Denial-of-Service Attacks#

2016 年 10 月 21 日，Twitter、Spotify、Netflix、GitHub、Amazon 等眾多網站同時無法存取。根本原因是針對 DNS 提供商 Dyn 的一次大規模 denial-of-service (DoS) 攻擊，海量的 DNS 查詢請求讓 Dyn 不堪負荷。

DoS 攻擊與其他漏洞不同，其目的不是入侵系統，而是讓系統無法為合法使用者提供服務。攻擊手法通常是用大量流量淹沒目標，耗盡伺服器資源。

DoS 攻擊類型#

回應網路請求通常比發送請求需要更多的處理能力。網頁伺服器需要解析請求、執行資料庫查詢、寫入日誌、建構 HTML；而攻擊者只需產生包含 HTTP verb、IP 位址和 URL 的簡單請求。駭客利用這種不對稱性來癱瘓伺服器。

ICMP 是最簡單的網際網路協定之一，用於檢查網路位址是否在線上（例如 ping 指令）。

大多數 ICMP 攻擊已能被現代網路介面化解，因此攻擊者轉向更上層的 TCP 協定。

SYN flood 攻擊利用 TCP 三次握手機制：

攻擊者大量發送 SYN 訊息但不完成握手，使伺服器累積大量「半開」連線，耗盡連線池，導致合法客戶端無法連線。

應用層攻擊濫用 HTTP 協定：

攻擊者利用第三方服務產生流量，將帶有偽造回覆位址（受害者的 IP）的請求發送到第三方服務，使回應 reflect（反射）到目標。

2018 年針對 GitHub 的攻擊就是使用反射技術。攻擊者找到大量不安全的 Memcached 伺服器，發送帶有 GitHub IP 的 UDP 請求。每個回應約為原始請求的 50 倍大，最終產生每秒 1.3 TB 的攻擊流量。

來自單一 IP 的攻擊容易被封鎖。現代 DoS 攻擊通常來自多個協同來源，稱為 DDoS 攻擊。

並非所有流量暴增都是惡意的。網站爆紅或登上社群新聞首頁（如 Reddit hug of death）也可能導致服務中斷。

防禦大規模 DoS 攻擊既昂貴又耗時。好消息是，大多數網站不太可能成為大規模攻擊的目標。但較小規模的 DoS 攻擊搭配勒索確實存在，因此仍需建立基本的防護措施。

Firewall（防火牆）根據預設的安全規則監控並控制進出的網路流量：

Application firewall（應用防火牆）在更高層運作，作為代理伺服器掃描 HTTP 流量：

Intrusion Prevention Systems (IPS) 採取更全面的方法：

進階 DDoS 攻擊的封包通常與正常流量無法區分，防火牆無法有效過濾。

承受 DoS 攻擊與應對大量合法訪客在很多方面是相同的。建構可擴展的架構本身就是一種防禦：

CDN：將靜態內容（圖片、字型檔案等）卸載到第三方，大幅減少伺服器負載
Caching（快取）：有效的快取可防止資料庫在流量暴增時過載
- 可儲存在磁碟、記憶體，或共享記憶體快取如 Redis、Memcached
- 設定 Cache-Control header 讓瀏覽器快取資源
Job queue（工作佇列）：將長時間任務（如產生大型檔案、發送郵件）卸載到背景 worker 程序
水平擴展：使用 IaaS 服務（如 AWS）或平台（如 Heroku）快速增加伺服器數量
流量監控：使用 Google Analytics 等工具追蹤流量，當達到閾值時增加伺服器

建構可擴展的架構不僅能抵禦 DoS 攻擊，也能應對網站意外爆紅帶來的流量暴增。CDN、快取、工作佇列和自動擴展是四個最具影響力的方向。