DDoS（分布式拒絕服務(wù)）攻擊完全繞過(guò)防火墻安全和入侵防御系統(tǒng)，有可能關(guān)閉您的整個(gè)計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)。擁有適當(dāng)?shù)腄DoS 保護(hù)是網(wǎng)絡(luò)安全管理的重要組成部分，但不同的緩解產(chǎn)品可能難以比較。

什么是 DDoS？

分布式拒絕服務(wù)攻擊使公司的服務(wù)器不堪重負(fù)，其 IT 無(wú)法處理大量流量。這有效地關(guān)閉了系統(tǒng)并阻止合法流量到達(dá)它。在最近的歷史中，IoT（物聯(lián)網(wǎng)）導(dǎo)致 DDoS 攻擊的有效性不斷提高，因?yàn)?IoT 設(shè)備通常不受保護(hù)，并且是攻擊者增加其 DDoS 攻擊規(guī)模的有用工具。

由于不同的 DDoS 保護(hù)可以不同地處理它們，因此了解三種主要類型的 DDoS 攻擊很重要：

• 洪水/體積攻擊：這是一種圍繞著大量流量的攻擊，占用了您互聯(lián)網(wǎng)連接的整個(gè)帶寬。
• 資源匱乏攻擊：這是一種更有針對(duì)性的攻擊，它使用特定類型的流量來(lái)嘗試使您的操作系統(tǒng)或網(wǎng)絡(luò)堆棧崩潰/
• 應(yīng)用程序攻擊：這是另一種有針對(duì)性的攻擊，這一次工作在 OSI 模型的第 7 層，特定流量會(huì)導(dǎo)致您的應(yīng)用程序或它所在的服務(wù)器崩潰。

攻擊者出于多種原因會(huì)對(duì)公司使用 DDoS 攻擊，但最常見(jiàn)的動(dòng)機(jī)是：

• 使用 DDoS 攻擊來(lái)掩蓋另一次攻擊 - 惡意軟件和木馬通常與 DDOS 攻擊相結(jié)合進(jìn)行傳遞。然后可以通過(guò)多種方式（竊取數(shù)據(jù)、勒索軟件攻擊等）使用這種滲透來(lái)進(jìn)一步攻擊公司的系統(tǒng)。
• 破壞競(jìng)爭(zhēng) - 公司可以利用 DDOS 工具對(duì)其競(jìng)爭(zhēng)對(duì)手發(fā)起攻擊，關(guān)閉他們的業(yè)務(wù)，直到攻擊可以停止。
• 腳本小子 - 嘗試使用可用的免費(fèi) DDoS 工具的孩子將關(guān)閉公司的系統(tǒng)，只是為了證明他們可以。他們對(duì)目標(biāo)公司沒(méi)有任何惡意，但同樣具有破壞性。

什么是 DDoS 防護(hù)？

DDoS 緩解是一種專業(yè)的解決方案，可以防止 DDoS 攻擊，可以有多種形式，但最常見(jiàn)的是：

• DDoS 緩解設(shè)備：您從供應(yīng)商處購(gòu)買此保護(hù)并將其安裝在系統(tǒng)前面以過(guò)濾流量。最初安裝它們相對(duì)便宜，但是如果您的系統(tǒng)增長(zhǎng)，它們將需要進(jìn)一步的投資，并且它們很容易被超出您的帶寬容量的洪水攻擊所淹沒(méi)。（一些數(shù)據(jù)中心將把它作為他們最便宜的 DDoS 解決方案提供，但如果它是一個(gè)以設(shè)備為主導(dǎo)的解決方案，這就是他們將提供的。）
• 來(lái)自 ISP 的 DDos 服務(wù)：互聯(lián)網(wǎng)服務(wù)提供商還可以通過(guò)過(guò)濾所有傳入流量來(lái)為其客戶提供 DDoS 解決方案。這可能非常有效且具有成本效益，因?yàn)樗踔猎诘竭_(dá)您的 IT 系統(tǒng)之前就過(guò)濾了所有流量，但在防止針對(duì)您的應(yīng)用程序或您使用多個(gè) ISP 的某些攻擊方面存在嚴(yán)重限制。
• 來(lái)自您的數(shù)據(jù)中心的 DDoS 保護(hù)：這種保護(hù)非常適合洪水攻擊，因?yàn)閿?shù)據(jù)中心配備了足夠的資源來(lái)處理流量，并且具有由已經(jīng)負(fù)責(zé)您的 IT 基礎(chǔ)設(shè)施的工程師安裝的額外好處。它也成為您 IT 現(xiàn)有運(yùn)營(yíng)成本的一部分。
• 來(lái)自第三方/云服務(wù)提供商 (CSP) 的 DDoS 保護(hù)：第三方可以代表您保護(hù)您的 IP 地址，這意味著您的互聯(lián)網(wǎng)流量首先到達(dá)他們的網(wǎng)絡(luò)，他們可以對(duì)其進(jìn)行過(guò)濾。這個(gè) DDoS 保護(hù)系列正在興起，因?yàn)樵瀑Y源可以按需大規(guī)模擴(kuò)展。

如您所見(jiàn)，DDoS 保護(hù)選項(xiàng)種類繁多，您的最終選擇取決于您的風(fēng)險(xiǎn)狀況和預(yù)算，但仍有一些標(biāo)準(zhǔn)可用于比較不同類型的保護(hù)。

良好的 DDoS 緩解有哪些要求？

有效的 DDoS 防護(hù)需要能夠識(shí)別 DDoS 攻擊中的攻擊流量并將其過(guò)濾掉。它的效果取決于您可以用來(lái)比較不同類型的 DDoS 保護(hù)的三個(gè)因素。

1. 容量

隨著時(shí)間的推移，DDoS 攻擊只會(huì)變得越來(lái)越強(qiáng)大，您的 DDoS 保護(hù)需要能夠應(yīng)對(duì)其發(fā)送的流量。據(jù)報(bào)道，超過(guò) 1Tbps的 DDoS 攻擊，雖然您可能不需要那么多容量，但 Comparitech 的研究表明，目前平均 DDoS 攻擊超過(guò) 1Gbps。確保您的 DDoS 保護(hù)具有超過(guò) 1Gbps 的標(biāo)準(zhǔn)容量，但如果您受到更大的攻擊，還具有擴(kuò)展能力。

2. 保護(hù)每一層攻擊

DDoS 攻擊可以有多種形式，具體取決于它們?nèi)绾畏糯罅髁恳约八鼈冇脕?lái)壓倒目標(biāo)計(jì)算機(jī)系統(tǒng)的方式。這些不同類型的攻擊根據(jù)它們攻擊的數(shù)據(jù)傳輸過(guò)程的哪一層進(jìn)行標(biāo)記。您的 DDoS 保護(hù)應(yīng)涵蓋可能的 DDoS 攻擊的每一層，否則您將承擔(dān)不必要的風(fēng)險(xiǎn)。

3.響應(yīng)速度

如果不開(kāi)啟，即使是世界上最好的 DDoS 防護(hù)也無(wú)法保護(hù)您。您的 DDoS 緩解提供商需要向您展示其激活過(guò)程是什么，并且它會(huì)迅速發(fā)生以避免中斷。

一個(gè)“永遠(yuǎn)在線”的解決方案就是上面所說(shuō)的：進(jìn)入您系統(tǒng)的所有流量都被您的 DDoS 保護(hù)過(guò)濾，因此攻擊在它開(kāi)始的那一刻就得到了緩解。然而，這是一種資源密集型的運(yùn)營(yíng)方式，并且伴隨著成本。

雖然“始終在線”是 DDoS 緩解的理想部署，但您需要的最低要求是讓您的 DDoS 保護(hù)提供商展示在攻擊開(kāi)始時(shí)快速部署 DDoS 保護(hù)的能力，并且不會(huì)讓您容易受到攻擊。

您應(yīng)該為 DDoS 緩解支付多少費(fèi)用？

DDoS 防護(hù)包可以通過(guò)多種方式涵蓋上述三個(gè)因素，因此 DDoS 緩解有多種價(jià)位。但是，“一分錢一分貨”的一般規(guī)則在這里適用，您應(yīng)該檢查提供給您的任何廉價(jià) DDoS 緩解措施的規(guī)范，了解它們?nèi)绾翁幚砣齻€(gè)因素：容量、層保護(hù)和速度的回應(yīng)。DDoS 保護(hù)的廉價(jià)選項(xiàng)（如緩解設(shè)備）的容量很可能比其他選項(xiàng)低得多，這意味著它無(wú)法處理與其他選項(xiàng)相同規(guī)模的洪水攻擊。

確定 DDoS 保護(hù)中的標(biāo)準(zhǔn)內(nèi)容，以及僅以額外費(fèi)用提供的內(nèi)容。如果您選擇了廉價(jià)的 DDoS 保護(hù)包，然后攻擊超出了它的能力，您可能會(huì)被迫向您的提供商支付高額費(fèi)用以應(yīng)對(duì)攻擊。您最終可能會(huì)被收取額外費(fèi)用的事情包括：

• DDoS 攻擊每秒傳輸?shù)臄?shù)據(jù)超過(guò)您的保護(hù)能力
• 一個(gè)月內(nèi)的幾次 DDoS 攻擊，任何規(guī)模，都可能不在您的套餐中

DDoS 保護(hù)的固定費(fèi)率費(fèi)用將保護(hù)您免受這種情況的影響，因?yàn)闊o(wú)論您受到多少 DDoS 攻擊或其規(guī)模大小，您每個(gè)月都將被收取標(biāo)準(zhǔn)金額。

如何選擇合適的 DDoS 防護(hù)？

任何公司都有可能成為 DDoS 攻擊的受害者，因此確保 DDoS 保護(hù)到位很重要。您應(yīng)該選擇的保護(hù)級(jí)別取決于您的客戶和您的員工失去對(duì)您系統(tǒng)的訪問(wèn)權(quán)限的破壞性程度。

獲得 DDoS 保護(hù)的最便捷方法是讓您的數(shù)據(jù)中心提供商為您安裝一個(gè)，因?yàn)樗麄円呀?jīng)處理了您的網(wǎng)絡(luò)連接。他們將向您解釋他們不同選項(xiàng)的功能，以及他們?nèi)绾翁幚砣齻€(gè)關(guān)鍵因素。在選擇托管 IT 的位置時(shí)，數(shù)據(jù)中心可以提供的 DDoS 保護(hù)絕對(duì)是一個(gè)需要考慮的因素。