什麼是 DDoS（分散式阻斷服務）攻擊？
分散式阻斷服務（DDoS）攻擊會以流量淹沒系統。了解如何保護您的組織免受這些具破壞性的威脅。
分散式阻斷服務（DDoS）攻擊會壓垮目標的資源，造成中斷。本指南將探討 DDoS 攻擊的運作方式、其潛在影響，以及有效的緩解策略。
了解 DDoS 防護解決方案與事件回應規劃的重要性。理解 DDoS 攻擊對於組織維持網路可用性至關重要。
什麼可能導致分散式阻斷服務（DDoS）？
分散式阻斷服務（DDoS）攻擊是由攻擊者使用多個系統（通常是殭屍網路）向目標網路或系統發送大量流量或請求所造成。這可以透過多種方法達成，例如：
- 以來自多個來源的流量淹沒目標系統：在此類攻擊中，攻擊者使用多個系統向目標網路或系統發送流量，使其不堪負荷，並讓合法使用者無法使用。
- 利用弱點於軟體或硬體中：攻擊者可利用軟體或硬體中的弱點，導致目標系統當機或無法使用。
- 以合法請求壓垮系統：攻擊者可向目標系統發送大量合法請求，使其不堪負荷，並讓合法使用者無法使用。
這些攻擊可能難以偵測與防範，因為它們未必涉及惡意或未經授權的活動。然而，它們可能對目標網路或系統造成重大中斷與損害，並對組織帶來嚴重的財務與法律後果。
分散式阻斷服務（DDoS）攻擊有哪些類型？
分散式阻斷服務（DDoS）攻擊常被用作煙幕或干擾手段，以隱藏其他網路攻擊。例如，在 DDoS 攻擊進行期間，攻擊者可能會使用其他戰術，例如 malware 或 ransomware，以取得目標系統或網路的存取權。這可能使組織難以偵測並回應攻擊，因為他們可能專注於 DDoS 攻擊，而未察覺另一項惡意活動正在發生。
隨著 DDoS 攻擊變得更加複雜且更具成效，它們可能演變為結合其他網路攻擊。例如，攻擊者可能使用 DDoS 攻擊來壓垮目標系統或網路，然後再使用 malware 或 ransomware 入侵系統、竊取敏感資料，或干擾營運。如此一來，DDoS 攻擊可作為其他網路攻擊的跳板，使其更加危險且更難防禦。
分散式阻斷服務（DDoS）攻擊有數種不同類型，包括：
- 網路層攻擊：此類攻擊涉及以來自多個來源的流量壓垮目標網路或系統，例如以封包洪泛方式進行。
- 應用層攻擊：此類攻擊涉及利用應用程式或服務（例如 Web 伺服器）中的弱點，導致其當機或無回應。
- 通訊協定攻擊：此類攻擊涉及利用網路通訊協定（例如 TCP 或 UDP）中的弱點，導致目標系統當機或無回應。
- 放大攻擊：此類攻擊涉及使用反射技術（例如 DNS 放大）來放大傳送至目標系統的流量。
- 混合式攻擊：此類攻擊結合多種攻擊向量，例如網路層與應用層攻擊，以形成更複雜且更有效的攻擊。
以上僅是眾多可用於干擾網路或系統可用性的 DDoS 攻擊類型中的幾個例子。為防範這些威脅，組織可實施安全控制與實務，例如 防火牆、入侵偵測與防禦系統，以及定期更新與修補。
分散式阻斷服務（DDoS）攻擊有哪些範例？
近年來已有數起備受矚目的分散式阻斷服務（DDoS）攻擊，包括：
- Mirai 殭屍網路攻擊（2016）：此攻擊鎖定 Krebs on Security 網站及其他主要網站，使用物聯網（IoT）裝置組成的殭屍網路產生大量流量。
- Dyn DNS 供應商攻擊（2016）：此攻擊干擾了對 Twitter 和 Netflix 等主要網站的存取，使用受入侵裝置組成的殭屍網路產生大量流量。
- GitHub 攻擊（2018）：此攻擊鎖定 GitHub 網站，使用受入侵裝置組成的殭屍網路產生每秒 1.3 太位元的流量，為當時有紀錄以來最大的 DDoS 攻擊。
- Cloudflare 攻擊（2022）：此攻擊鎖定 Cloudflare 內容傳遞網路（CDN），使用受入侵裝置組成的殭屍網路產生每秒 1.7 太位元的流量，為迄今有紀錄以來最大的 DDoS 攻擊。
這些範例說明了 DDoS 攻擊的潛在影響與規模，以及組織需要實施有效的安全控制與實務來防範這些威脅。
DoS 與 DDoS 攻擊之間有何差異？
阻斷服務（DoS）攻擊與分散式阻斷服務（DDoS）攻擊之間的主要差異，在於涉及的系統數量。在 DoS 攻擊中，攻擊者使用單一系統向目標網路或系統傳送大量流量或請求，使其不堪負荷，並讓合法使用者無法使用。在 DDoS 攻擊中，攻擊者會使用多個系統，通常稱為 botnet，以向目標網路或系統傳送大量流量或請求，使其不堪負荷並無法使用。這使得 DDoS 攻擊更難以偵測和防範，因為流量看起來像是來自多個合法來源。為了防範這兩種類型的攻擊，組織可以實施安全控制措施，例如防火牆以及入侵偵測與防禦系統，定期更新軟體，並為員工提供網路安全最佳實務培訓。
如何防範分散式阻斷服務（DDoS）攻擊？
為了防範分散式阻斷服務（DDoS）攻擊，組織可以實施以下安全控制與實務：
- 防火牆與入侵偵測及防護系統：可用於封鎖或過濾傳入流量，以及偵測並防止潛在的 DDoS 攻擊。
- 負載平衡器與內容傳遞網路（CDN）：可用於將傳入流量分散到多部伺服器，降低 DDoS 攻擊對任何單一伺服器的影響。
- DDoS 防護服務：組織可使用專門的 DDoS 防護服務來監控傳入流量，並在惡意流量到達目標系統之前加以封鎖或過濾。
- 定期更新與修補：讓軟體與作業系統維持最新修補程式與更新，有助於防止攻擊者利用已知弱點。
- 員工訓練與認知提升：為員工提供訓練與認知提升計畫，有助於讓他們了解 DDoS 攻擊的風險與後果，以及如何識別並避免潛在威脅。
透過實施這些措施，並視需要定期檢視與更新，組織可以降低受到 DDoS 攻擊影響的風險，並維持其系統與網路的可用性。
Enhance Your Threat Intelligence
See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.
結論
關於分散式阻斷服務（DDoS）攻擊，仍有許多未知之處。例如，每年實際發生的 DDoS 攻擊數量難以確定，因為許多攻擊未被通報或未被偵測到。此外，DDoS 攻擊的動機與來源也可能難以判定，因為攻擊者經常使用複雜技術來隱藏其身分與位置。
另一個不確定的領域是 DDoS 攻擊未來的演變。隨著技術與網際網路持續發展，新的攻擊向量與方法很可能會出現，使 DDoS 攻擊更難以偵測與防範。此外，在 DDoS 攻擊中使用人工智慧與 machine learning 也是日益受到關注的問題，因為這些技術可能被用來讓攻擊更有效，且更難以防禦。
總體而言，DDoS 攻擊不斷變化的特性，使其未來演變與影響難以預測，而組織需要做好準備，以便在新威脅出現時調整並加以回應。
分散式阻斷服務常見問題
分散式阻斷服務（DDoS）攻擊會利用來自許多遭入侵電腦的流量，癱瘓目標（例如網站或網路）。攻擊者控制由受感染裝置組成的網路，稱為 botnet，藉此以大量請求淹沒伺服器。當合法使用者嘗試連線時，會發現服務速度緩慢或完全無法使用。
你可以把它想像成數千人同時擠在商店入口，阻擋真正的顧客進入。
阻斷服務（DoS）攻擊來自單一機器或位置，而 DDoS 攻擊則使用許多分散的裝置。在 DoS 攻擊中，攻擊者需要在單一位置具備足夠的頻寬或能力，才能以大量流量淹沒目標。
在 DDoS 攻擊中，攻擊者利用多個主機的綜合資源，使其更難以封鎖與追蹤。其結果通常是更大量的流量。
攻擊者會以惡意軟體感染裝置——電腦、路由器，甚至 IoT 裝置——來建立 botnet。接著，他們向所有機器人發送命令，要求其請求目標位址。然後，這些機器人會以連線嘗試或資料封包淹沒目標。
這種洪流會耗盡伺服器的頻寬、CPU 或記憶體，導致速度變慢或當機。受害者會看到錯誤、逾時，或服務無法存取。
流量型攻擊會以大量資料流量轟炸目標，通常以每秒 gigabits 為單位衡量。通訊協定攻擊會利用網路通訊協定中的弱點，例如 TCP SYN flood 會占用伺服器資源。應用層攻擊則會傳送看似有效的請求——例如 HTTP GET flood——以耗盡 Web 伺服器資源。每一種都聚焦於網路堆疊的不同層，但目的都是中斷正常運作。
留意流量突然激增或異常模式，例如來自相同 IP 範圍的數千個請求，或小型封包的快速突發傳送。網路工具與防火牆可以標示異常流量或通訊協定錯誤。網站效能變慢與重複發生的連線逾時都是警訊。
你應該針對頻寬門檻設定警示，並分析記錄中的流量異常，以便及早發現攻擊。
組織會將流量導向清洗中心或具備 DDoS 防護能力的 CDN，以過濾惡意請求。速率限制與 IP 信譽封鎖可抑制可疑來源。防火牆與入侵防護系統可以丟棄符合攻擊特徵的封包。對於大規模攻擊，流量可重新導向至雲端式 DDoS 防護服務，在洪流抵達你的網路之前先行吸收。
深入了解 威脅情報
準備好徹底革新您的安全營運了嗎？
了解 SentinelOne AI SIEM 如何將您的 SOC 轉型為自主化的強大中樞。立即聯絡我們以取得個人化示範，親眼見證安全防護的未來如何實現。
