DDoS 攻击的常见类型与识别方法

DDoS 不是某一种具体攻击，而是一类攻击的统称：想办法让目标服务在大量垃圾请求里耗尽资源，正常用户反而进不来。常见的是三类，特征各不相同，识别清楚才能对症处理。 SYN Flood 打的是 TCP 三次握手的算盘。攻击方伪造源地址海量发送 SYN 包，服务器回以 SYN-ACK 后却等不到第三次的 ACK，半连接队列被占满，新连接进不来。识别特征是服务器上大量处于 SYN_RECV 状态的连接，用 ss -n state syn-recv 可以直接观察，数量异常偏高就需要警惕。 UDP Flood 走的是带宽路线。UDP 协议不需要握手，攻击方朝目标端口狂发数据包即可，轻则占满出口带宽，重则把网卡与上层设备一同拖垮。特征是流量曲线陡增、业务端口并没有对应这么多请求，监控图上往往是一条突然竖起的直线，同时业务本身 CPU 未必高。 CC 攻击位于应用层。它不追求大流量，而是模拟大量看似正常的 HTTP 请求，集中打某个动态页面，消耗 CPU 与数据库连接。这类攻击流量不大，反而更隐蔽，单看带宽图容易漏判，特征会在访问日志里暴露，具体识别方法在本系列讲 CC 攻击的篇目里单独展开。三类攻击也可能混合出现，先看清主力再定策略。 快速判断属于哪一类，看三个指标就够了：带宽是否打满（UDP 类）、半连接是否堆积（SYN 类）、流量正常但响应变慢且日志里某个 URL 请求激增（CC 类）。定位了类型再动手，盲目重启服务器通常无济于事，攻击流量还会再来。对应的监控项建议提前配好：带宽曲线、TCP 连接状态分布、访问日志的 URL 排名，攻击真来时直接看数据定位类型，不至于临时手忙脚乱。 业务对可用性要求高的话，可以在选型阶段就考虑带清洗能力的高防云服务器，比如标配 60G 防御、国内 BGP 多线的 S2，让攻击流量在到达业务之前就被滤掉。