防御不断涌现的应用层 DDoS 攻击
利用三大支柱策略提高应用韧性
分布式拒绝服务 (DDoS) 攻击已成为应用层最常见的威胁之一，而且这些威胁的规模正在扩大。它们会向服务器和网络资源发送海量请求，导致其运行速度减慢甚至完全崩溃，使关键业务陷入停滞。如今，DDoS 攻击在针对 Web 应用流量的所有攻击中占据很大比例。事实上，在 2024 年 Cloudflare 判定为恶意并拦截的所有应用层流量中，这类攻击占比达 37%。
遗憾的是，网络犯罪分子发起应用层 DDoS 攻击 的难度正不断降低。这些网络犯罪分子正不断利用新型工具、采用新策略，以提高其恶意活动的效率。例如，“按次雇佣” 式 DDoS 攻击“ booster”服务）以及 AI 驱动的攻击脚本，显著降低了攻击者的入门门槛。网络犯罪分子现在可以比以往任何时候更快、更经济地发起攻击。他们还在发起规模更大、技术更复杂的攻击，例如我们每个季度都能观测到新的破纪录攻击事件。
与此同时，网络犯罪分子正不断提升其定位攻击目标与规避检测的能力。例如，他们越来越擅长使用侦察手段来发现易受攻击的 API。他们还使用僵尸网络来模仿真实的用户行为并绕过安全工具。
领先的首席信息官们已将加强应用层 DDoS 攻击防御作为首要任务。为了阻止这些攻击，安全团队首先需要了解这些攻击如何运作、为何难以检测以及会对组织造成何种影响。然后，企业可以实施一个战略框架，其中包含用于阻止攻击和提高韧性的基本功能。
了解不断演进的应用层威胁
与典型的网络 DDoS 攻击（第 3 层或第 4 层）相比，应用层（即 第7层）DDoS 攻击采取更有针对性的方法。网络攻击旨在造成大范围中断，应用层 DDoS 攻击则专注于破坏关键的业务工作流程和服务。它们可能会针对登录页面、API 或支付网关发起攻击，试图破坏特定功能，但不一定影响整个网络基础设施。
与网络攻击相比，应用层攻击的流量规模也较小。这类攻击通过遵循应用协议，刻意伪装成 “正常” 请求。攻击者可能会构造看似合法的请求（例如登录尝试或搜索查询），以耗尽特定软件组件的资源。这些攻击可能会在较长时间内传输少量恶意流量以逃避检测。低速攻击旨在通过消耗诸如 CPU 周期、内存和数据库连接等资源来压垮支持应用的服务器或数据库。
这种较低流量的方法是应用层攻击难以检测的原因之一。这些攻击绕过了依赖于流量阈值设定的传统网络防御。有效的缓解需要一种自适应的策略，能够分析流量质量、上下文和意图，而不仅仅是测量流量规模。
识别常见的攻击手段和技术
网络犯罪分子使用多种技术来攻击应用层。一些攻击针对不同的元素和漏洞，而另一些则采取不同的方法来压垮服务器。六种最常见的技术是：
HTTP / HTTPS 洪水：此类攻击通过大量 HTTP GET 或 POST 请求淹没 Web 服务器，消耗资源并导致对合法用户的拒绝服务状态。
DNS 查询洪水：攻击者可能会通过大量查询请求冲击 DNS 服务，这可能导致连锁故障，使所有依赖的软件和服务都无法访问。
低速缓慢攻击：这些攻击（例如 Slowloris 和 R.U.D.Y.）使用极少的带宽建立并维持缓慢的、不完整的连接，从而耗尽服务器资源，同时逃避检测。
API 特定攻击：随着 API 优先架构的兴起，网络犯罪分子越来越多地瞄准特定的 API 端点，旨在使整个服务下线。
应用漏洞利用：攻击者还可以利用 SQL 注入和 cross-site scripting (XSS) 等漏洞来窃取数据或破坏系统。
新兴技术：攻击者不断开发新技术，例如几年前在 HTTP/2 Rapid Reset 攻击中使用的技术。如今，攻击者还在使用僵尸网络，这些僵尸网络可以随机化鼠标移动、维护会话 Cookie、更改请求标头以及访问网站上的多个页面，所有这些都是为了在攻击前冒充人类并躲避检测。
其中一些技术模糊了 DDoS 与更常见的应用层策略之间的界限：它们既可以用于数据窃取，也可以用于拒绝服务。为了应对这些威胁，各组织必须将 DDoS 防御策略与整体应用安全相整合。
制定阻止应用层攻击的策略
防御应用层 DDoS 攻击需要一种复杂且多层面的方法，这种方法超越了传统的基于流量的 DDoS 防御。该方法应结合先进的检测、预防和缓解措施，以及一种自适应安全架构。
高级检测
现代检测策略必须能够穿透攻击者使用的伪装。用户和实体行为分析 (UEBA) 解决方案首先通过持续监控应用 级流量来建立“正常”行为的基线。然后，这些解决方案应用行为分析和机器学习功能，以识别可能表明存在攻击的异常情况。对应用性能指标（如 CPU 利用率和内存消耗）的实时监控，也可更早地发现攻击迹象。
企业应利用来自大型云端全球网络的实时威胁情报来增强这些能力。团队还可以使用 Web 应用防火墙 (WAF) 主动识别并阻止恶意 IP 地址或僵尸网络。
防护和缓解
除了检测手段之外，组织还应实施多种预防和缓解措施，以提高软件的韧性。例如，智能速率限制可防止过多请求耗尽资源。WAF 过滤并阻止恶意流量，而 API 安全网关过滤恶意的 API 调用。Zero Trust 模型可减少攻击面，即使用户凭据被泄露，也能控制对应用的访问。
为了缓解攻击，组织可以实施内容分发网络 (CDN)，将应用内容分发到全球，在网络边缘吸收攻击流量并减少中断。负载平衡将流量分配到多台服务器，以防止单台服务器过载；同 时，自动扩容根据流量需求动态分配资源，确保攻击期间的充足容量。
自适应安全架构
攻击者不会停滞不前。他们不断开发新技术并采用新工具，以帮助他们规避防御措施。组织需要一种自适应安全架构，该架构可以从这些不断演变的威胁中学习，从而自主地预测和响应攻击。
威胁情报对于 DDoS 防御至关重要，它可以将防御从被动转变为主动。通过处理全球攻击模式相关数据，威胁情报服务使组织能够预测新兴攻击手段（如新型放大技术或黑客积极活动），并主动加强防御。这些情报提供恶意 IP 的实时列表，以便立即阻止，通知精确的速率限制策略，并确保安全团队能够快速区分破坏性的 DDoS 噪音和有针对性的数据盗窃，从而实现有重点且有效的响应，保护服务可用性和核心数据完整性。
AI 和 机器学习 (ML) 将成为该自适应架构的重要组成部分。基于 AI 和机器学习的工具分析大量网络数据，以识别传统系统可能遗漏的细微攻击模式和异常。他们还能从每次新的攻击中学习，并在数秒内应用新的策略或规则来缓解威胁。
安全团队还必须实施敏捷流程。建立事件响应计划并进行逼真的 DDoS 模拟对于识别漏洞和验证缓解程序至关重要。随着攻击者改变技术和企业发现应用漏洞，这些计划和模拟也必须不断演变。
阻止应用层 DDoS 攻击
Cloudflare 的 全球连通云 提供全方位云原生服务，用于防御 DDoS 攻击，包括针对您应用层的攻击。例如，DDoS 防护利用 Cloudflare 的 449 Tbps Tbps 网络容量来缓解最大规模的 DDoS 攻击，而不会导致应用性能下降。基于机器学习的 UEBA 功能使您能够检测指示威胁的异常行为，而 WAF 服务可以阻止实时攻击。由于这些和其他功能完全集成到单个平台中，您的团队无需增加复杂性，即可阻止应用层攻击并提高弹性。
本文来自有关影响当今技术决策者的最新趋势和主题的系列文章。
深入探讨这个话题
阅读《缓解 DDoS 攻击的 5 个关键考虑因素》电子书，进一步了解如何保护您的组织免受针对应用层和网络的 DDoS 攻 击。
作者
Gregory Van den Top – @gregoryvdtop
现场首席安全官，Cloudflare
关键要点
阅读本文后，您将能够了解：
最新的应用层 DDoS 攻击手段和技术
为什么 应用层攻击难以被检测
如何构建抵御 DDoS 攻击的三大支柱策略