阻斷服務攻擊（DoS，Denial-of-Service）是一種網絡攻擊，目的是令目標機器或網絡資源無法為原本的使用者提供服務，攻擊者通常透過向目標系統發送過量的多餘請求，令系統超出負荷而癱瘓。當攻擊流量同時來自多個分散的來源時，就稱為 DDoS（Distributed Denial-of-Service，分散式阻斷服務攻擊）。由於流量來源分散，DDoS 攻擊往往比單一來源的 DoS 攻擊更難以單純封鎖某個 IP 位址來阻止。
企業一旦成為 DDoS 攻擊目標，網站或線上系統可能在短時間內無法正常存取，直接影響業務運作。與防火牆等基礎防護設備配合，可參考我們的防火牆是什麼？一文。
DDoS 攻擊造成的影響不止於技術層面的服務中斷：
網站、線上系統或應用程式在攻擊期間無法正常回應，客戶及員工均無法正常使用服務。
服務中斷若被客戶或公眾察覺，尤其反覆發生時，會影響企業的專業形象及客戶信心。
對依賴網站或線上系統營運的企業（例如電商、線上服務平台），服務中斷期間直接影響交易與收入。
DDoS 攻擊大致可分為以下幾類，各自針對網絡架構的不同層面，防護方向亦有所不同：
| 攻擊類型 | 特徵 | 防護方向 |
|---|---|---|
| 流量型攻擊 | 以大量數據流量佔滿目標的網絡頻寬 | 流量清洗中心過濾、與 ISP 或雲端防護服務協同分流 |
| 協定型攻擊 | 利用網絡協定的處理機制，消耗伺服器或網絡設備的連線資源 | 防火牆設定連線速率限制、強化設備的協定處理能力 |
| 應用層攻擊 | 針對特定應用程式或網站服務發出大量看似正常的請求 | 具備應用層防護能力的 UTM 設備、CDN 快取及請求過濾 |
DDoS 緩解（DDoS Mitigation）是指一套網絡管理技術與工具的組合，用於抵禦或減輕 DDoS 攻擊對目標及中繼網絡造成的影響。企業可從以下幾個方向着手：
透過專門的流量清洗服務，在流量到達企業網絡前先行過濾異常流量，只放行正常請求。
在防火牆或邊界設備設定連線速率限制，阻擋短時間內來自同一來源的過量請求。
利用 CDN 或雲端防護服務的分散式架構，把流量分流至多個節點，吸收及緩解大規模攻擊流量。
具備應用層防護能力的 UTM 設備，可辨識及過濾針對特定應用程式的異常請求，了解更多可參考UTM 是什麼？。
企業應預先制定應變計劃，明確攻擊發生時的通報流程及應對步驟，縮短應變時間，減低服務中斷的影響。
本文核對資料：RFC 4732；NIST SP 800-189。
若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
本頁內容由人手或AI輔助生成，雖經核對仍可能存在誤差，僅供參考；產品規格以原廠最新文件為準；有需要請聯絡我們工程師。