分布式拒絕服務(wù)攻擊（DDoS攻擊）是一種針對目標系統的惡意網(wǎng)絡(luò )攻擊行為，DDoS攻擊經(jīng)常會(huì )導致被攻擊者的業(yè)務(wù)無(wú)法正常訪(fǎng)問(wèn)，也就是所謂的拒絕服務(wù)。

常見(jiàn)的DDoS攻擊包括以下幾類(lèi)：
網(wǎng)絡(luò )層攻擊
比較典型的攻擊類(lèi)型是UDP反射攻擊，例如NTP Flood攻擊。這類(lèi)攻擊主要利用大流量擁塞被攻擊者的網(wǎng)絡(luò )帶寬，導致被攻擊者的業(yè)務(wù)無(wú)法正常響應客戶(hù)訪(fǎng)問(wèn)。
傳輸層攻擊
比較典型的攻擊類(lèi)型包括SYN Flood攻擊、連接數攻擊等。這類(lèi)攻擊通過(guò)占用服務(wù)器的連接池資源從而達到拒絕服務(wù)的目的。
會(huì )話(huà)層攻擊
比較典型的攻擊類(lèi)型是SSL連接攻擊。這類(lèi)攻擊占用服務(wù)器的SSL會(huì )話(huà)資源從而達到拒絕服務(wù)的目的。
應用層攻擊
比較典型的攻擊類(lèi)型包括DNS flood攻擊、HTTP flood攻擊（即CC攻擊）、游戲假人攻擊等。這類(lèi)攻擊占用服務(wù)器的應用處理資源，極大地消耗服務(wù)器計算資源，從而達到拒絕服務(wù)的目的。
DDoS攻擊緩解最佳實(shí)踐
建議阿里云用戶(hù)從以下幾個(gè)方面著(zhù)手緩解DDoS攻擊的威脅：云上安全架構
縮小暴露面，隔離資源和不相關(guān)的業(yè)務(wù)，降低被攻擊的風(fēng)險。
配置安全組
盡量避免將非業(yè)務(wù)必須的服務(wù)端口暴露在公網(wǎng)上，從而避免與業(yè)務(wù)無(wú)關(guān)的請求和訪(fǎng)問(wèn)。通過(guò)配置安全組可以有效防止系統被掃描或者意外暴露。
關(guān)于安全組的詳細介紹，請參見(jiàn)安全組使用指南。
使用專(zhuān)有網(wǎng)絡(luò )VPC（Virtual private Cloud ）
通過(guò)專(zhuān)有網(wǎng)絡(luò )VPC實(shí)現網(wǎng)絡(luò )內部邏輯隔離，防止來(lái)自?xún)染W(wǎng)肉雞的攻擊。
關(guān)于專(zhuān)有網(wǎng)絡(luò )VPC的詳細介紹，請參見(jiàn)專(zhuān)有網(wǎng)絡(luò )VPC使用指南。
優(yōu)化業(yè)務(wù)架構，利用公共云的特性設計彈性伸縮和災備切換的系統。
科學(xué)評估業(yè)務(wù)架構性能
在業(yè)務(wù)部署前期或運營(yíng)期間，技術(shù)團隊應該對業(yè)務(wù)架構進(jìn)行壓力測試，以評估現有架構的業(yè)務(wù)吞吐處理能力，為DDoS防御提供詳細的技術(shù)參數指導信息。
彈性和冗余架構
通過(guò)負載均衡或異地多中心架構避免業(yè)務(wù)架構中出現單點(diǎn)故障。如果您的業(yè)務(wù)在阿里云上，可以靈活地使用負載均衡服務(wù)SLB（Server Load Balancer）實(shí)現多臺服務(wù)器的多點(diǎn)并發(fā)處理業(yè)務(wù)訪(fǎng)問(wèn)，將用戶(hù)訪(fǎng)問(wèn)流量均衡分配到各個(gè)服務(wù)器上，降低單臺服務(wù)器的壓力，提升業(yè)務(wù)吞吐處理能力，這樣可以有效緩解一定流量范圍內的連接層DDoS攻擊。
關(guān)于負載均衡的詳細介紹，請參見(jiàn)負載均衡使用指南。
部署彈性伸縮
彈性伸縮（Auto Scaling）是根據用戶(hù)的業(yè)務(wù)需求和策略，經(jīng)濟地自動(dòng)調整彈性計算資源的管理服務(wù)。通過(guò)部署彈性伸縮，系統可以有效的緩解會(huì )話(huà)層和應用層攻擊，在遭受攻擊時(shí)自動(dòng)增加服務(wù)器，提升處理性能，避免業(yè)務(wù)遭受?chē)乐赜绊憽?br /> 關(guān)于彈性伸縮的詳細介紹，請參見(jiàn)彈性伸縮使用指南。
優(yōu)化DNS解析
通過(guò)智能解析的方式優(yōu)化DNS解析，可以有效避免DNS流量攻擊產(chǎn)生的風(fēng)險。同時(shí)，建議您將業(yè)務(wù)托管至多家DNS服務(wù)商，并可以從以下方面考慮優(yōu)化DNS解析。
屏蔽未經(jīng)請求發(fā)送的DNS響應信息
丟棄快速重傳數據包
啟用TTL
丟棄未知來(lái)源的DNS查詢(xún)請求和響應數據
丟棄未經(jīng)請求或突發(fā)的DNS請求
啟動(dòng)DNS客戶(hù)端驗證
對響應信息進(jìn)行緩存處理
使用ACL的權限
利用ACL，BCP38及IP信譽(yù)功能
提供余量帶寬
通過(guò)服務(wù)器性能測試，評估正常業(yè)務(wù)環(huán)境下所能承受的帶寬和請求數。在購買(mǎi)帶寬時(shí)確保有一定的余量帶寬，可以避免遭受攻擊時(shí)帶寬大于正常使用量而影響正常用戶(hù)的情況。
服務(wù)器安全加固，提升服務(wù)器自身的連接數等性能。
對服務(wù)器上的操作系統、軟件服務(wù)進(jìn)行安全加固，減少可被攻擊的點(diǎn)，增大攻擊方的攻擊成本：
確保服務(wù)器的系統文件是最新的版本，并及時(shí)更新系統補丁。
對所有服務(wù)器主機進(jìn)行檢查，清楚訪(fǎng)問(wèn)者的來(lái)源。
過(guò)濾不必要的服務(wù)和端口。例如，對于WWW服務(wù)器，只開(kāi)放80端口，將其他所有端口關(guān)閉，或在防火墻上設置阻止策略。
限制同時(shí)打開(kāi)的SYN半連接數目，縮短SYN半連接的timeout時(shí)間，限制SYN/ICMP流量。
仔細檢查網(wǎng)絡(luò )設備和服務(wù)器系統的日志。一旦出現漏洞或是時(shí)間變更，則說(shuō)明服務(wù)器可能遭到了攻擊。
限制在防火墻外進(jìn)行網(wǎng)絡(luò )文件共享。降低黑客截取系統文件的機會(huì )，若黑客以特洛伊木馬替換它，文件傳輸功能將會(huì )陷入癱瘓。
充分利用網(wǎng)絡(luò )設備保護網(wǎng)絡(luò )資源。在配置路由器時(shí)應考慮針對流控、包過(guò)濾、半連接超時(shí)、垃圾包丟棄、來(lái)源偽造的數據包丟棄、SYN閥值、禁用ICMP和UDP廣播的策略配置。
通過(guò)iptable之類(lèi)的軟件防火墻限制疑似惡意IP的TCP新建連接，限制疑似惡意IP的連接、傳輸速率。
做好業(yè)務(wù)監控和應急響應。
關(guān)注基礎DDoS防護監控
當您的業(yè)務(wù)遭受DDoS攻擊時(shí)，基礎DDoS默認會(huì )通過(guò)短信和郵件方式發(fā)出告警信息，針對大流量攻擊基礎DDoS防護也支持電話(huà)報警，建議您在接受到告警的第一時(shí)間進(jìn)行應急處理。
關(guān)于配置告警消息接收人和語(yǔ)音告警方式，請參見(jiàn)DDoS基礎防護消息接收人設置。
云監控
云監控服務(wù)可用于收集、獲取阿里云資源的監控指標或用戶(hù)自定義的監控指標，探測服務(wù)的可用性，并支持針對指標設置警報。
關(guān)于云監控的詳細介紹，請參見(jiàn)云監控用戶(hù)指南。
建立應急響應預案
根據當前的技術(shù)業(yè)務(wù)架構和人員，提前準備應急技術(shù)預案，必要時(shí)，可以提前進(jìn)行技術(shù)演練，以檢驗應急響應預案的合理性。
選擇合適的商業(yè)安全方案。阿里云既提供了免費的基礎DDoS防護，也提供了DDoS防護包、高防IP、游戲盾等商業(yè)安全方案。
Web應用防火墻（waf）
針對網(wǎng)站類(lèi)應用，例如常見(jiàn)的HTTP Flood攻擊，可以使用WAF可以提供針對連接層攻擊、會(huì )話(huà)層攻擊和應用層攻擊進(jìn)行有效防御。
關(guān)于WAF的詳細介紹，請參見(jiàn)WAF功能使用概覽。
DDoS防護包
DDoS防護包為云產(chǎn)品IP提供防御100G以?xún)鹊腄DoS攻擊的防護能力，即時(shí)生效。
關(guān)于DDoS防護包的詳細介紹，請參見(jiàn)DDoS防護包用戶(hù)指南。
DDoS高級防護
針對大流量DDoS攻擊，建議使用阿里云高防IP服務(wù)。
關(guān)于高防IP的詳細介紹，請參見(jiàn)DDoS高防IP用戶(hù)指南。
游戲盾
游戲盾是針對游戲行業(yè)常見(jiàn)的DDoS攻擊、CC攻擊推出的行業(yè)解決方案。相比于高防IP服務(wù)，游戲盾解決方案的針對性更強，針對游戲行業(yè)的攻擊防御效果更好、成本更低。
關(guān)于游戲盾的詳細介紹，請參見(jiàn)游戲盾用戶(hù)指南。
應當避免的事項
DDoS攻擊是業(yè)內公認的行業(yè)公敵，DDoS攻擊不僅影響被攻擊者，同時(shí)也會(huì )對服務(wù)商網(wǎng)絡(luò )的穩定性造成影響，從而對處于同一網(wǎng)絡(luò )下的其他用戶(hù)業(yè)務(wù)也會(huì )造成損失。
計算機網(wǎng)絡(luò )是一個(gè)共享環(huán)境，需要多方共同維護穩定，部分行為可能會(huì )給整體網(wǎng)絡(luò )和其他租戶(hù)的網(wǎng)絡(luò )帶來(lái)影響，需要您注意：
避免使用阿里云產(chǎn)品機制搭建DDoS防護平臺。
避免釋放處于黑洞狀態(tài)的實(shí)例。
避免為處于黑洞狀態(tài)的服務(wù)器連續更換、解綁、增加SLB IP、彈性公網(wǎng)IP、NAT網(wǎng)關(guān)等IP類(lèi)產(chǎn)品。
避免通過(guò)搭建IP池進(jìn)行防御，避免通過(guò)分攤攻擊流量到大量IP上進(jìn)行防御。
避免利用阿里云非網(wǎng)絡(luò )安全防御產(chǎn)品（包括但不限于cdn、oss），前置自身有攻擊的業(yè)務(wù)。
避免使用多個(gè)賬號的方式繞過(guò)上述規則。