DDoS攻擊就是攻擊者發起的一個嘗試，目的是耗盡可用于網絡、應用程序或服務的資源，以致于真正的用戶無法訪問這些資源。它是由一組惡意軟件感染的計算機或自愿的客戶端計算機產生的攻擊，這些計算機企圖耗盡特定的網絡、網站或服務的資源。不過，并非所有DDoS攻擊均按照相同的方式來操作。

　　DDoS攻擊可分為多種不同的形式。這些形式包括洪水攻擊和更加尖端的應用層攻擊手段/工具。洪水攻擊依賴大量流量/會話來耗盡一個目標，例如TCP SYN、ICMP和UDP洪水;尖端的應用層攻擊手段/工具包括Slowloris、KillApache等。

　　DDoS攻擊可分為大流量攻擊、TCP狀態耗盡攻擊或應用層攻擊。在2011年第2季度出版的Kapersky的DDoS攻擊報告中，HTTP洪水攻擊是最常見的DDoS手段，它就是應用層攻擊的一個實例。應用層攻擊占據主導地位反映了快速演變的DDoS已脫離傳統的大流量攻擊方向。

　　大流量攻擊

　　大流量攻擊通過海量流量使得網絡的帶寬和基礎設施達到飽和，將其消耗殆盡，從而實現淹沒網絡的目的。一旦流量超過網絡的容量，或網絡與互聯網其他部分的連接能力，網絡將無法訪問，如上圖所示。大流量攻擊實例包括ICMP、碎片和UDP洪水。

　　TCP狀態耗盡攻擊

　　TCP狀態耗盡攻擊試圖消耗許多基礎設施組件（例如負載均衡器、防火墻和應用服務器本身）中存在的連接狀態表。例如，防火墻必須分析每個數據包來確定數據包是離散連接，現有連接的存續，還是現有連接的完結。同樣，入侵防御系統必須跟蹤狀態以實施基于簽名的數據包檢測和有狀態的協議分析。這些設備和其他有狀態的設備—包括負責均衡器—被會話洪水或連接攻擊頻繁攻陷。例如，Sockstress攻擊可通過打開套接字來填充連接表以便快速淹沒防火墻的狀態表。

　　應用層攻擊

　　應用層攻擊使用更加尖端的機制來實現黑客的目標。應用層攻擊并非使用流量或會話來淹沒網絡，它針對特定的應用/服務緩慢地耗盡應用層上的資源。應用層攻擊在低流量速率下十分有效，從協議角度看，攻擊中涉及的流量可能是合法的。這使得應用層攻擊比其他類型的DDoS攻擊更加難以檢測。HTTP洪水、DNS詞典、Slowloris等都是應用層攻擊的實例。

　　如何防御DDoS攻擊的六大絕招

　　分布式拒絕服務攻擊（DDoS）是一種特殊形式的拒絕服務攻擊。它是利用多臺已經被攻擊者所控制的機器對某一臺單機發起攻擊，在帶寬相對的情況下，被攻擊的主機很容易失去反應能力。作為一種分布、協作的大規模攻擊方式，分布式拒絕服務攻擊（DDoS）主要瞄準比較大的站點，像商業公司，搜索引擎和政府部門的站點。由于它通過利用一批受控制的機器向一臺機器發起攻擊，來勢迅猛，而且往往令人難以防備，具有極大的破壞性。

　　對于此類隱蔽性極好的DDoS攻擊的防范，更重要的是用戶要加強安全防范意識，提高網絡系統的安全性。專家建議可以采取的安全防御措施有以下幾種。

　　1.及早發現系統存在的攻擊漏洞，及時安裝系統補丁程序。對一些重要的信息（例如系統配置信息）建立和完善備份機制。對一些特權賬號（例如管理員賬號）的密碼設置要謹慎。通過這樣一系列的舉措可以把攻擊者的可乘之機降低到最小。

　　2.在網絡管理方面，要經常檢查系統的物理環境，禁止那些不必要的網絡服務。建立邊界安全界限，確保輸出的包受到正確限制。經常檢測系統配置信息，并注意查看每天的安全日志。

　　3.利用網絡安全設備（例如：防火墻）來加固網絡的安全性，配置好這些設備的安全規則，過濾掉所有可能的偽造數據包。

　　4.與網絡服務提供商協調工作，讓網絡服務提供商幫助實現路由的訪問控制和對帶寬總量的限制。

　　5.當用戶發現自己正在遭受DDoS攻擊時，應當啟動自己的應付策略，盡可能快地追蹤攻擊包，并且及時聯系ISP和有關應急組織，分析受影響的系統，確定涉及的其他節點，從而阻擋從已知攻擊節點的流量。

　　6.如果用戶是潛在的DDoS攻擊受害者，并且用戶發現自己的計算機被攻擊者用作主控端和代理端時，用戶不能因為自己的系統暫時沒有受到損害而掉以輕心。攻擊者一旦發現用戶系統的漏洞，這對用戶的系統是一個很大的威脅。所以用戶只要發現系統中存在DDoS攻擊的工具軟件要及時把它清除，以免留下后患。