DDoS安全专辑丨共构最佳实践，增强全流程防御韧性

周期性冲上热搜的“宕机”、“崩了”关键词背后，经常是由于超负荷流量压力所致。从云安全视角出发，并行于真实峰值流量的另一源头，很有可能是长期存在、常态进化的DDoS攻击。

一直以来，在化解DDoS这种大量灌注恶意流量的攻击威胁时，Akamai不遗余力、整合创新，花费大量时间、精力与客户展开协作，提升恶意流量监控的可见性，助力客户构建安全防御DDoS的弹性架构。

智能DDoS保护参考架构

当下在混合云、多云环境中，应用程序遍及数据中心、公共云基础设施和托管设施。面对泄洪般的DDoS攻击，快速、智能的流量控制策略才能发挥保护效能。由此，Akamai在打造DDoS保护架构层面，充分发挥了自身在云安全与云分发的优势，自动甄别真实流量，及时拦截潜在风险。

DDoS防护逻辑

客户端依据Akamai DNS服务执行DNS查找，该服务可以尽可能地吸收DDoS攻击

·客户端依据Akamai DNS服务执行DNS查找，该服务可以尽可能地吸收DDoS攻击

·边缘服务器自动检查CDN流量是否存在DDoS、Web应用程序和爬虫等多重攻击威胁

·通过指定边缘服务器筛选CDN流量，来支持客户丢弃潜在风险来源的流量，并拦截攻击

·非CDN流量根据边界网关协议（BGP,Border Gateway Protocol）通告，直接路由至源

·客户通过Akamai净化中心的灵活方式控制流量，通过主动缓解控制或安全运营中心缓解

·Akamai基于CDN云分发和DDoS净化服务，全面保护从云到端基础设施的应用程序

从云到端的参考架构图

全面制定DDoS保护计划

当DDoS攻击汹涌而至，缺失详细的保护预案，企业很可能会陷入数小时或数天的混乱局面。规避恐慌、有序运维，制定全面的DDoS保护计划势在必行。建议参照如下步骤，为您的组织制定DDoS缓解预案。

八大最佳实践

1、多维预测单点故障

对网站、Web应用程序、API、DNS和源服务器以及数据中心和网络基础设施的潜在故障点，提前进行预测

2、验证供应商服务能力

若DDoS攻击致使公司所属互联网服务供应商的客户群陷入威胁，先遭受流量冲击的网站可能会无限期关闭

3、请不要高估基础设施

在恶意流量冲击下，以往良好表现的边缘网络可能会出现资源不足，如峰值DDoS流量可超过600 Gbps

4、确定保护范围及后果

预想DDoS攻击造成的网络瘫痪影响，多角度圈定API、DNS、网页应用程序、数据中心等方面保护范围

5、划定可接受缓解周期

针对不同场景需求，选择始终在线的基于CDN的DDoS即时性保护和按需提供的DDoS净化两种服务

6、前置DDoS保护服务

亡羊补牢，过于被动。在攻击前与DDoS保护服务提供商交流，为可能遇到的所有DDoS场景做好准备

7、制定DDoS操作手册

一套涵盖响应流程、升级路径、角色职责的标准化操作手册，有助于企业组织增强对DDoS攻击的可控程度

8、使用桌面演练验证效果

通过年度桌面演练，可以审查攻击场景，通过确保正确实践的过程，以此校准操作手册的实际效果，更新优化

深度缓解DDoS全球威胁

云安全领域，Akamai长年获评Forrester DDoS缓解领导者，在爬虫管理、WAF和零信任方面备受认可。在DDoS攻防博弈过程，Akamai积累了一整套覆盖整个生态系统的多层防御，从而提高应对复杂威胁的韧性。

产品矩阵上，Akamai App&API Protector、Edge DNS、Prolexic等产品均可根据应用场景、应用程序要求，构建专门的DDoS应对策略，简化恶意攻击管控难度，保证从云到端的数字化资产免受多源攻击。

近期，全新Akamai Connected Cloud大规模分布式边缘和云平台正式上线，全部数据中心都具备高级DDoS抵御措施，大幅增强了云计算、云安全、云分发的整体服务力度。结合崭新的Akamai全球流量监测服务与智能化产品，将支持企业组织在击破DDoS等复杂威胁时，安全可靠、事半功倍，在全球范围内进一步保护数据、员工、系统和数字化体验。

相关推荐: 相信吗？指尖陀螺的成功来自两个17岁的少年，而且还赚到第一桶金

如果最近你曾与孩子相处，可能看到或玩过指尖陀螺——一款迅速风靡全球的玩具。 17岁的高中生Allan Maman和Cooper Weiss，在指尖陀螺传播的过程中起到了很大的推动作用。他们成立的Fidget360，是首批大量生产该玩具的零售商之一，在6个月内销…