DDoS（分布式拒絕服務(wù)）攻擊完全繞過防火墻安全和入侵防御系統(tǒng)，有可能關(guān)閉您的整個(gè)計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)。擁有適當(dāng)?shù)腄DoS 保護(hù)是網(wǎng)絡(luò)安全管理的重要組成部分，但不同的緩解產(chǎn)品可能難以比較。

什么是 DDoS？

分布式拒絕服務(wù)攻擊使公司的服務(wù)器不堪重負(fù)，其 IT 無法處理大量流量。這有效地關(guān)閉了系統(tǒng)并阻止合法流量到達(dá)它。在最近的歷史中，IoT（物聯(lián)網(wǎng)）導(dǎo)致 DDoS 攻擊的有效性不斷提高，因?yàn)?IoT 設(shè)備通常不受保護(hù)，并且是攻擊者增加其 DDoS 攻擊規(guī)模的有用工具。

由于不同的 DDoS 保護(hù)可以不同地處理它們，因此了解三種主要類型的 DDoS 攻擊很重要：

• 洪水/體積攻擊：這是一種圍繞著大量流量的攻擊，占用了您互聯(lián)網(wǎng)連接的整個(gè)帶寬。
• 資源匱乏攻擊：這是一種更有針對(duì)性的攻擊，它使用特定類型的流量來嘗試使您的操作系統(tǒng)或網(wǎng)絡(luò)堆棧崩潰/
• 應(yīng)用程序攻擊：這是另一種有針對(duì)性的攻擊，這一次工作在 OSI 模型的第 7 層，特定流量會(huì)導(dǎo)致您的應(yīng)用程序或它所在的服務(wù)器崩潰。

攻擊者出于多種原因會(huì)對(duì)公司使用 DDoS 攻擊，但最常見的動(dòng)機(jī)是：

• 使用 DDoS 攻擊來掩蓋另一次攻擊 - 惡意軟件和木馬通常與 DDOS 攻擊相結(jié)合進(jìn)行傳遞。然后可以通過多種方式（竊取數(shù)據(jù)、勒索軟件攻擊等）使用這種滲透來進(jìn)一步攻擊公司的系統(tǒng)。
• 破壞競爭 - 公司可以利用 DDOS 工具對(duì)其競爭對(duì)手發(fā)起攻擊，關(guān)閉他們的業(yè)務(wù)，直到攻擊可以停止。
• 腳本小子 - 嘗試使用可用的免費(fèi) DDoS 工具的孩子將關(guān)閉公司的系統(tǒng)，只是為了證明他們可以。他們對(duì)目標(biāo)公司沒有任何惡意，但同樣具有破壞性。

什么是 DDoS 防護(hù)？

DDoS 緩解是一種專業(yè)的解決方案，可以防止 DDoS 攻擊，可以有多種形式，但最常見的是：

• DDoS 緩解設(shè)備：您從供應(yīng)商處購買此保護(hù)并將其安裝在系統(tǒng)前面以過濾流量。最初安裝它們相對(duì)便宜，但是如果您的系統(tǒng)增長，它們將需要進(jìn)一步的投資，并且它們很容易被超出您的帶寬容量的洪水攻擊所淹沒。（一些數(shù)據(jù)中心將把它作為他們最便宜的 DDoS 解決方案提供，但如果它是一個(gè)以設(shè)備為主導(dǎo)的解決方案，這就是他們將提供的。）
• 來自 ISP 的 DDos 服務(wù)：互聯(lián)網(wǎng)服務(wù)提供商還可以通過過濾所有傳入流量來為其客戶提供 DDoS 解決方案。這可能非常有效且具有成本效益，因?yàn)樗踔猎诘竭_(dá)您的 IT 系統(tǒng)之前就過濾了所有流量，但在防止針對(duì)您的應(yīng)用程序或您使用多個(gè) ISP 的某些攻擊方面存在嚴(yán)重限制。
• 來自您的數(shù)據(jù)中心的 DDoS 保護(hù)：這種保護(hù)非常適合洪水攻擊，因?yàn)閿?shù)據(jù)中心配備了足夠的資源來處理流量，并且具有由已經(jīng)負(fù)責(zé)您的 IT 基礎(chǔ)設(shè)施的工程師安裝的額外好處。它也成為您 IT 現(xiàn)有運(yùn)營成本的一部分。
• 來自第三方/云服務(wù)提供商 (CSP) 的 DDoS 保護(hù)：第三方可以代表您保護(hù)您的 IP 地址，這意味著您的互聯(lián)網(wǎng)流量首先到達(dá)他們的網(wǎng)絡(luò)，他們可以對(duì)其進(jìn)行過濾。這個(gè) DDoS 保護(hù)系列正在興起，因?yàn)樵瀑Y源可以按需大規(guī)模擴(kuò)展。

如您所見，DDoS 保護(hù)選項(xiàng)種類繁多，您的最終選擇取決于您的風(fēng)險(xiǎn)狀況和預(yù)算，但仍有一些標(biāo)準(zhǔn)可用于比較不同類型的保護(hù)。

良好的 DDoS 緩解有哪些要求？

有效的 DDoS 防護(hù)需要能夠識(shí)別 DDoS 攻擊中的攻擊流量并將其過濾掉。它的效果取決于您可以用來比較不同類型的 DDoS 保護(hù)的三個(gè)因素。

1. 容量

隨著時(shí)間的推移，DDoS 攻擊只會(huì)變得越來越強(qiáng)大，您的 DDoS 保護(hù)需要能夠應(yīng)對(duì)其發(fā)送的流量。據(jù)報(bào)道，超過 1Tbps的 DDoS 攻擊，雖然您可能不需要那么多容量，但 Comparitech 的研究表明，目前平均 DDoS 攻擊超過 1Gbps。確保您的 DDoS 保護(hù)具有超過 1Gbps 的標(biāo)準(zhǔn)容量，但如果您受到更大的攻擊，還具有擴(kuò)展能力。

2. 保護(hù)每一層攻擊

DDoS 攻擊可以有多種形式，具體取決于它們?nèi)绾畏糯罅髁恳约八鼈冇脕韷旱鼓繕?biāo)計(jì)算機(jī)系統(tǒng)的方式。這些不同類型的攻擊根據(jù)它們攻擊的數(shù)據(jù)傳輸過程的哪一層進(jìn)行標(biāo)記。您的 DDoS 保護(hù)應(yīng)涵蓋可能的 DDoS 攻擊的每一層，否則您將承擔(dān)不必要的風(fēng)險(xiǎn)。

3.響應(yīng)速度

如果不開啟，即使是世界上最好的 DDoS 防護(hù)也無法保護(hù)您。您的 DDoS 緩解提供商需要向您展示其激活過程是什么，并且它會(huì)迅速發(fā)生以避免中斷。

一個(gè)“永遠(yuǎn)在線”的解決方案就是上面所說的：進(jìn)入您系統(tǒng)的所有流量都被您的 DDoS 保護(hù)過濾，因此攻擊在它開始的那一刻就得到了緩解。然而，這是一種資源密集型的運(yùn)營方式，并且伴隨著成本。

雖然“始終在線”是 DDoS 緩解的理想部署，但您需要的最低要求是讓您的 DDoS 保護(hù)提供商展示在攻擊開始時(shí)快速部署 DDoS 保護(hù)的能力，并且不會(huì)讓您容易受到攻擊。

您應(yīng)該為 DDoS 緩解支付多少費(fèi)用？

DDoS 防護(hù)包可以通過多種方式涵蓋上述三個(gè)因素，因此 DDoS 緩解有多種價(jià)位。但是，“一分錢一分貨”的一般規(guī)則在這里適用，您應(yīng)該檢查提供給您的任何廉價(jià) DDoS 緩解措施的規(guī)范，了解它們?nèi)绾翁幚砣齻€(gè)因素：容量、層保護(hù)和速度的回應(yīng)。DDoS 保護(hù)的廉價(jià)選項(xiàng)（如緩解設(shè)備）的容量很可能比其他選項(xiàng)低得多，這意味著它無法處理與其他選項(xiàng)相同規(guī)模的洪水攻擊。

確定 DDoS 保護(hù)中的標(biāo)準(zhǔn)內(nèi)容，以及僅以額外費(fèi)用提供的內(nèi)容。如果您選擇了廉價(jià)的 DDoS 保護(hù)包，然后攻擊超出了它的能力，您可能會(huì)被迫向您的提供商支付高額費(fèi)用以應(yīng)對(duì)攻擊。您最終可能會(huì)被收取額外費(fèi)用的事情包括：

• DDoS 攻擊每秒傳輸?shù)臄?shù)據(jù)超過您的保護(hù)能力
• 一個(gè)月內(nèi)的幾次 DDoS 攻擊，任何規(guī)模，都可能不在您的套餐中

DDoS 保護(hù)的固定費(fèi)率費(fèi)用將保護(hù)您免受這種情況的影響，因?yàn)闊o論您受到多少 DDoS 攻擊或其規(guī)模大小，您每個(gè)月都將被收取標(biāo)準(zhǔn)金額。

如何選擇合適的 DDoS 防護(hù)？

任何公司都有可能成為 DDoS 攻擊的受害者，因此確保 DDoS 保護(hù)到位很重要。您應(yīng)該選擇的保護(hù)級(jí)別取決于您的客戶和您的員工失去對(duì)您系統(tǒng)的訪問權(quán)限的破壞性程度。

獲得 DDoS 保護(hù)的最便捷方法是讓您的數(shù)據(jù)中心提供商為您安裝一個(gè)，因?yàn)樗麄円呀?jīng)處理了您的網(wǎng)絡(luò)連接。他們將向您解釋他們不同選項(xiàng)的功能，以及他們?nèi)绾翁幚砣齻€(gè)關(guān)鍵因素。在選擇托管 IT 的位置時(shí)，數(shù)據(jù)中心可以提供的 DDoS 保護(hù)絕對(duì)是一個(gè)需要考慮的因素。