```html

DDoS，网络全称Distributed Denial of Service，安全翻译过来叫“分布式拒绝服务攻击”。网络名字听着挺学术，安全说白了就一件事：用海量的网络垃圾请求把目标服务器堵死，让正常用户进不来。安全打个比方，网络你开了一家餐厅，安全突然涌进来几百号人，网络每人占一张桌子只点一杯白水，安全坐一整天不走。网络真正的安全食客在门口排长队，最后扭头去了隔壁。网络服务器就是安全这么被搞瘫的。

早年间这种攻击没那么“分布式”。网络一台机器拼命发请求，带宽跑满，目标就挂了。后来防守方学会了封单个IP，攻击者就升级了玩法——控制成千上万台被感染的电脑、摄像头、路由器，组成所谓的“僵尸网络”。这些设备分布在全球各地，同时向一个目标发起请求。防守方要封，就得封掉大量正常IP，误伤一大片。这就让防御变得极其棘手。

我印象很深的一个案例是2016年的Mirai僵尸网络。它感染了大概六十万台IoT设备，大部分是监控摄像头和家用路由器。这些设备的共同点是出厂默认密码没改，或者固件里藏着已知漏洞。Mirai操控这批设备对DNS服务商Dyn发动攻击，直接导致Twitter、Netflix、Reddit这些网站在美国东部大面积无法访问。一个僵尸网络把半个美国互联网打瘸了，这事当时震撼了整个安全圈。

DDoS攻击大致分三类。第一类是流量型，靠巨大的数据量直接塞满带宽，比如UDP洪水、ICMP洪水。第二类是协议型，利用TCP握手过程的缺陷消耗服务器连接资源，SYN Flood就是典型代表。第三类是应用层攻击，看起来请求完全合法，但专门打数据库查询、搜索接口这些吃资源的功能。应用层攻击最阴，流量不大，但一台服务器能被几十个请求拖垮。

防御DDoS，靠单点硬扛基本没戏。现在通行的做法是流量清洗——把流量先引到清洗中心，识别出恶意包丢掉，干净的再转发回源站。CDN也承担了一部分抗D功能，把流量分散到各地节点。但说实话，攻防永远在拉锯。攻击峰值这几年屡屡突破Tbps级别，2018年GitHub遭遇的1.35Tbps攻击，2020年亚马逊AWS扛住的2.3Tbps，数字一直在涨。

有个误区得说清楚：DDoS不是黑客炫技，它有明确的商业动机。竞争对手雇人打你的电商网站，让你大促当天瘫痪；勒索团伙攻击游戏服务器，不给比特币就不停；甚至有人专门做“压力测试”生意，收钱帮客户打对手。黑产链条成熟得很，按小时计费，几百块就能发起一次中等规模的攻击。

对普通企业来说，完全防住DDoS不现实，但可以做到几件事。带宽冗余留够，别让正常流量和攻击流量挤同一条管道。接入有清洗能力的云服务，别自己硬扛。应用层做限速和验证，比如加个验证码就能挡住大量自动化请求。最关键的，提前做好预案——真被打的时候，临时找方案根本来不及。

说到底，DDoS利用的是互联网最底层的信任机制。TCP要握手，DNS要递归查询，这些设计当初没考虑恶意场景。只要这个底层逻辑不变，DDoS就不会消失。它像网络世界的堵门泼漆，技术含量不算最高，但足够恶心人。防守方能做的，就是让攻击成本变高，让恢复速度变快。

```