯(lián)網(wǎng)請(qǐng)求，為分析全球攻擊流量數(shù)據(jù)創(chuàng)造了優(yōu)勢(shì)。