Sectigo 博客
通过恰当的网络安全措施防范 DDoS 攻击
DDoS（分布式拒绝服务）攻击通过流量淹没服务器来破坏网站正常运行，导致服务中断并可能造成经济损失。这类攻击利用僵尸网络压垮基础设施，瞄准漏洞发起攻击。系统更新、完善的监控、防火墙，以及 SiteLock 等专业服务这类预防措施，对于降低风险、保护企业至关重要。
你可能在网络交流中听到过“DDoS 攻击”这个说法，尤其是在讨论网站安全相关内容时，但它到底是什么？DDoS 即分布式拒绝服务攻击，是网络犯罪分子通过流量淹没服务器、压垮其基础设施的攻击行为。这会导致网站访问速度大幅下降甚至崩溃，合法流量无法访问站点。这类攻击会给线上业务造成严重损害。
这类网络攻击的目的多样，小到恶意骚扰、“黑客行动主义”，大到造成重大业务损失。和其他黑客攻击形式相比，这类攻击的特殊性在于动机：勒索软件、恐吓软件等其他恶意软件的目的是从受害者手中榨取钱财，而 DDoS 攻击纯粹是为了制造混乱、破坏服务。
这类攻击造成的停机时间和损失十分严重，因此受到广泛讨论。黑客会频繁发起 DDoS 攻击，你需要对此保持警惕，避免自身受到严重影响。
DDoS 攻击的工作原理是什么？
大多数 DDoS 攻击借助僵尸网络实施——也就是一组协同行动的计算机。这些计算机会同时尝试访问某个网站，压垮服务器并导致服务瘫痪。
黑客是如何获取这些僵尸网络的？通过劫持其他设备。黑客通常会利用恶意软件，或者借助他人服务器上未修补的漏洞，通过命令与控制（C2）软件获取设备控制权。通过利用这些漏洞，黑客能够以相对低成本、简便的方式集结大量计算机，随后用于实施恶意活动。
当控制了足够多的设备后，黑客就可以向整个僵尸网络发出指令，令其尝试访问目标服务器。当数量过多的计算机同时尝试访问服务器时，就很容易出现服务中断。最终结果是服务中断、生产力受损。
这类攻击的动机可能是幼稚的恶作剧，也可能是对企业的报复。虽然乍听之下似乎危害不大，但需要了解的是，即便对小型企业而言，单次 DDoS 攻击造成的平均损失也可能高达12万美元——这个金额足以让许多小型企业陷入瘫痪，大型企业则可能损失数百万美元。
类比说明
想象一条双向高速公路，它坚固、安全、可靠，你每天都在上面行驶，不会遇到任何问题，因为它的设计承载量满足日常通行需求。城市修建这条公路时，对日间通行的车流量有合理预估。
现在，想象突发状况导致数千辆车同时涌上这条路。你试图驶入匝道，但到了入口处根本没法汇入主路。道路完全被车流堵死，你会迟到——甚至根本到不了目的地。
本质上，这就是 DDoS 攻击的原理。
常见 DDoS 攻击类型
这类攻击形式多样，且在持续演变。如果没有部署恰当的监控系统，你可能会在毫无察觉的情况下遭遇隐蔽攻击——等到你发现时，业务已经完全停摆。最常见的攻击类型包括：
- 应用层攻击，或称“七层DDoS攻击”，指通过耗尽网站资源、占用全部可用带宽发起的攻击。当黑客操控大量不同计算机突然向某个站点发送海量流量时，服务器会很快不堪重负。这些流量会反复向服务器发送重载请求（类似在浏览器中点击“刷新”）。最终服务器因无法再处理负载而返回错误。
- 协议攻击的复杂度更高，它会通过来自不同IP地址的连接请求，专门针对服务器的薄弱点发起攻击。这类攻击不需要操控大量联网计算机。每个连接请求都需要服务器返回响应，服务器的资源被耗尽后，很快就会过载。
- 最后，容量型攻击 是“流量淹没”类攻击的另一种形式。在这类攻击中，僵尸程序向服务器发送数据并索要响应，当发送次数足够多时，响应过程就会耗时过长。发送给服务器的这类数据会被人为放大，导致服务器在处理涌入的数据时，资源被快速耗尽。
根据DDoS攻击的类型不同，如果没有最新的检测与缓解工具，防御这类攻击可能会比较困难。
如何防范DDoS攻击
如果你已经处于DDoS攻击过程中，时间就是最关键的要素。持续监控是核心环节，你需要部署可靠的告警系统来实现实时通知。一旦服务器上出现DDoS攻击，你需要尽早发现并快速响应。如果响应速度足够快，正常用户受到的影响有望降到最低。你可以通过防火墙拦截相关IP地址，阻止其访问你的服务器，甚至可以隔离被攻击的系统，关闭其入站流量。
如果你的网站尚未遭遇过攻击，只是想要防范这类极其常见的攻击，可以参考以下措施。
制定响应预案
说防范工作要从响应预案开始，听起来可能有些矛盾，因为这听上去像是默认了攻击无法被提前阻止。
但在采取任何其他措施之前，你必须制定一套分步执行的预案。你无法临时仓促应对DDoS攻击，需要提前做好准备和规划，最终目标是避免业务遭受不必要的损失。
- 检查你的系统。 盘点所有资产。你线上的每一项资产都可能成为攻击目标。请列出所有可能存在DDoS攻击风险的系统，形成检查清单。当遭受攻击时，你可以对照清单逐一排查，尽可能隔离并保护尚未受影响的系统。
- 组建响应团队并为其分配明确任务。 攻击发生时不是争论分工、委派任务的时机，这些工作应当提前完成，确保所有人的职责清晰明确。
- 制定应急通信联系人清单。 明确信息通报的对象和时间节点也至关重要。你的客户、服务提供商以及所有相关安全厂商都需要了解事态进展，以便各自做出相应响应。
以上是攻击发生后的应对内容。那么现在我们可以做哪些准备，从根源上避免自身遭受攻击呢？
保持系统更新
这一步至关重要——不仅对DDoS缓解十分关键，对所有线上安全事务都同样重要。如果没能保持系统更新，那么任何风险缓解措施都没有意义。及时更新可以修复系统中的漏洞，封堵黑客可利用的入口，从源头尽可能降低风险。
如果你的网站基于Wordpress搭建，请进入更新页面，确认所有组件近期都已完成更新；请卸载已经过时、停止维护的插件，不要抱有任何侥幸心理。
相较于其他大多数防护措施，这一步可以帮你封堵更多潜在攻击者可利用的漏洞。而且值得庆幸的是，即使不是精通技术的人员也可以完成这项操作：大多数更新都是自动推送的，一键即可启动更新流程。
当基础设施保持在最新状态时，你就可以有效降低攻击带来的威胁。
落实基础网络安全措施
这部分没有什么花哨或复杂的要求——设置强密码（并定期更换）、部署安全的防火墙，就可以为防护带来极佳的效果。
部署专业的DDoS监控
借助云服务提供商，如今部署可监控系统并抵御潜在DDoS攻击的服务，比以往任何时候都更简单、成本更低。
SiteLock是Sectigo旗下公司，提供完整的网站安全方案，可在攻击企图演变为更严重、破坏性更强的风险前自动扫描、检测并阻断此类尝试。例如，SiteLock的一项功能是将您的站点接入全球内容分发网络（CDN），该网络不仅可以加速站点访问，还能提供多层DDoS防护。其他功能包括Web应用防火墙（WAF）, 恶意软件清除以及备份服务.
所有这些工具都会在传入的Web流量与您的服务器之间构建多层防护，在流量进入时进行检查，以分析并检测DDoS攻击。一旦检测到攻击流量，即可对其进行隔离和处理，且不会影响您站点的正常功能。
部署合适的工具可帮助您避免成为攻击受害者。立即选择一款SiteLock安全方案来保护您的业务。此外，为确保企业通信安全，您可以了解Sectigo的自动化数字证书管理解决方案.