隨著大數據的興起，基于用戶訪問數據建立了完整的視覺防御體系，包括QPS、IP-cookie、IP-request分發、頁面點擊等行為數據結合信譽機制。結合威脅情報，建立運營商/ISP/DC/區域信息數據庫、IP地址黑名單、代理數據庫、暗網數據庫等豐富的情報數據庫，線上線下進行關聯分析。一方面，美國服務器租用，防御時間提前，甚至攻擊在發動前就能預知；另一方面，攻擊者可以追根溯源，可以有效打擊攻擊者的囂張氣焰。

最大限度地破壞資源是DDoS攻擊的根本意圖。從這個角度看DDoS攻擊的發展，可以梳理出清晰的脈絡。有安全專家曾將DDoS攻擊比作互聯網“核武器”:一旦動員了足夠數量的遍布互聯網的“肉雞”和存在各種協議漏洞的開放服務器，任何互聯網業務都可能癱瘓。最大限度地破壞資源是DDoS攻擊的根本意圖。從這個角度看DDoS攻擊的發展，可以梳理出清晰的脈絡。

DDoS攻擊的發展趨勢有三個明顯的階段:

第一階段:個人電腦設置僵尸網絡發起DDoS攻擊；第二階段:利用互聯網開放服務器(如DNS、NTP)發起反射攻擊；第三階段:利用智能//物聯網設備協議(如SSDP)的漏洞發起反射攻擊。

僵尸網絡的DDoS。大多數傳統的DDoS攻擊是由僵尸主機(也稱為肉雞)組成的僵尸網絡發起的。“肉雞”是指被木馬擊中或被某些人留下的電腦。成為“肉雞”的計算機可以被黑客遠程控制。“肉雞”的存在，大多是用戶系統中的各種漏洞造成的。一旦系統被入侵，黑客就可以獲得控制權。黑客在這些“肉雞”主人不知情的情況下對預定目標發起攻擊。典型的攻擊之一是DDoS攻擊。

在我們遇到的一些實際攻擊中，從攻擊流量分析，來源分散在全國各地，這類攻擊很可能是由大量被操縱的“肉雞”組成的僵尸網絡發起的。可見，“肉雞”對互聯網，尤其是網站系統構成了極大的威脅。即使單只“肉雞”的攻擊能力有限，如果有大量肉雞，聚合攻擊流量也會驚人。

開放式服務器的反射放大。

雖然肉雞的效果顯著，但僵尸網絡的建立和維護都需要很高的成本。隨著黑客對更低成本和更大效果的不斷追求，利用互聯網開放服務器發起反射式拒絕服務攻擊越來越流行。

反射拒絕服務攻擊也稱為DRDoS攻擊(分布式反射拒絕服務)，或分布式反射拒絕服務攻擊。原理是黑客偽造攻擊者的IP地址，向互聯網上大量開放特定服務的服務器發送請求。接收請求的主機根據源IP地址向受害者返回響應數據包。在整個過程中，返回響應的服務器并不知道請求源的惡意動機。

黑客往往會選擇那些響應包遠大于請求包的服務來使用，亞洲服務器，這樣就可以用較小的流量換取較大的流量，得到數倍甚至數十倍的放大。一般來說，可用于放大和反射攻擊的服務包括DNS服務、NTP服務、SNMP服務、Chargen服務等。

NTP協議的反射放大效果最好，超過500倍。也就是說，攻擊者只需要發起100Mbps的請求流量，經過NTP服務器反射放大后，就可以換取5Gbps的攻擊流量。2014年2月，在一家國外云計算服務提供商遭受的400Gbps DDoS攻擊中，黑客使用了NTP反射放大攻擊。

SSDP襲擊的興起。

一方面，隨著互聯網上DNS、NTP、SNMP等協議的開放服務漏洞不斷被修復，可用于發起反射攻擊的服務器數量不斷減少。另一方面，互聯網上家庭路由器、網絡攝像頭、打印機、智能家電等設備的激增，讓黑客看到了另一座可以不斷挖掘的金山。UPnP(即插即用)協議被廣泛用作這些智能設備的網絡通信協議，UPnP設備的發現基于源端口為1900的SSDP(簡單服務發現協議)。

使用SSDP協議的反射攻擊原理類似于使用DNS服務和NTP服務，偽造為被攻擊人的IP地址向互聯網上的大量智能設備發起SSDP請求，接收請求的智能設備根據源IP地址向受害者返回響應數據包。

SSDP反射放大攻擊是一種快速上升的DDoS攻擊。從akamai 2015q1互聯網/安全報告狀態可以看出，SSDP反射攻擊已經成為TOP1的DDoS攻擊模式(20.78%)。

根據Arbor Networks在2015年初發布的全球基礎設施安全報告，直到2014年7月才注意到SSDP反射攻擊，2014年Q3-Q4期間發起了幾次流量超過100Gbps的攻擊。

根據USCERT的數據，SSDP的放大率是30倍，比NTP和Chargen的放大率小得多。然而，由于互聯網上智能設備數量巨大，隨著IoT的發展，這個數字將呈現幾何級數增長。這無疑為黑客提供了豐富的攻擊來源。

SSDP的嚴峻形勢也反映在阿里巴巴云上。根據阿里巴巴云盾安全運營團隊2015年6月的統計，針對阿里巴巴云用戶的UDP DDoS攻擊中，80%是SSDP反射放大攻擊。

隨著物聯網和智能設備的快速發展和普及，使用智能設備的DDoS攻擊將越來越普遍。

如何回應？

對于DDoS攻擊，常用的防護措施包括:

(1)來源驗證/反向檢測，即來源檢測和人機識別，包括cookie和識別碼；

(2)限制源，即限制源IP或協議。黑名單是常用手段；

(3)特征丟棄，指根據數據包的特征或訪問行為進行丟棄，如Payload特征、包行為特征、QPS特征等。

(4)速度限制，限制流量/接入速率。

特別是對于保護高流量的DDoS攻擊，與電信運營商的合作也是必不可少的。包括與運營商合作實施現場清源，以及在運營商路由器上限制特定協議或特定源的IP都是降低保護開銷的方式。

當然，針對第4層DDOS攻擊和第7層DDoS攻擊的不同攻擊策略，具體的防護措施也有所不同。我在這里不再重復。

另外，對于網站來說，通過CDN進行DDoS保護也是一個不錯的手段。由于多個節點的相互備份和協議的限制，CDN具有固有的抗DDoS能力和高可用性。同時，CDN經常與云WAF系統協同工作，兩者之間的配合成為保護HTTP Flood的利器。百度云加速買一送一，租用或托管服務器可咨詢夢飛云idc了解。