面对DDoS攻击，第一反应往往是“流量大了”，但流量大只是表象。要有效防护，必须先识别攻击类型——是网络层洪水、传输层耗尽，还是应用层慢速消耗？判断路径并不复杂：先看攻击发生在哪一层，再根据特征选择应对策略。本文基于AWS官方文档，梳理常见DDoS攻击类型的识别要点，并给出基础防护思路。
先判断：攻击发生在哪一层？
DDoS攻击通常分为两类：网络和传输层（L3/L4）攻击，以及应用层（L7）攻击。L3/L4攻击直接冲击网络基础设施，如带宽耗尽、连接表耗尽；L7攻击则针对应用逻辑，如HTTP请求洪水、慢速攻击。判断方法：如果服务整体不可达，或网络延迟骤增，多半是L3/L4；如果服务能连接但响应缓慢，或特定接口被大量请求，则可能是L7。
网络层与传输层攻击：特征与识别
常见的L3/L4攻击包括UDP洪水、SYN洪水、ICMP洪水等。它们通过大量数据包或伪造源地址消耗带宽或连接资源。识别特征：流量突增、连接超时、CPU或内存飙升。AWS Shield Standard可自动检测并缓解这些攻击，无需手动干预。但要注意，某些大流量攻击可能超出默认防护能力，需要借助更高阶的防护措施。
应用层攻击：更隐蔽的威胁
应用层攻击如HTTP请求洪水、Slowloris慢速攻击，更难识别，因为它们模拟正常用户行为。识别特征：请求速率异常、单个会话持续时间过长、特定URL被集中访问。AWS对L7攻击默认不会自动缓解，以避免误伤合法用户，但会通过CloudWatch告警通知。你需要自行配置WAF规则或使用CDN的速率限制功能。
基础防护思路：分层防御
基础防护思路是分层：先依赖云服务商的自动缓解（如AWS Shield Standard覆盖L3/L4），再针对L7配置应用层防护。具体步骤：1) 启用云服务商的DDoS防护服务；2) 为关键资源配置告警；3) 制定手动响应计划，包括切换备用IP、启用速率限制等。AWS文档强调，L7攻击需要主动响应，不能完全依赖自动化。
常见误区与失败条件
误区一：认为所有DDoS都能自动防护。实际上，L7攻击常需手动介入。误区二：只关注带宽消耗，忽略连接耗尽。SYN洪水可能不占满带宽，但会耗尽连接表。失败条件：未提前配置告警，导致攻击发生后才察觉；或防护规则过于严格，误封正常用户。AWS建议在Well-Architected框架中预留弹性容量，以吸收突发流量。
操作步骤：从检测到响应
1. 监控关键指标：使用云监控服务跟踪流量、连接数、错误率。2. 设置阈值告警：当指标异常时触发通知。3. 分析攻击特征：通过日志查看源IP、请求模式。4. 执行缓解：对L3/L4，依赖自动缓解；对L7，启用WAF规则或手动限流。5. 事后复盘：调整防护策略。AWS文档建议在攻击前制定响应计划，并定期演练。
参考资料
延伸阅读