复合DDoS攻击拆解与分层防御方法

复合DDoS攻击早已不是单纯比拼流量的洪水攻击。现在的主流攻击手法是应用层慢速攻击混合着协议层的状态耗尽攻击，再叠加短暂的突发流量。攻击者会在同一时间窗口内，利用HTTP/2的流复用特性发送HPACK炸弹消耗CPU，同时对TLS握手过程发起TCP SYN Flood占满连接队列，再用NTP反射放大攻击挤占带宽。三种不同维度的攻击向量同时作用，传统单一防护设备几乎瞬间失效。

要理解复合攻击，必须先看清每种向量的作用点。网络层的攻击通常利用无连接协议的特性，比如UDP Flood直接打满接收队列，或者利用DNS、NTP、Memcached等服务的协议缺陷进行反射放大。一个500字节的请求能换回5000字节的响应，放大倍数动辄几十倍甚至上万倍。这类攻击的特点是流量巨大，但数据包结构相对固定，源IP可以被伪造。

传输层的攻击瞄准的是状态机缺陷。SYN Flood填满半连接队列，ACK Flood消耗防火墙会话表，RST Flood强制连接重置。这些攻击利用TCP三次握手和四次挥手的机制，让目标系统忙于处理虚假连接，无法响应正常请求。更隐蔽的是Sockstress这类手法，它不发送大量数据包，而是通过建立完整TCP连接后，用极小的窗口通告让连接保持活跃但不传输数据，慢慢耗尽内存资源。

应用层的攻击则更加精准。HTTP Slowloris通过缓慢发送HTTP头部，让服务器一直等待请求完成；HTTP/2 Rapid Reset利用流重置机制，在一个连接内快速创建和取消无数流，绕过并发限制；HPACK炸弹则利用HTTP/2的头部压缩字典，发送精心构造的头部让解码器消耗大量内存。这些攻击不需要大带宽，几十台低配服务器就能让高性能集群瘫痪。

单一向量攻击可以通过特征匹配快速过滤，但复合攻击的可怕之处在于每个维度相互掩护。当带宽被UDP反射攻击占满时，安全团队注意力集中在流量清洗上，而应用层的慢速攻击正在悄悄耗尽连接池。当防火墙忙于处理SYN Flood时，HTTP/2的流复用攻击已经穿透到后端。攻击者会先用短时间的四层攻击制造混乱，等防护策略切换为流量清洗模式后，立即释放七层精准打击，利用防护策略切换的间隙突破防线。

更棘手的是，复合攻击中的每个向量单独看都不算严重。每秒几百个SYN包、几十个慢速HTTP请求、加上中等规模的UDP流量，单独出现时任何防火墙都能处理。但三者叠加后，系统资源在不同维度被同时消耗，CPU在处理伪造TLS握手，内存在维持虚假HTTP连接，带宽在承受反射流量，最终导致整体服务能力崩溃。这种协同效应让基于阈值的检测手段几乎失效，因为每个指标都在正常范围内，但组合起来就是致命打击。

面对复合攻击，防御体系必须采用分层架构，每层负责处理特定维度的攻击向量，层与层之间通过状态共享形成联动。第一层是网络层的流量清洗，部署在IDC入口或上游运营商处。这一层采用BGP FlowSpec或DNS牵引将流量引入清洗中心，通过IP信誉库、协议合法性校验和速率限制过滤掉明显的反射放大攻击和伪造源IP的洪水流量。清洗后的正常流量回注到数据中心。

第二层是传输层的状态防护，通常由硬件防火墙或高性能软件防火墙承担。这一层需要维护完整的TCP状态机，对所有进入的SYN包进行首包丢弃验证，只有收到客户端重传SYN后才建立连接状态。同时启用SYN Cookie机制，将半连接状态编码到序列号中，不占用内存资源。对于ACK Flood和RST Flood，通过严格的状态匹配丢弃不属于任何已建立连接的数据包。这层还需要对TLS握手进行速率限制，防止握手过程被滥用。

第三层是应用层的深度检测，由反向代理或WAF完成。这一层需要解析完整的HTTP语义，识别慢速攻击的特征。对于HTTP/1.1的慢速攻击，设置最小传输速率，如果客户端在指定时间内发送数据的速率低于阈值，主动断开连接。对于HTTP/2的攻击，需要监控单个连接内的流创建速率和头部解压开销，对异常行为进行连接级别的封禁。同时启用JS挑战和人机验证，将疑似攻击流量引入验证流程。

分层防御最容易出现的问题是各层独立工作，形成信息孤岛。攻击者可以利用这个间隙，在不同层之间切换攻击向量。有效的联动机制需要统一的控制平面，将各层的检测结果汇总到分析引擎。当传输层检测到某个源IP的SYN包速率异常时，这个信息应该同步到应用层，即使该IP后续发起正常的HTTP请求，也应提升其风险评分。当应用层发现某个IP频繁触发慢速攻击特征时，应该通知网络层对该IP的所有流量进行限制。

实现这种联动需要标准化的日志格式和实时的事件总线。每层设备将检测到的异常事件以结构化数据发送到消息队列，分析引擎消费这些事件进行关联分析。例如，同一个IP在短时间内先后触发了UDP反射攻击特征和HTTP慢速攻击特征，这个IP应该被立即加入全局黑名单，所有层的设备同步生效。关联分析还可以发现攻击模式的变化趋势，当某个攻击向量被压制后，攻击者通常会切换到另一个向量，分析引擎可以预测下一个可能的攻击方向并提前加固对应防御层。

静态的防御策略在复合攻击面前不堪一击。攻击者会不断调整攻击参数，寻找防御体系的薄弱点。防御策略必须能够动态调整，根据实时攻击特征自动优化规则。这需要引入机器学习模型，对流量基线进行持续学习，识别偏离正常模式的异常行为。模型需要关注多维度的特征组合，包括数据包大小分布、协议类型比例、连接持续时间、请求间隔等，而不是单一指标的阈值。

自动化响应流程应该分为多个级别。一级响应是本地限速，当某个维度检测到轻微异常时，对该源IP或会话进行速率限制，同时记录日志。二级响应是挑战验证，当异常程度升级时，触发JS挑战或验证码，消耗攻击者的计算资源。三级响应是全局封禁，当确认是恶意攻击后，将攻击源特征同步到所有防御层进行拦截。这个响应链条需要在秒级时间内完成，人工介入来不及应对复合攻击的快速变化。

防御设备再强大，如果源站架构本身脆弱，仍然会被击穿。源站需要采用弹性伸缩设计，将服务部署在多个可用区，通过负载均衡分发流量。每个可用区的服务器实例应该根据负载自动扩缩容，当某个可用区遭受攻击时，流量可以快速切换到其他可用区。数据库和缓存层需要独立的连接池保护，防止应用层的连接耗尽攻击蔓延到数据层。

更进一步的方案是采用Anycast网络架构，将服务IP通过BGP宣告到多个边缘节点，流量自动路由到最近的节点。当某个节点遭受攻击时，可以通过撤销路由宣告将攻击流量分散到其他节点，利用整体容量吸收攻击。Anycast还能天然防御部分四层攻击，因为攻击流量通常来自固定的源IP范围，只会影响路由路径上的特定节点，其他节点的服务不受影响。

很多团队在配置防护策略时，习惯将阈值设得很低以求安全，结果误杀大量正常流量。正确的做法是先建立完整的流量基线，了解正常业务的高峰低谷、协议分布、连接模式，然后基于基线设置合理的偏离阈值。另一个常见误区是过度依赖黑名单，攻击者更换IP的成本极低，黑名单的维护速度永远跟不上攻击源的变化。应该以行为检测为主，黑名单为辅。

对于HTTP/2的防护，很多WAF的配置还停留在HTTP/1.1时代，没有针对流复用和头部压缩的特性进行优化。需要确认WAF是否支持对单个HTTP/2连接的流数量限制、流创建速率限制、以及头部解压的内存消耗限制。对于TLS层面的防护，建议启用TLS 1.3并禁用旧版本协议，减少握手过程中的状态消耗。同时配置TLS会话复用，降低合法客户端的握手开销。

在清洗策略上，需要区分对待不同类型的业务。对于API服务，可以启用更严格的协议校验，因为正常客户端通常是代码发起的请求，协议行为规范。对于浏览器访问的Web服务，需要保留一定的容错空间，因为浏览器的连接行为复杂多变。对于实时通信服务，UDP是正常业务协议，不能简单地对UDP流量进行限制，需要基于数据包特征进行精细化过滤。

部署完分层防御后，必须通过模拟复合攻击来验证实际效果。压力测试不能只测试单一向量，需要同时发起多种类型的攻击，模拟真实攻击场景。测试工具需要能够协调多个攻击节点，在同一时间窗口内分别执行UDP Flood、SYN Flood、HTTP慢速攻击和HTTP/2 Rapid Reset。测试过程中监控各层防御设备的资源消耗、误杀率和漏过率。

测试的关键指标包括：各层设备的CPU和内存使用率是否在安全范围内，正常用户的请求延迟和成功率是否受到影响，攻击流量被拦截的比例是否达到预期。需要特别关注防御策略切换时的瞬态表现，很多系统在攻击向量切换的瞬间会出现短暂的防护真空，这个时间窗口越短越好。如果发现某个维度的防护存在短板，需要针对性地加固该层的策略配置。

复合DDoS攻击的防御没有银弹，不可能靠单一设备或策略解决所有问题。有效的防御体系必须是多层协同、动态调整、持续演进的。攻击者在不断研究新的组合方式，防御方也需要不断优化各层的检测规则和联动机制。只有将网络层、传输层、应用层的防护能力整合成一个有机整体，才能在复合攻击面前保持服务的稳定性。