ddos 拒绝服务攻击是通过各种手段消耗网络带宽和系统 CPU、内存、连接数等资源，直接造成网络带宽耗尽或系统资源耗尽，使得该目标系统无法为正常用户提供业务服务，从而导致拒绝服务。
常规流量型的 DDos 攻击应急防护方式因其选择的引流技术不同而在实现上有不同的差异性，主要分为以下三种方式，实现分层清洗的效果。
1. 本地 DDos 防护设备
一般恶意组织发起 DDos 攻击时，率先感知并起作用的一般为本地数据中心内的 DDos 防护设备，金融机构本地防护设备较多采用旁路镜像部署方式。
本地 DDos 防护设备一般分为 DDos 检测设备、清洗设备和管理中心。首先，DDos 检测设备日常通过流量基线自学习方式，按各种和防御有关的维度：
比如 syn 报文速率、http 访问速率等进行统计，形成流量模型基线，从而生成防御阈值。
学习结束后继续按基线学习的维度做流量统计，并将每一秒钟的统计结果和防御阈值进行比较，超过则认为有异常，通告管理中心。
由管理中心下发引流策略到清洗设备，启动引流清洗。异常流量清洗通过特征、基线、回复确认等各种方式对攻击流量进行识别、清洗。
经过异常流量清洗之后，为防止流量再次引流至 DDos 清洗设备，可通过在出口设备回注接口上使用策略路由强制回注的流量去往数据中心内部网络，访问目标系统。
2. 运营商清洗服务
当流量型攻击的攻击流量超出互联网链路带宽或本地 DDos 清洗设备性能不足以应对 DDos 流量攻击时，需要通过运营商清洗服务或借助运营商临时增加带宽来完成攻击流量的清洗。
运营商通过各级 DDos 防护设备以清洗服务的方式帮助用户解决带宽消耗型的 DDos 攻击行为。实践证明，运营商清洗服务在应对流量型 DDos 攻击时较为有效。
3. 云清洗服务
当运营商 DDos 流量清洗不能实现既定效果的情况下，可以考虑紧急启用运营商云清洗服务来进行最后的对决。
依托运营商骨干网分布式部署的异常流量清洗中心，实现分布式近源清洗技术，在运营商骨干网络上靠近攻击源的地方把流量清洗掉，提升攻击对抗能力。
具备适用场景的可以考虑利用 CNAME 或域名方式，将源站解析到安全厂商云端域名，实现引流、清洗、回注，提升抗 D 能力。
以上三种防御方式存在共同的缺点，由于本地 DDos 防护设备及运营商均不具备 HTTPS 加密流量解码能力，导致针对 HTTPS 流量的防护能力有限；
同时由于运营商清洗服务多是基于 Flow 的方式检测 DDos 攻击，且策略的颗粒度往往较粗，因此针对 CC 或 HTTP 慢速等应用层特征的 DDos 攻击类型检测效果往往不够理想。
对比三种方式的不同适用场景，发现单一解决方案不能完成所有 DDos 攻击清洗，因为大多数真正的 DDos 攻击都是 “混合” 攻击 (掺杂各种不同的攻击类型)。
比如：以大流量反射做背景，期间混入一些 CC 和连接耗尽，以及慢速攻击。这时很有可能需要运营商清洗 (针对流量型的攻击) 先把 80% 以上的流量清洗掉，把链路带宽清出来；
在剩下的 20% 里很有可能还有 80% 是攻击流量 (类似 CC 攻击、HTTP 慢速攻击等)，那么就需要本地配合进一步进行清洗。
原文链接：https://blog.csdn.net/m0_70655343/article/details/129341712?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522169114730916800225580329%2522%252C%2522scm%2522%253A%252220140713.130102334.pc%255Fblog.%2522%257D&request_id=169114730916800225580329&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~blog~first_rank_ecpm_v1~times_rank-30-129341712-null-null.268%5Ev1%5Ekoosearch&utm_term=cc%E9%98%B2%E6%8A%A4
原创文章，作者：优速盾-小U，如若转载，请注明出处：https://www.cdnb.net/bbs/archives/20665
