Sectigo 網誌
透過合適的網絡安全措施防範 DDoS 攻擊
DDoS（分佈式拒絕服務）攻擊透過流量淹沒伺服器來破壞網站正常運作，導致服務中斷並可能造成經濟損失。這類攻擊利用殭屍網絡壓垮基礎設施，瞄準漏洞發動攻擊。系統更新、完善的監控、防火牆，以及 SiteLock 等專業服務這類預防措施，對於降低風險、保護企業至關重要。
你可能在網絡交流中聽過「DDoS 攻擊」這個說法，尤其是在討論網站安全相關內容時，但它到底是什麼？DDoS 即分佈式拒絕服務攻擊，是網絡罪犯透過流量淹沒伺服器、壓垮其基礎設施的攻擊行為。這會導致網站存取速度大幅下降甚至崩潰，合法流量無法存取站點。這類攻擊會對線上業務造成嚴重損害。
這類網絡攻擊的目的多樣，小到惡意騷擾、「黑客行動主義」，大到造成重大業務損失。和其他黑客攻擊形式相比，這類攻擊的特殊性在於動機：勒索軟件、恐嚇軟件等其他惡意軟件的目的是從受害者手中榨取錢財，而 DDoS 攻擊純粹是為了製造混亂、破壞服務。
這類攻擊造成的停機時間和損失十分嚴重，因此受到廣泛討論。黑客會頻繁發動 DDoS 攻擊，你需要對此保持警惕，避免自身受到嚴重影響。
DDoS 攻擊的運作原理是什麼？
大多數 DDoS 攻擊借助殭屍網絡實施——也就是一組協同行動的電腦。這些電腦會同時嘗試存取某個網站，壓垮伺服器並導致服務癱瘓。
黑客是如何取得這些殭屍網絡的？透過劫持其他裝置。黑客通常會利用惡意軟件，或者借助他人伺服器上未修補的漏洞，透過命令與控制（C2）軟件取得裝置控制權。透過利用這些漏洞，黑客能夠以相對低成本、簡便的方式集結大量電腦，隨後用於實施惡意活動。
當控制了足夠多的裝置後，黑客就可以向整個殭屍網絡發出指令，令其嘗試存取目標伺服器。當數量過多的電腦同時嘗試存取伺服器時，就很容易出現服務中斷。最終結果是服務中斷、生產力受損。
這類攻擊的動機可能是幼稚的惡作劇，也可能是對企業的報復。雖然乍聽之下似乎危害不大，但需要了解的是，即便對小型企業而言，單次 DDoS 攻擊造成的平均損失也可能高達12萬美元——這個金額足以讓許多小型企業陷入癱瘓，大型企業則可能損失數百萬美元。
類比說明
想像一條雙向高速公路，它堅固、安全、可靠，你每天都在上面行駛，不會遇到任何問題，因為它的設計承載量滿足日常通行需求。城市修建這條公路時，對日間通行的車流量有合理預估。
現在，想像突發狀況導致數千輛車同時湧上這條路。你試圖駛入匝道，但到了入口處根本沒法匯入主路。道路完全被車流堵死，你會遲到——甚至根本到不了目的地。
本質上，這就是 DDoS 攻擊的原理。
常見 DDoS 攻擊類型
這類攻擊形式多樣，且在持續演變。如果沒有部署合適的監控系統，你可能會在毫無察覺的情況下遭遇隱蔽攻擊——等到你發現時，業務已經完全停擺。最常見的攻擊類型包括：
- 應用層攻擊，或稱「七層DDoS攻擊」，指透過耗盡網站資源、佔用全部可用頻寬發動的攻擊。當黑客操控大量不同電腦突然向某個站點發送海量流量時，伺服器會很快不堪重負。這些流量會反覆向伺服器發送重載請求（類似在瀏覽器中點擊「重新整理」）。最終伺服器因無法再處理負載而返回錯誤。
- 協定攻擊的複雜度更高，它會透過來自不同IP地址的連線請求，專門針對伺服器的薄弱點發動攻擊。這類攻擊不需要操控大量聯網電腦。每個連線請求都需要伺服器返回回應，當伺服器的資源被耗盡後，很快就會出現過載。
- 最後，容量型攻擊 是「流量淹沒」類攻擊的另一種形式。在這類攻擊中，殭屍程式向伺服器發送數據並索取回應，當發送次數足夠多時，回應過程就會耗時過長。發送給伺服器的這類數據會被人為放大，導致伺服器在處理湧入的數據時，資源被快速耗盡。
視乎DDoS攻擊的類型，若沒有最新的偵測與緩解工具，防禦這類攻擊可能會相當困難。
如何防範DDoS攻擊
如果你已身處DDoS攻擊過程中，時間就是最關鍵的要素。持續監控是核心環節，你需要部署可靠的告警系統來實現實時通知。一旦伺服器上出現DDoS攻擊，你需要盡早發現並快速回應。如果回應速度足夠快，正常用戶受到的影響有望減到最低。你可以透過防火牆攔截相關IP地址，阻止其存取你的伺服器，甚至可以隔離被攻擊的系統，關閉其入站流量。
如果你的網站尚未遭遇過攻擊，只是想要防範這類極其常見的攻擊，可以參考以下措施。
制定回應預案
說防範工作要從回應預案開始，聽起來可能有些矛盾，因為這像是默認了攻擊無法被提前阻止。
但在採取任何其他措施之前，你必須制定一套分步執行的預案。你無法臨時倉促應對DDoS攻擊，需要提前做好準備和規劃，最終目標是避免業務遭受不必要的損失。
- 檢查你的系統。 盤點所有資產。你線上的每一項資產都可能成為攻擊目標。請列出所有可能存在DDoS攻擊風險的系統，製成檢查清單。當遭受攻擊時，你可以對照清單逐一排查，盡可能隔離並保護尚未受影響的系統。
- 組建回應團隊並為其分配明確任務。 攻擊發生時不是爭論分工、委派任務的時機，這些工作應當提前完成，確保所有人的職責清晰明確。
- 制定應急通訊聯絡人清單。 明確信息通報的對象和時間節點也至關重要。你的客戶、服務供應商以及所有相關安全廠商都需要了解事態進展，以便各自作出相應回應。
以上是攻擊發生後的應對內容。那麼現在我們可以做哪些準備，從根源上避免自身遭受攻擊呢？
保持系統更新
這一步至關重要——不僅對DDoS緩解十分關鍵，對所有線上安全事務都同樣重要。如果未能保持系統更新，那麼任何風險緩解措施都沒有意義。及時更新可以修復系統中的漏洞，封堵黑客可利用的入口，從源頭盡可能降低風險。
如果你的網站基於Wordpress搭建，請進入更新頁面，確認所有組件近期都已完成更新；請卸載已經過時、停止維護的外掛程式，不要抱有任何僥倖心理。
相較於其他大多數防護措施，這一步可以幫你封堵更多潛在攻擊者可利用的漏洞。而且值得慶幸的是，即使不是精通技術的人員也可以完成這項操作：大多數更新都是自動推送的，一鍵即可啟動更新流程。
當基礎設施保持在最新狀態時，你就可以有效降低攻擊帶來的威脅。
落實基礎網絡安全措施
這部分沒有什麼花巧或複雜的要求——設定強密碼（並定期更換）、部署安全的防火牆，就可以為防護帶來極佳的效果。
部署專業的DDoS監控
借助雲服務供應商，如今部署可監控系統並抵禦潛在DDoS攻擊的服務，比以往任何時候都更簡單、成本更低。
SiteLock是Sectigo旗下公司，提供完整的網站安全方案，可在攻擊企圖演變為更嚴重、破壞性更強的風險前自動掃描、偵測並阻斷此類嘗試。例如，SiteLock的一項功能是將您的站點接入全球內容分發網絡（CDN），該網絡不僅可以加速網站存取，還能提供多層DDoS防護。其他功能包括Web應用防火牆（WAF）, 惡意軟件清除以及備份服務.
所有這些工具都會在傳入的Web流量與您的伺服器之間構建多層防護，在流量進入時進行檢查，以分析及偵測DDoS攻擊。一旦偵測到攻擊流量，即可將其隔離和處理，且不會影響您網站的正常功能。
部署合適的工具可協助您避免成為攻擊受害者。立即選擇一款SiteLock安全方案來保護您的業務。此外，為確保企業通訊安全，您可以了解Sectigo的自動化數碼證書管理解決方案.