在遭遇第 3 层 DDoS 攻击期间，区分合法流量和恶意流量可能相当困难。但高级流量分析技术、异常检测系统以及 IP 信誉数据库的使用可以帮助企业在遭遇第 3 层 DDoS 攻击期间区分合法网络流量和恶意网络流量。这些技术可以分析流量模式、识别异常行为，并标记潜在的恶意来源或流量特征。
第 3 层 DDoS 攻击也称为基于网络或协议的 DDoS 攻击和/或容积式 DDoS 攻击，以开放系统互连 (OSI) 模型的特定网络层为攻击目标。该层负责在不同网络之间路由数据包。这类攻击利用网络协议中的漏洞，例如互联网协议 (IP)、互联网控制报文协议 (ICMP) 和地址解析协议 (ARP)，通过过量流量导致目标网络基础架构不堪重负。
了解第 3 层 DDoS 攻击
第 3 层 DDoS 攻击旨在向由器、防火墙和负载均衡器等网络设备发送大量网络数据包，耗尽这些设备的资源。这种流量泛洪会消耗可用带宽、降低网络性能，并最终导致试图访问目标网络或应用程序的合法用户被拒绝服务。
第 3 层 DDoS 攻击的工作原理
第 3 层 DDoS 攻击利用各种技术来实现破坏性目标。我们来仔细了解一些常用方法：
ICMP 泛洪攻击：在 ICMP（互联网控制消息协议）泛洪攻击中，攻击者向目标网络发送大量 ICMP 回显请求数据包。目标的网络设备因大量传入请求而不堪重负，难以逐一响应每个请求，从而导致网络拥塞和性能下降。
IP 碎片攻击：IP 碎片攻击是向目标网络发送碎片式的 IP 数据包。这种技术利用了目标设备必须执行的重新组装过程来重建原始数据包。通过向目标设备发送过量的碎片化数据包，攻击者致力于消耗其处理能力和资源。
Smurf 攻击：在 Smurf 攻击中，攻击者将其 ICMP 回显请求数据包的源 IP 地址伪造为目标网络的广播地址。当目标网络收到这些欺骗性数据包时，它会向网络中的所有主机广播 ICMP 回显应答数据包。随着大量应答数据包涌入网络，系统迅速超载，无法处理合法流量。
DNS 放大攻击：DNS（域名系统）攻击利用 DNS 服务器的设计特点，即响应数据包远大于原始查询请求。这会影响第 7 层（应用层）的 DNS。当攻击者发送大量带有伪造受害者源 IP 地址的 DNS 查询时，攻击流量会影响受害者的第 3 层（网络层）网络基础架构。因此，DNS 服务器会无意间向受害者的 IP 地址发送更大的响应，从而耗尽他们的网络容量。
抵御第 3 层 DDoS 攻击
第 3 层 DDoS 攻击给企业造成了重大挑战，因为它们直接针对底层网络基础架构。但可以实施多种措施来减轻第 3 层 DDoS 攻击的影响。以下是一些有效的策略：
网络流量过滤：实施网络流量过滤机制有助于缓解第 3 层 DDoS 攻击的影响。通过分析传入流量并过滤掉恶意数据包，企业即可阻止攻击流量到达其网络基础架构。这可通过部署防火墙、入侵检测系统 (IDS) 及入侵防御系统 (IPS) 来实现，这些系统能够检测并拦截可疑或异常的流量模式。
速率限制和流量整形：速率限制和流量整形技术可用于控制网络流量，并防止与第 3 层 DDoS 攻击相关的数据包泛洪。通过设置每秒允许的数据包或连接数量限制，企业可以有效管理网络资源，防止攻击流量造成的拥塞。
黑洞路由：黑洞路由也称为空路由，涉及到将发往特定 IP 地址或网络的所有流量重定向到“黑洞”。这实际上会丢弃所有发往目标网络的传入流量，包括与第 3 层 DDoS 攻击相关的恶意数据包。通过在网络基础架构上实施黑洞路由，企业可以最大限度地降低攻击的影响，并为合法流量保留网络资源。
通过云净化进行流量异常检测：实施流量异常检测系统有助于实时识别和响应第 3 层 DDoS 攻击。这些系统会分析网络流量模式和行为，以检测是否有偏离正常流量模式的情况。检测到异常时，系统可以触发自动抵御措施，例如流量重新路由、速率限制或流量过滤，以保护网络基础架构免受攻击。
内容交付网络 (CDN)：部署内容交付网络 (CDN) 可以将网络流量分配到分散在多个地理位置的服务器，从而帮助缓解第 3 层 DDoS 攻击的影响。CDN 使用缓存和负载均衡技术向用户高效交付内容，减少源站服务器的压力，同时增强其抵御 DDoS 攻击的能力。通过将攻击流量转移到 CDN 的分布式基础架构，企业可以减轻对其网络的影响，并确保服务不发生中断。
协作防御机制：协作防御机制涉及到多家企业共享威胁情报并协调响应。通过参与协作防御计划，企业可以从共同的知识和资源库中受益，从而更好地检测、分析和抵御第 3 层 DDoS 攻击。共享有关攻击特征、流量模式和抵御技术的信息，可以帮助企业主动抵御此类攻击，并尽可能减少其影响。
常见问题
第 3 层 DDoS 攻击主要以路由器、防火墙和负载均衡器等网络基础架构为目标。攻击者通过向这些设备发送过量网络流量，意图破坏目标网络的正常运行并导致服务中断。
完全防范第 3 层 DDoS 攻击非常艰难，不过企业可以实施各种抵御策略，以最大限度地降低其影响。通过结合网络流量过滤、速率限制、流量整形和其他主动防御措施，企业即可显著降低攻击得逞的风险。
第 3 层 DDoS 攻击是常见的 DDoS 攻击类型之一，但不一定是最常见的一种。第 4 层（传输层）和第 7 层（应用层）DDoS 攻击等其他类型的 DDoS 攻击同样构成重大威胁。每种类型都以网络协议栈的不同层为目标，并利用特定漏洞来造成服务中断。攻击类型的选择取决于攻击者的目标和受害者的基础架构。
第 3 层DDoS 攻击可能会导致暂时中断和服务不可用，但通常不会对网络基础架构造成长期损害。一旦攻击停止或缓解措施得以实施，网络应能恢复正常运行。但务必监控和评估攻击的影响，以识别可能被利用的任何潜在漏洞，并采取适当措施增强网络复原力。
要为应对第 3 层 DDoS 攻击做好准备，企业应制定事件响应计划，明确发生攻击时应采取的步骤。此计划应该包含响应团队的角色和职责、相关利益相关者的联系信息以及预定义的抵御策略。定期网络评估和渗透测试也有助于识别漏洞并实施必要的安全措施。企业还可以考虑与 DDoS 防护服务提供商合作，或利用基于云的安全解决方案来增强对第 3 层 DDoS 攻击的防御能力。
结论
第 3 层 DDoS 攻击对网络基础架构构成了重大威胁，通常会导致服务中断，也会给企业造成经济损失。了解这些攻击并实施适当的抵御策略对于确保网络复原力和不间断的服务可用性至关重要。通过云净化、网络流量过滤、速率限制、流量整型和协作防御机制等措施，企业可以有效缓解第 3 层 DDoS 攻击的影响，并保护关键资产免受恶意攻击者的侵害。
保持主动并持续监控网络流量是否存在异常，这是及时检测和响应第 3 层 DDoS 攻击的关键。通过投资实施强大的网络安全措施并随时了解新兴攻击技术，企业即可在不断演变的网络威胁环境中保持先人一步。
客户为什么选择 Akamai
Akamai 是一家致力于支持并保护在线商业活动的网络安全和云计算公司。我们卓越的安全解决方案、出色的威胁情报和全球运营团队可提供深度防御，保护各地的企业数据和应用程序。Akamai 的全栈云计算解决方案可在海外分布广泛的平台上提供高性能和经济实惠的服务。全球多家企业坚信，Akamai 能够提供卓越的可靠性、扩展性和专业技术，助其从容拓展业务。