如何防御由最终用户浏览器发起的 DDoS 攻击？

Question

喜欢Github.com 刚刚经历了什么，如果脚本提供商（例如 google ads、google analysis 或类似的东西）在其脚本末尾添加恶意脚本，并让最终用户涌入目标会怎么样？如果他/她禁止目标脚本执行会怎么样？如果他/她让脚本请求目标域的随机路径会怎么样？

如何防御这样的攻击？

Answer 1

这并不容易。基本上，您希望尽早阻止流量。
这通常是您的防火墙，甚至更早是您的 ISP。
对于这样的攻击，通常不够灵活，因为您只能阻止 IP 网络。

你可以将我们的全部流量路由到专门从事 DDoS 缓解的供应商。
他们拥有巨大的带宽资源。
这显然需要做好充分准备。
对于其中一些提供商，你需要能够更改 BGB 路由。
这些被称为清洗中心或清洁管道提供商。
它们接收您的所有流量并过滤掉不良流量，只向您的服务器发送“干净”的流量。

这里需要创建捕获攻击流量的规则。
最简单的情况是，请求的 URL 始终相同。
=> 将重复流量丢弃到该单个 URL。

当 URL 是随机的时，情况会变得更加复杂。
=> 如果某个 IP 在 Y 分钟内访问的页面返回 404 超过 X 次，则将其阻止。

如果 URL 是随机的但又存在，情况就更加复杂了。
这时你需要检测流量中的异常。

如果您的真实用户使用受感染的页面，而这些页面被用来对您进行 DDoS 攻击，那么您将屏蔽部分真实用户
。这是为了让其他用户能够使用您的服务而必须付出的代价。