分布式拒绝服务（distributed denial-of-service，DDoS）攻击，是指从大量设备同时向网站、应用或在线服务发送超出其处理能力的流量或请求，使服务无法正常使用。目的一般不是窃取数据，而是让客户用不了服务，比如预约页面超时。
“分布式”指流量来自大量被入侵的电脑、路由器或云服务器，由攻击者统一控制，称为“僵尸网络”（botnet）。请求来源分散，只封一个 IP 地址通常解决不了问题。
常见的 DDoS 攻击类型
通常按要耗尽的资源划分，一次攻击可能混用几种：
- 流量型攻击：发送超大流量，占满通往你的服务器或托管服务商的网络带宽。
- 协议型攻击：利用网络连接的建立机制，例如制造大量未完成的连接，耗尽服务器、防火墙或负载均衡器的处理能力。
- 应用层攻击（HTTP 洪水攻击）：发送看起来像普通访客的请求，例如反复加载搜索页或预约日历。如果每个请求都触发较重的数据库操作，请求量不大也可能拖垮系统。
HTTP 洪水攻击看起来可能只是客户突然变多，中小企业较难判断。
可能遭遇 DDoS 攻击的迹象
- 网站或应用非常慢甚至无法访问，但公司自己上网正常。
- 流量突然暴涨，却和促销活动或平时高峰对不上。
- 大量请求集中访问同一页面，或来自不常见的国家和网络。
- 服务器 CPU、内存或数据库负载急剧上升，或控制台显示错误率异常。
服务中断不一定是攻击。更新出错、证书过期、DNS 配置问题或真实访问量上升都可能有类似现象，应先排查。
防护措施如何发挥作用
没有哪种工具能挡住所有攻击。防护一般是多层的，主要在服务商一侧完成，而不是靠你自己的服务器。
- CDN：内容分发网络通过多个边缘节点提供网站内容，可在流量到达源站前吸收相当一部分，不少 CDN 也自带 DDoS 缓解能力。
- WAF：Web 应用防火墙检查 HTTP 请求，可拦截可疑请求或要求验证，有助应对 HTTP 洪水攻击。
- 限流：限制同一来源在一定时间内对某个页面或 API 的请求次数，例如登录或预约接口。
- 托管与云服务商防护：不少托管公司和云平台提供基础的网络层防护，部分还有高级方案，覆盖范围各不相同，需要确认自己的方案。
- 源站保护：尽量不公开服务器真实地址，防止被绕过 CDN 直接攻击。
云服务的安全责任由你和服务商分担，分工可参考责任共担模型。
提前准备响应方案
建议把 DDoS 写进事件响应计划：
- 联系人：托管公司、CDN、DNS 服务商和 IT 合作方的联系方式，包括非工作时间的支持渠道和账户编号。
- 操作手册：如何开启更严格的 CDN 或 WAF 模式、添加限流规则或访客验证，以及谁有权限做这些调整。
- 监测：通过网站监测从多个地点检查网站可用性，并对流量、错误率和服务器负载设置告警，赶在客户投诉前发现问题。
- 沟通：准备给客户和员工的简短说明，以及主系统停摆时接收预约的备用方式。
事件结束后，保留日志并更新操作手册。
应向托管或云服务商问什么
- 当前方案包含哪些 DDoS 防护，覆盖网络层、协议层还是应用层？
- 防护是默认开启，还是要在遭受攻击时才启用？
- 流量大幅上涨时，服务和费用会受到什么影响？
- 怀疑遭受攻击时怎样上报，非工作时间的响应时间是多久？
- 能否把源站设置为只接受来自 CDN 或负载均衡器的流量？
常见问题
攻击者真的会盯上小企业吗？
有可能。有些攻击针对特定公司，有些则攻击共享的托管服务商，波及其上所有网站。
遭受 DDoS 攻击是否意味着数据被盗？
DDoS 本身不等于数据泄露，它针对的是服务可用性。但攻击有时用来转移注意力，期间和之后应检查登录记录和安全告警。
能在自己的服务器上挡住 DDoS 攻击吗？
一般只能应付小规模攻击。大规模流量需要由 CDN、托管或云服务商在上游过滤。
有人勒索钱财才停止攻击，应该付钱吗？
应先联系服务商和 IT 合作方，并考虑向警方报案。付钱并不能保证攻击会停止。
如需协助检查网站、预约系统或云服务的防护，可查看我们的网络安全及合规服务。如需有约定响应时间的持续维护，可参考托管支持及 SLA 服务。