针对 DoS 攻击和 DDoS 攻击，理想的防护机制应该是一种多层安全防护态势，它运用在防护相应事件方面有着出色往绩的技术，保护网站、应用程序、API、权威 DNS 和网络资源的安全。
为什么选择 Akamai
分布式拒绝服务攻击 (DDoS) 是一种网络攻击。在此类攻击中，攻击者通过发送大量恶意流量造成网站、服务器或网络资源不堪重负，从而导致目标无法工作或崩溃，拒绝向合法用户提供服务，使得合法流量无法到达其目的地。
概括来说，DDoS 或 DoS 攻击就如同成百上千个虚假拼车请求所导致的意外交通堵塞。这些请求在拼车服务看来似乎合法，因此服务会调度驾驶员接人，从而不可避免地使城市街道拥堵。这会导致正常的合法流量无法到达目的地。
针对一家公司的网站、Web 应用程序、API、网络或数据中心基础架构发起的 DDoS 攻击会造成停机，导致合法用户无法购买产品、使用服务、获取信息或者访问其他资源。
构建僵尸网络 ——为了发起 DDoS 攻击，攻击者会使用恶意软件创建一个爬虫程序网络。这个网络由感染了恶意软件的联网设备组成，攻击者可以通过控制这些设备向目标发送大量流量。这种爬虫程序网络或 僵尸网络可能包括物联网（IoT 设备）、智能手机、个人电脑等端点，以及路由器和网络服务器。每个受感染的设备都能够将恶意软件传播到其他设备，进一步扩大了攻击的规模。
我们可以参考 HBO 剧集《权力的游戏》中的情节，思考一下夜王是如何创造一支异鬼军队的。夜王创造了最初的异鬼。这些异鬼攻击人类，把他们变成新的异鬼，因此军队不断扩大。军队中的每一个成员都由夜王控制。
发起攻击 ——一旦攻击者建立了僵尸网络，他们就会通过远程指令控制爬虫程序，指示它们向目标服务器、网站、Web 应用程序、API 或网络资源发送请求和流量。这会导致大量流量涌向目标，从而引发拒绝服务，阻止正常流量访问目标。
DDoS 作为服务 ——有时，僵尸网络及其中的爬虫程序会通过“雇佣攻击”服务的形式出租给其他有意发起攻击的人。这让那些没有接受过训练、缺乏经验的恶意攻击者也能轻松自行发动 DDoS 攻击。
DDoS 攻击的目的是为了严重拖慢合法流量的速度，或者阻止合法流量到达其预定目的地。例如，这可能意味着用户无法正常访问网站、购买产品或服务、观看视频，或者无法在社交媒体上进行互动。此外，DDoS 会造成资源不可用或性能下降，导致业务陷入停滞。它可能导致员工无法访问电子邮件或 Web 应用，或让他们无法照常处理工作。
发起 DDoS 攻击可能出于几个原因。
DDoS 攻击分为许多不同类型，网络犯罪分子经常混合使用多种攻击来给目标造成严重破坏。DDoS 攻击通常针对开放系统互连 (OSI) 模型中描述的七个不同的计算机网络层之一。 OSI 模型的每一层都有独特的用途，就像一栋办公楼中每个楼层都有不同的业务功能。攻击者根据他们想要破坏的网络或面向互联网的资产类型，针对不同的层次发起攻击。
有四种攻击类型：
应用层 DDoS 攻击（第 7 层 DDoS 攻击）针对 Web 应用程序的特定漏洞，导致应用程序无法正常运行。这些 DDoS 攻击通常针对两个应用程序通过互联网进行数据交换所使用的通信协议。虽然这类 DDoS 攻击难以预防和抵御，但发动起来却非常容易。
协议攻击主要针对 OSI 模型中的第 3 层和第 4 层互联网通信协议的弱点和漏洞。这些攻击通过发送利用 传输控制协议 (TCP) 或互联网控制消息协议 (ICMP) 的恶意连接请求来消耗并耗尽各种网络基础架构资源（如服务器或防火墙）的计算容量。
域名系统或 DNS 放大/反射攻击是一种容积 DDoS 攻击媒介，黑客通过伪装其目标的 IP 地址，向开放的 DNS 服务器发送大量请求。作为回应，这些 DNS 服务器通过伪造的 IP 地址响应恶意请求，大量的 DNS 答复形成洪流，从而构成预定目标的攻击。很快，通过 DNS 答复产生的大量流量就会造成受害企业的服务不堪重负、无法使用，并造成合法流量无法到达其预定目的地。
我们用拼车的比喻来解释这种攻击，想象一下，如果有数百或数千个拼车请求被发送到受害者的地址，要求派车前来。这些拼车车辆现在堵塞了通往受害者家的街道，阻止了合法乘客到达该地址。这个比喻也可以用来解释下一节中讨论的容积 DDoS 攻击。
基于容积的 DDoS 攻击主要针对 OSI 第 3 层和第 4 层，通过向目标发送大量来自不同来源的流量，导致目标的可用带宽被完全消耗，从而引发网络变慢或崩溃。容积攻击通常用于转移人们对其他类型的 DDoS 攻击或更危险的网络攻击的注意力。
企业可以通过实施强大的 DDoS 防御策略、采用优质的 DDoS 抵御服务，并实施高级网络安全控制措施，有效防范和限制 DDoS 攻击带来的破坏。
基于云的解决方案提供大容量、高性能和始终开启的 DDoS 防护措施，旨在防止恶意流量进入网站或干扰 Web API 通信，从而限制攻击的影响，同时允许正常流量通过，保持业务正常运转。
在动态多变的攻击环境中，通过采取深度防御方法的抵御方案提供商所提供的 DDoS 保护服务可以为企业和最终用户保驾护航。DDoS 抵御服务将会尽快检测到并阻止 DDoS 攻击，理想情况下，这应该在攻击流量到达抵御提供商净化中心后的当下或几秒钟内完成。由于攻击媒介不断变化、攻击规模不断扩大，为了实现理想 DDoS 防护效果，供应商必须不断投资加强防御能力。为了跟上规模庞大、复杂度高的攻击的步调，必需具备正确的技术来检测恶意流量，也要着手实施强有力的防御性对策，以便快速抵御攻击。
DDoS 抵御提供商可以过滤掉攻击流量，防止其到达作为攻击目标的资产。攻击流量会被基于 CDN 的 Web 保护服务、DDoS 净化服务或基于云的 DNS 服务所拦截。
在抵御过程中，您的 DDoS 保护提供商将部署一系列的应对措施，以阻止分布式拒绝服务攻击并降低其影响。随着现代攻击变得更加先进，基于云的 DDoS 抵御保护措施有助于通过 大规模深度防御保障安全，保持后端基础架构和面向互联网的服务的可用性和出色性能。
通过 DDoS 攻击防护服务，企业可以：
Akamai 通过专用边缘、分布式 DNS 和云端净化防御构成的透明网格，提供深度 DDoS 防御和抵御服务。这些专门构建的云端服务旨在改善 DDoS 和网络安全态势，同时缩小攻击面、提高抵御质量、减少误报，并且提高在遭遇量级较高、复杂性较高的攻击时的韧性。此外，这些解决方案还可以进行调优，以满足您的 Web 应用程序和基于互联网的服务的特定要求。
DoS 攻击就是拒绝服务攻击，其目的是让合法用户无法访问网站、路由器、服务器或网络。DoS 攻击由一台计算机发起，而分布式拒绝服务 (DDoS) 攻击则从多个位置对目标发起攻击。为此，DDoS 攻击会利用僵尸网络，也就是由 IPv4 或 IPv6 地址构成的分布式网络——由被劫持的计算机、机器或 IoT 设备构成的爬虫程序网络。
DoS 或 DDoS 攻击会采用泛洪的方式，向服务器、网站、网络设备或机器发送大量恶意流量，以此让其无法正常工作。在容量型攻击（如 ICMP 泛洪攻击或 UDP 泛洪攻击）中，攻击者使用大量流量造成目标不堪重负、系统或用于访问系统的网络路径过载，同时阻止合法流量和用户访问目标资源。
协议攻击（如 SYN 泛洪攻击）会发送利用协议通信的漏洞的恶意连接请求，企图耗尽网络基础架构资源（如防火墙或负载均衡器）的计算能力。在像 Slowloris 这样的应用层攻击中，攻击者会耗尽 Web 服务器、应用程序服务器或数据库可以处理的请求量，从而发起容量耗尽式攻击，同时保持较低的请求量，以此避开检测机制，最终造成用户无法使用攻击目标。
针对 DoS 攻击和 DDoS 攻击，理想的防护机制应该是一种多层安全防护态势，它运用在防护相应事件方面有着出色往绩的技术，保护网站、应用程序、API、权威 DNS 和网络资源的安全。
Akamai 是一家致力于支持并保护在线商业活动的网络安全和云计算公司。我们卓越的安全解决方案、出色的威胁情报和全球运营团队可提供深度防御，保护各地的企业数据和应用程序。Akamai 的全栈云计算解决方案可在海外分布广泛的平台上提供高性能和经济实惠的服务。全球多家企业坚信，Akamai 能够提供卓越的可靠性、扩展性和专业技术，助其从容拓展业务。
以高速、有效的防御机制大规模地阻止 DDoS 攻击。
依靠高度安全的 DNS，保证 Web 应用程序和 API 始终可用。
为网站、应用程序和 API 提供一站式、零妥协安全防御。
并非所有 DDoS 缓解措施都具有同等的效力。了解有多少云服务提供商不具备这种效力，以及哪些提供商值得关注。
我们最新一期的研究报告提供了您可更好地抵御欧洲、中东和非洲地区不断增加的 DDoS 攻击方面的知识。
DNS 是互联网历史最悠久的基础架构之一。但通过 DNS 传输的攻击流量极其庞大。这篇报告详尽地探究了最为普遍的威胁，还提供了其他方面的信息。
访问下列页面，详细了解相关主题和技术。
