網站突然打不開，維運第一反應往往是「伺服器掛了」或「頻寬不夠」。但有時伺服器沒壞、頻寬也沒跑滿，網站就是上不去——流量被惡意佔滿了。

這就是 DDoS 攻擊（分散式阻斷服務）。這篇文章說清它到底在做什麼、有哪些常見類型，以及網站管理者與維運團隊該按什麼順序防、按什麼順序處置。

一、DDoS 攻擊在做什麼

一句話：用大量虛假或受控的請求把網站承載能力佔滿，讓正常使用者進不來。攻擊者控制一批分散主機同時請求，單一來源都像正常存取，很難靠「封 IP」解決。

按攻擊目標，常見分三類：

  • 頻寬型： 用巨量流量灌滿入口頻寬，正常請求連傳都傳不進來。
  • 協定型： 用大量半開連線耗盡連線表，伺服器明明在線，卻無法回應新使用者。
  • 應用層（CC 攻擊）： 模擬真實使用者反覆請求最耗資源的頁面或 API，流量不大，但把資料庫與應用壓垮。

第三類最難識別，因為它看起來就是正常存取，只是頻率與來源分布異常。

二、幾個容易誤判的現象

  • 存取變慢就加頻寬。 應用層攻擊加頻寬沒用，瓶頸在應用處理能力。
  • 只盯流量大小。 CC 攻擊流量可能只有幾 Mbps，卻足以打垮沒有防護的站點。
  • 以為小站不會被盯上。 自動化工具不挑對象，掃到誰打誰，小站因防護薄弱反而更容易被打穿。
  • 攻擊一停就當沒事。 第一波常常是試探，確認防護薄弱後會有更大規模的一輪。

三、防禦按三層來做

1. 邊界層

把流量先引到清洗中心或高防 IP，清洗後再回源。前提是源站 IP 沒暴露——攻擊者知道源站位址，流量就會繞過清洗直接打過去。

2. 架構層

靜態資源走 CDN 快取，減少回源；API 做頻率限制；異常請求做驗證（驗證碼、JS 挑戰）；按區域和頻率做存取控制。目的是讓攻擊流量更早被擋掉。

3. 營運層

監控頻寬、連線數、QPS、錯誤率，異常能告警到人；預案裡寫明「誰能一鍵切流量」；定期演練，別真出事時還在找密碼。

四、被攻擊時的處置順序

順序比工具重要，按下面五步走：

  • 確認： 對照基線看 QPS、連線數、來源分布、錯誤碼，判斷是攻擊還是業務高峰。
  • 通知與決策： 確定誰有權切高防、誰對外溝通，別在高峰臨時找人。
  • 切流量： 把入口流量切到清洗或高防鏈路，這步通常最快止血。
  • 限流與降級： 優先保住核心頁面與交易鏈路，次要功能可以先關。
  • 留證據與複盤： 保留日誌與請求樣本，事後還原時間線。

五、常見問題

已經有防火牆，還需要高防嗎？

兩者防的不是同一件事。防火牆管存取控制規則，DDoS 是流量與連線層的飽和攻擊，需要清洗能力。攻擊超過本地出口頻寬時，本地設備再強也沒用。

DDoS 攻擊會導致資料外洩嗎？

DDoS 本身是可用性問題，不直接偷資料。但它常被用作掩護，與入侵、勒索同時發生。處置時不能只看網站恢復沒有，還要確認沒有異常登入和外傳。

雲服務商自帶的防護夠不夠？

取決於攻擊規模與類型。基礎防護通常有頻寬上限，超出後要額外清洗服務；額度以服務商說明為準，建議按自己業務實測一次，而不是看宣傳數字。

平時能做什麼，才不至於臨時抱佛腳？

四件事：隱藏源站 IP、靜態資源上 CDN、API 限流、把切換流程寫成文件並演練一次。成本都不高，但決定出事時的恢復速度。

小結

DDoS 攻擊的本質是「用別人的機器，擠掉你的真實使用者」。防禦的重點不是買一個設備，而是把邊界、架構、營運三層都補齊，並且在平時就把處置流程演練熟。

想更深入理解防護架構，可以看 DDoS 防禦的核心邏輯；也可以對照 出海業務的存取速度與攻擊防護，從架構角度看兩者如何並行。防護方案與規格可以看 DDoS 攻擊防禦服務，或直接 聯絡我們 說明業務情況。