DDoS 攻擊是通過連接互聯網的計算機網絡進行的。這些網絡由計算機和其他設備（例如 IoT 設備）組成，它們感染了惡意軟件，從而被攻擊者遠程控制。這些個體設備稱為機器人（或僵尸），一組機器人則稱為僵尸網絡。一旦建立了僵尸網絡，攻擊者就可通過向每個機器人發送遠程指令來發動攻擊。當僵尸網絡將受害者的服務器或網絡作為目標時，每個機器人會將請求發送到目標的 IP 地址，這可能導致服務器或網絡不堪重負，從而造成對正常流量的拒絕服務。由于每個機器人都是合法的互聯網設備，因而可能很難區分攻擊流量與正常流量。

如何防護 DDoS 攻擊？

若要緩解 DDoS 攻擊，關鍵在于區分攻擊流量與正常流量。例如，如果因發布某款產品導致公司網站涌現大批熱情客戶，那么全面切斷流量是錯誤之舉。如果公司從已知惡意用戶處收到的流量突然激增，或許需要努力緩解攻擊。難點在于區分真實客戶流量與攻擊流量。在現代互聯網中，DDoS 流量以多種形式出現。流量設計可能有所不同，從非欺騙性單源攻擊到復雜的自適應多方位攻擊無所不有。多方位 DDoS 攻擊采用多種攻擊手段，以期通過不同的方式擊垮目標，很可能分散各個層級的緩解工作注意力。

同時針對協議堆棧的多個層級（如 DNS 放大（針對第 3/4 層）外加 HTTP 洪水（針對第 7 層））發動攻擊就是多方位 DDoS 攻擊的一個典型例子。為防護多方位 DDoS 攻擊，需要部署多項不同策略，從而緩解不同層級的攻擊。一般而言，攻擊越復雜，越難以區分攻擊流量與正常流量 —— 攻擊者的目標是盡可能混入正常流量，從而盡量減弱緩解成效。如果緩解措施不加選擇地丟棄或限制流量，很可能將正常流量與攻擊流量一起丟棄，同時攻擊還可能進行修改調整以規避緩解措施。為克服復雜的破壞手段，采用分層解決方案效果最理想。

黑洞路由

有一種解決方案幾乎適用于所有網絡管理員：創建黑洞路由，并將流量匯入該路由。在最簡單的形式下，當在沒有特定限制條件的情況下實施黑洞過濾時，合法網絡流量和惡意網絡流量都將路由到空路由或黑洞，并從網絡中丟棄。如果互聯網設備遭受 DDoS 攻擊，則該設備的互聯網服務提供商（ISP）可能會將站點的所有流量發送到黑洞中作為防御。這不是理想的解決方案，因為它相當于讓攻擊者達成預期的目標：使網絡無法訪問。

速率限制

限制服務器在某個時間段接收的請求數量也是防護拒絕服務攻擊的一種方法。雖然速率限制對于減緩 Web 爬蟲竊取內容及防護暴力破解攻擊很有幫助，但僅靠速率限制可能不足以有效應對復雜的 DDoS 攻擊。然而，在高效 DDoS 防護策略中，速率限制不失為一種有效手段。

Web 應用程序防火墻

Web 應用程序防火墻（WAF） 是一種有效工具，有助于緩解第 7 層 DDoS 攻擊。在互聯網和源站之間部署 WAF 后，WAF 可以充當反向代理，保護目標服務器，防止其遭受特定類型的惡意流量入侵。通過基于一系列用于識別 DDoS 工具的規則過濾請求，可以阻止第 7 層攻擊。 有效 WAF 的一個關鍵價值是能夠快速實施自定義規則以響應攻擊。

Anycast 網絡擴散

此類緩解方法使用 Anycast 網絡，將攻擊流量分散至分布式服務器網絡，直到網絡吸收流量為止。這種方法就好比將湍急的河流引入若干獨立的小水渠，將分布式攻擊流量的影響分散到可以管理的程度，從而分散破壞力。Anycast 網絡在緩解 DDoS 攻擊方面的可靠性取決于攻擊規模及網絡規模和效率。采用 Anycast 分布式網絡是實施 DDoS防護策略的一個重要組成部分。