DDoS 防御是指成功保護目標服務器或網(wǎng)絡以抵御分布式拒絕服務 (DDoS) 攻擊的過程。目標受害者可以使用專門設計的網(wǎng)絡設備或基于云的保護服務緩解傳入的威脅。

使用基于云的提供商來防御 DDoS 攻擊時，可以分為 4 個階段：

1. 檢測 – 為阻止分布式攻擊，網(wǎng)站需要能夠區(qū)分攻擊流量與大規(guī)模正常流量。如果產(chǎn)品發(fā)布或其他公告導致網(wǎng)站涌入大批新的合法訪問者，那么網(wǎng)站最不希望的就是限制訪問者或以其他方式阻止訪問者查看網(wǎng)站內容。IP 信譽、常見攻擊模式和過往數(shù)據(jù)均有助于妥善完成檢測。
2. 響應 – 在此步驟中，DDoS 保護網(wǎng)絡將通過智能方式丟棄惡意機器人流量并吸收其余流量，從而對傳入的已識別威脅做出響應。利用 WAF 頁面規(guī)則應對應用程序層（L7）攻擊，或者運用其他過濾流程來應對低層（L3/L4）攻擊（如 memcached 或 NTP 放大），網(wǎng)絡能夠緩解中斷攻擊。
3. 路由 – 高效 DDoS 緩解解決方案通過智能方式路由流量，將剩余流量分解為可管理的區(qū)塊，從而防止拒絕服務。
4. 調整 – 卓越的網(wǎng)絡可以分析流量總結模式（如重復違規(guī)的 IP 阻止），特別是攻擊來自某些特定國家/地區(qū)或特定協(xié)議使用不當時效果尤為顯著。通過調整應對攻擊模式，保護服務可以加強自身以防范未來攻擊。

選擇 DDoS 防御服務

傳統(tǒng) DDoS 緩解解決方案需要采購現(xiàn)場設備并過濾傳入流量。這種方法需要采購和維護昂貴的設備，而且依賴能夠緩解攻擊的網(wǎng)絡。如果 DDoS 攻擊規(guī)模足夠大，將可以從上游切斷網(wǎng)絡基礎設施，阻止各類現(xiàn)場解決方案生效。如果采購基于云的 DDoS 防御服務，應對某些特征進行評估。

1. 可擴展性 – 高效解決方案必需能夠適應不斷增長的業(yè)務需求，并對層出不窮的 DDoS 攻擊做出響應。超過每秒 1 TB/s (TBPS) 的攻擊已然出現(xiàn)，而且尚無跡象表明攻擊流量規(guī)模呈下滑趨勢。Cloudflare 網(wǎng)絡能夠處理比以往任何時候都大得多的 DDoS 攻擊。
2. 靈活性 – 能夠創(chuàng)建臨時策略和模式，因而可以實時調整 Web 資產(chǎn)以抵御傳入的威脅。為確保站點在攻擊期間保持在線狀態(tài)，實施 Page Rule 并在整個網(wǎng)絡中填充相關更改顯得至關重要。
3. 可靠性 – DDoS 保護就好比座椅安全帶，只在必要時使用，一旦使用最好確保正常運行。無論任何保護策略，保證 DDoS 解決方案可靠性對于順利推行策略均至關重要。為確保服務長時間正常運行及實現(xiàn)較高的站點可靠性，工程師每天 24 小時不間斷工作，以維持網(wǎng)絡在線狀態(tài)并識別新威脅。冗余、failover 及廣闊的數(shù)據(jù)中心網(wǎng)絡是推行平臺戰(zhàn)略的核心。
4. 網(wǎng)絡規(guī)模 – 隨著具體協(xié)議和攻擊手段的不斷轉變，互聯(lián)網(wǎng) DDoS 攻擊也存在一定的規(guī)律。鑒于網(wǎng)絡龐大且數(shù)據(jù)傳輸范圍較廣，DDoS 緩解提供商可以快速有效地分析和響應攻擊，通常能夠搶先一步阻止攻擊。京東云星盾 網(wǎng)絡為數(shù)百萬個網(wǎng)站運行互聯(lián)網(wǎng)請求，為分析全球攻擊流量數(shù)據(jù)創(chuàng)造了優(yōu)勢。