DDoS（分布式拒绝服务）攻击的核心定义是，攻击者通过控制一个由大量被感染设备（如个人电脑、服务器、物联网设备）组成的“僵尸网络”，协同向单一目标（如网站服务器、在线服务）发送海量伪造或高资源消耗的请求，旨在耗尽目标的网络带宽、系统连接池或应用层计算资源（如CPU、内存），从而导致合法用户无法获得正常服务的网络攻击行为。其“分布式”特性不仅放大了攻击流量，也使得攻击源难以追踪和阻断。

DDoS攻击的核心技术原理与知识点

攻击的成功实施依赖于对网络协议弱点及资源不对称性的利用，主要技术原理可归纳如下：

DDoS攻击的主要类型与扩展概念

根据OSI模型层次和攻击手法，DDoS攻击可分为以下几类，每一类都关联着特定的网络安全概念：

DDoS防御体系的关键概念与方案

有效的DDoS防御是一个多层次、纵深的体系，涉及以下核心概念和方案：

实践示例：基于Nginx的简易应用层限流配置

以下是一个使用Nginx实现应用层基础速率限制的配置示例，可用于缓解CC攻击或HTTP Flood：

http {
    # 定义限流区域，名为‘req_limit_per_ip’，使用客户端IP作为键，内存区大小为10m，速率限制为每秒10个请求
    limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=10r/s;

    # 定义并发连接数限制区域，名为‘conn_limit_per_ip’，同样基于IP，最大并发连接数为10
    limit_conn_zone $binary_remote_addr zone=conn_limit_per_ip:10m;

    server {
        listen 80;
        server_name yourdomain.com;

        location / {
            # 应用请求速率限制：突发请求不超过5个，无延迟；超过后延迟处理；再超过rate则返回503错误。
            limit_req zone=req_limit_per_ip burst=5 nodelay;
            # 应用并发连接数限制：每个IP同时最多10个连接。
            limit_conn conn_limit_per_ip 10;
            # 当触发限流时，返回的错误码
            limit_req_status 429;
            limit_conn_status 503;

            proxy_pass http://your_backend_server;
        }

        # 针对特别耗资源的API或登录接口，可以设置更严格的限制
        location /api/login {
            limit_req zone=req_limit_per_ip rate=2r/s;
            proxy_pass http://your_backend_server;
        }
    }
}

配置解析：

1. limit_req_zone：定义共享内存区，用于存储访问状态。$binary_remote_addr 以客户端IP为键。 10m 的内存可以存储大量IP的状态。rate=10r/s 表示平均每秒允许10个请求。
2. limit_req：在具体location中应用限流。burst=5 允许短时间内突发处理5个超出速率的请求。nodelay 表示对这5个突发请求立即处理，不延迟。
3. limit_conn_zone 与 limit_conn：限制同一IP的并发连接数，防止连接耗尽。
4. 差异化防护：通过对不同URI路径（如 /api/login）设置不同的限流策略，可以实现更精细化的防护，在保障核心业务的同时，加强对易受攻击点的保护。

参考来源

• 网络安全DDoS攻击原理、类型、危害及防御方法详解：保障企业与个人网络安全_网络安全防御体系详解资源-CSDN下载
• 深入了解DDoS攻击：概念、原理和防御-百度开发者中心
• DDOS攻击是什么意思？原理是什么？可以溯源吗？ - 网硕互联 - 博客园