DDoS

DDoS，Distributed Denial of Service：
黑客控制大量被黑掉的肉机，利用恶意程序对目标发起攻击，消耗目标服务器性能或网络带宽，造成服务器无法正常提供服务。

DDoS种类

DDoS 攻击分类 攻击子类 描述
畸形报文 Frag Flood、Smurf、Stream Flood、Land Flood、IP畸形报文、TCP畸形报文、UDP畸形报文等。 畸形报文攻击指通过向目标系统发送有缺陷的IP报文，使得目标系统在处理这样的报文时出现崩溃，从而达到拒绝服务的攻击目的。
传输层DDoS攻击 Syn Flood、Ack Flood、UDP Flood、ICMP Flood、RstFlood等。 以Syn Flood攻击为例，它利用了TCP协议的三次握手机制，当服务端接收到一个Syn请求时，服务端必须使用一个监听队列将该连接保存一定时间。因此，通过向服务端不停发送Syn请求，但不响应Syn+Ack报文，从而消耗服务端的资源。当监听队列被占满时，服务端将无法响应正常用户的请求，达到拒绝服务攻击的目的。
DNS DDoS攻击 DNS Request Flood、DNS Response Flood、虚假源+真实源DNS Query Flood、权威服务攻击和Local服务器攻击等。 以DNS Query Flood攻击为例，其本质上执行的是真实的Query请求，属于正常业务行为。但如果多台僵尸机同时发起海量的域名查询请求，服务端无法响应正常的Query请求，从而导致拒绝服务。
连接型DDoS攻击 TCP慢速连接攻击、连接耗尽攻击、Loic、Hoic、Slowloris、Pyloris、Xoic等慢速攻击。 以Slowloris攻击为例，其攻击目标是Web服务器的并发上限。当Web服务器的连接并发数达到上限后，Web服务即无法接收新的请求。Slowloris攻击利用HTTP协议的特性来达到攻击目的。HTTP请求以\r\n\r\n标识Headers的结束，如果Web服务端只收到\r\n，则认为HTTP Headers部分没有结束，将保留该连接并等待后续的请求内容。
Web应用层DDoS攻击 HTTP Get Flood、HTTP Post Flood、==CC==等攻击。 通常应用层攻击完全模拟用户请求，类似于各种搜索引擎和爬虫一样，这些攻击行为和正常的业务并没有严格的边界，难以辨别。Web服务中一些资源消耗较大的事务和页面，例如分页和分表，如果控制页面的参数过大，频繁的翻页将会占用较多的Web服务资源。CC攻击瞄准的是Web应用后端业务，除了导致拒绝服务外，还会直接影响Web应用的动态性能，包括Web响应时间，数据库服务，磁盘读写等。

中招特征

DDoS攻击的常见症状

  • 网络和设备正常的情况下，服务器突然出现连接断开、访问卡顿、用户掉线等情况
  • 服务器CPU内存突然出现异常增长
  • 网络出方向或入方向流量明显增长
  • 业务网站出现大量未知访问
  • 登陆服务器失败或者太慢

DNS Flood攻击

DNS 攻击（特指 DNS Query Flood）的目标是 权威 DNS 服务器（比如阿里云 DNS、DNSPod 或者您自建的 BIND 服务器）。

攻击效果：黑客不需要炸掉您的房子，他只需要把全世界所有导航系统里关于您家地址的那一页撕掉（或者让导航系统瘫痪）。此时，虽然您的房子（业务服务器）运行正常、甚至负载很低，但用户在浏览器输入域名时，导航系统无法返回 IP，用户就进不来。

随机子域名攻击 (DNS Water Torture)

黑客有一种专门针对 DNS 机制的攻击手法，叫做 "随机子域名攻击"，它能==穿透全球缓存==。

正常流程：

  1. 用户访问 www.abc.com。
  2. 本地运营商 DNS 查缓存，如果有，直接返回 IP（不消耗权威 DNS 性能）。
  3. 如果没有，才去问权威 DNS。

攻击流程（黑客的操作）：
黑客控制数百万台肉鸡，疯狂请求不存在的随机子域名：sdkjfh.abc.com

致命后果：

  1. 缓存失效：因为这些域名都是随机生成的，运营商的 Local DNS 缓存里肯定没有。
  2. 强制回源：运营商 DNS 必须每一次都去向您的权威 DNS 服务器发起查询。
  3. 资源耗尽：虽然阿里云等大厂的 DNS 很强，但如果是免费版或低配版，QPS（每秒查询数）上限可能只有几千或几万。当攻击流量达到几千万 QPS 时，权威 DNS 服务器的 CPU 瞬间跑满，或者带宽被占满。
  4. 拒绝服务：此时，真实的客户想查询 www.abc.com，权威 DNS 已经忙不过来了，直接丢包或超时。

不同DNS版本的防护能力

  • 对于免费/自建 DNS：非常脆弱。几十块钱买的攻击流量就能让一个使用自建 DNS 的网站瘫痪一天。
  • 对于付费云解析：云厂商（如阿里云）通常会设置防护阈值。
    • 如果您买的是免费版 DNS，遇到攻击，为了不影响其他付费用户，云厂商通常会直接把您的域名拉入黑洞（停止解析）。这一停，您的业务就全挂了。
    • 如果您买的是企业旗舰版，它有专门抗这种攻击的清洗能力，能识别出哪些是随机生成的假域名，哪些是真用户。

DDoS防护产品

阿里云提供：

  • 免费DDoS基础防护
  • DDoS原生防护
    • 直接把防御能力加到阿里云产品上。
  • DDoS高防
    • 支持任意域名，配置好CNAME就行，流量会被导入到流量清洗集群
DDoS防护解决方案 简介 应用场景 选择参考建议
DDoS基础防护 阿里云免费提供的基础版，为阿里云产品（ECS、SLB、EIP、轻量服务器、Aliyun/网络/WAF、GA、AnycastEIP）提供==500 Mbps~5 Gbps==的DDoS防护能力。 购买阿里云产品即可标配基础DDoS防护能力，仅可满足较低的安全需求，对于有较高安全防护需求的用户建议额外开通其他的高级防护方案。 无
DDoS原生防护 通过简单配置，将DDoS原生防护提供的安全能力直接加载到云产品上，提升其安全防护能力。 业务资源部署在阿里云机房。业务规模较大。例如，业务带宽大于1 Gbps，HTTP/HTTPS业务QPS大于5,000。需要防护的公网IP数量多。例如几十个甚至数千个IP需要防护。具有IPv6访问流量的防护需求。 如果只需要防御DDoS攻击，推荐使用负载均衡+DDoS原生防护2.0企业版的部署方式。如果需要防御DDoS攻击和Web攻击、CC攻击，推荐使用**[[Aliyun/网络/WAF
DDoS高防（新BGP、国际） 阿里云提供的解决互联网服务器（包括非阿里云主机）遭受大流量DDoS攻击的安全方案。通过配置DDoS高防，将业务流量牵引至DDoS高防清洗IP，攻击流量被清洗过滤，确保源站服务器稳定可靠。 金融、电商、门户类网站、政府互联网出口等的DDoS攻击防护场景。遭遇恶意竞争者的DDoS攻击勒索。DDoS攻击已经导致您的业务不可用，需要紧急恢复。频繁遭受DDoS攻击，需要持续防护。 业务服务器部署在中国内地，推荐使用DDoS高防（新BGP）。业务服务器部署在中国内地以外且主要服务于中国内地以外的用户，推荐使用DDoS高防（国际）保险版或无忧版。业务服务器部署在中国内地以外但主要服务于中国内地的用户，推荐使用DDoS高防（国际）出海加速版。

阿里云黑洞策略

阿里云产品遭受大流量DDoS攻击且攻击流量的峰值带宽bps超过了其防御能力，为了避免攻击产生的损害，黑洞策略会暂时==屏蔽阿里云产品的互联网入方向流量==。

预防黑洞

只有当DDoS攻击的峰值带宽超过了资产的DDoS防御能力，才会导致资产发生黑洞。资产的DDoS防御能力越大，则触发黑洞可能性越低。因此只有提升资产的DDoS防御能力（黑洞阈值），才能从根本上预防黑洞发生。

防护方案 说明
DDoS基础防护 部分阿里云产品默认具有==500 Mbps~5 Gbps==的免费的DDoS基础防护能力。DDoS基础防护能力与资产所在地域及规格有关。此外，阿里云会根据您的安全信誉状态，包括评估当前机房的水位、可用资源和资产遭受的历史攻击，以及账号安全信誉等因素，在免费的DDoS基础防护能力以外，为您的资产动态分配额外的弹性防护能力。
部署商用版 DDoS防护产品 购买DDoS原生防护，获取全力防护的防御能力，且无需修改您的业务IP。购买DDoS高防服务，获取最高可达==Tbps级别==的防御能力，需将流量切换至DDoS高防。DDoS高防服务明确承诺防护量和防御效果。

如果正常业务流量大于黑洞阈值，建议提升资产规格，否则可能会被识别为异常流量导致资产进入黑洞

解除黑洞

黑洞期间，阿里云会持续监测DDoS攻击状态，攻击结束一段时间后会自动解除。默认是==2.5h==，实际时间根据攻击情况有差异。

付费版DDoS防御支持手动解除黑洞。

反DDoS攻击最佳实践

防护策略总结

  • 缩小暴露面
    • 避免将非业务必需的端口暴露在公网
    • 通过Aliyun/网络/VPC实现内网隔离，防止内网傀儡机的攻击
  • 优化架构
    • 压测，评估当前架构的吞吐能力；评估正常业务下的带宽和请求数，确保留有余量。
    • 用SLB+弹性伸缩，自动分配流量、自动扩缩容，缓解一定的攻击
    • 优化DNS服务，可以托管至多家服务商，用付费版DNS服务，提升DDoS防御能力。
  • 服务器安全加固
  • 做好业务监控和应急响应
  • 选择商用方案

相关产品