DDoS 攻擊七大經典手法解析：從 SYN Flood 到 Ping of Death 全景圖

分散式阻斷服務 (DDoS) 攻擊手法百出，但核心邏輯皆為「耗盡目標資源，使合法服務不可用」。掌握這七大經典攻擊向量原理，才能部署精準防禦。

七大 DDoS 經典攻擊向量

防禦策略分層佈署

1. 網路邊界：防火牆/IDS/IPS 啟用 SYN Cookie、速率限制、異常封包檢測（分片重疊、超大 ICMP）。
2. 主機層：調整 TCP 半連接佇列大小、啟用 syncookies、關閉不必要的 ICMP 回應。
3. 應用層：WAF 防禦 HTTP Flood、CC 攻擊；CDN 分散流量、隱藏源站 IP。
4. 流量清洗：接入專業 DDoS 緩解服務（Cloudflare、Akamai、AWS Shield 等），惡意流量導向清洗中心。
5. 監控與應急：建立基線流量模型，異常即時告警；預備封鎖清單、黑洞路由、備用線路切換預案。

關鍵觀念釐清

• DDoS ≠ 駭客入侵：目標是「拒絕服務」而非「竊取資料」，但常作為掩護配合滲透攻擊。
• 反射放大攻擊（Smurf、NTP、DNS、Memcached）利用無狀態協議特性，防禦重點在來源位址驗證 (BCP 38) 與開放解析器關閉。
• 現代攻擊多為混合式：大流量洪水掩護應用層精準攻擊，單一防禦點失效即全盤崩潰，需纵深防禦。

了解攻擊原理是防禦的起點，持續更新特徵庫、演練應急流程、引入專業清洗服務，才能在 DDoS 風暴中守住業務連續性。