2016年10月21日，攻击美国东海岸的什意思网民突然发现，Twitter、攻击Netflix、什意思Spotify、攻击Reddit这些网站全都打不开了。什意思不是攻击服务器宕机那么简单，是什意思域名解析服务商Dyn被一波又一波的垃圾流量冲垮了。那场攻击的攻击规模有多大？峰值流量超过1.2Tbps，相当于每秒向目标服务器倾倒12.5万部高清电影的什意思数据。

这就是攻击DDoS攻击——Distributed Denial of Service，分布式拒绝服务。什意思说白了，攻击就是什意思一群人（或者一台控制电脑）指挥成千上万台“肉鸡”（被黑客控制的设备），同时向同一个网站发送海量请求，攻击把服务器活活累死。就像一个餐厅突然涌进来一万个根本不打算吃饭的顾客，把门口堵死，真正的食客也进不来了。

DDoS的可怕之处在于它不需要什么高深技术。黑市上租一个僵尸网络，按小时计价，几百块钱就能瘫痪一个小型电商网站。攻击者不需要攻破目标系统的防火墙，不需要盗取数据库，甚至不需要和服务器有任何交互——他们只需要让服务器忙到崩溃就行。这就像你不需要撬开银行金库，只要在银行门口堵满闹事的人，业务就办不下去了。

攻击方式也在不断进化。早期是简单的ICMP洪水，拿Ping命令砸死对方。后来演变成SYN Flood，利用TCP协议三次握手的漏洞，发一堆不完整的连接请求让服务器傻等。现在更狠的是应用层攻击，模拟真实用户的浏览行为，频率很低，每秒钟几十次请求，看起来完全正常，但几千个IP同时这么做，服务器照样扛不住。

我见过最讽刺的案例是，一个做网络安全培训的公司，自己网站被DDoS打瘫了三天。攻击者发邮件勒索比特币，公司老板一开始觉得是同行捣乱，后来查出来是之前被他们开除的员工干的——那人手里还留着公司服务器的SSH密钥，直接往他们自己的负载均衡器上灌流量。

防御DDoS是个烧钱的活儿。中小企业买不起几百万的抗D设备，只能靠云清洗服务，把流量引到运营商的大池子里过滤一遍再放回来。但清洗本身要时间，通常会有几十秒到几分钟的延迟——对游戏行业来说，这几分钟延迟足以让玩家骂街。有些游戏公司干脆不做防御，反正被打了就发公告，玩家骂完也就散了。

更麻烦的是，DDoS经常作为烟雾弹使用。攻击者先打瘫你的监控系统，让运维人员手忙脚乱，然后趁乱从另一个入口渗透进内网。2015年乌克兰电网被黑就是这种套路——先瘫痪电力公司的对外网站和客服系统，让公众以为只是网络问题，实际上攻击者已经通过钓鱼邮件拿到了工控系统的权限。

说到底，DDoS攻击是互联网的“暴力拆迁队”，没有技术含量，但极其有效。它提醒我们一件事：网络世界的安全边界，从来不是靠防火墙就能守住的。当服务器喘不过气的那一刻，你才会意识到，所谓的高可用架构，在绝对流量面前脆弱得跟纸糊的一样。