DDoS（分布式拒绝服务）攻击是一种恶意行为，攻击者通过控制大量计算机（僵尸网络）向目标服务器发送海量请求，导致服务器无法正常处理合法用户的请求。以下是识别 DDoS 攻击的几种常见方法：
一、网络性能指标监测
- 带宽使用率异常
- 正常情况下，网络带宽的使用是相对稳定的，会在一定的范围内波动。如果突然发现服务器的出站或入站带宽使用率接近或达到网络带宽的上限，比如从平常的 30% 突然飙升到 90% 以上，且持续一段时间，这可能是 DDoS 攻击的迹象。例如，一个小型电商网站平时的带宽占用在 10Mbps 左右，在遭受攻击时可能会瞬间上升到 100Mbps 甚至更高。
- 数据包流量激增
- 监测网络数据包的流量情况。在遭受 DDoS 攻击时，数据包的数量会急剧增加。通过网络监控工具，可以查看每秒传输的数据包数量（PPS – Packets Per Second）。如果 PPS 比正常情况高出许多倍，如正常情况下服务器每秒接收 1000 个数据包，突然上升到 10000 个以上，就可能是受到攻击。
- 网络延迟和丢包率上升
- 当服务器遭受 DDoS 攻击时，由于大量的非法请求占用了网络资源和服务器资源，会导致正常的网络通信受到影响。用户访问服务器时会感觉明显的延迟，比如平常访问一个网页只需要 1 – 2 秒，在攻击时可能需要 10 秒以上才能打开。同时，丢包率也会显著增加，正常情况下网络丢包率可能在 1% – 3%，在攻击时可能会上升到 30% 甚至更高。可以使用网络监测工具（如 ping 命令）来检测延迟和丢包情况。例如，通过在命令提示符下输入 “ping 目标服务器 IP -t”，观察返回的时间（time）和丢包（loss）信息来判断。
二、服务器性能指标监测
- CPU 使用率过高
- 服务器的 CPU 使用率在正常情况下会根据负载情况在一定范围内变化。当遭受 DDoS 攻击时，由于要处理大量的请求，CPU 使用率会急剧上升。例如，一个服务器正常情况下 CPU 使用率在 30% – 50% 之间，在受到攻击时可能会达到 90% 以上，甚至满载。可以通过服务器管理工具（如 Windows 服务器的任务管理器、Linux 服务器的 top 命令等）来查看 CPU 使用率。
- 内存占用异常
- 类似于 CPU，内存的使用也有正常范围。DDoS 攻击可能会导致服务器内存被大量占用。一些攻击会发送大量的数据来填满服务器的内存缓冲区。如果发现服务器的内存使用率从正常的 60% 左右突然上升到 90% 以上，并且持续增长，可能是受到攻击的信号。
- 进程数异常增加
- 观察服务器上的进程情况。在遭受 DDoS 攻击时，可能会出现大量异常的进程。这些进程可能是攻击者发送的恶意请求所对应的服务进程或者是僵尸网络中的节点与服务器建立连接所产生的进程。例如，在正常情况下服务器上有 200 – 300 个进程，在攻击时可能会突然增加到 1000 个以上。
三、异常连接监测
- IP 地址连接数异常
- 监测与服务器连接的 IP 地址数量和每个 IP 地址的连接次数。在正常情况下，单个 IP 地址与服务器的连接次数是有限的。如果发现有大量的 IP 地址同时与服务器建立连接，并且每个 IP 地址的连接次数都很高，比如单个 IP 地址在短时间内（如 1 分钟内）与服务器建立了几百次连接，而正常情况下一个 IP 地址可能几分钟才建立一次连接，这可能是 DDoS 攻击的迹象。这些 IP 地址可能是僵尸网络中的主机。
- 来源 IP 地址分布异常
- 分析连接服务器的 IP 地址的地理分布。如果服务器主要服务于本地用户或者某个特定区域的用户，但是突然发现大量来自国外或者其他非服务区域的 IP 地址连接，这可能是攻击者利用僵尸网络进行攻击。例如，一个只面向国内用户的电商网站，突然收到大量来自国外 IP 地址的连接请求，就需要引起注意。
- 连接模式异常
- 正常的用户连接模式是相对分散和有规律的。DDoS 攻击的连接模式可能是集中式的，大量的连接几乎同时发起，而且连接请求的时间间隔、数据包大小等参数可能非常相似。例如，正常用户访问网站的请求间隔是随机的，而在攻击时可能是每秒都有大量相同大小的请求同时到达服务器。
四、应用层异常监测
- HTTP 请求异常
- 在 Web 应用中，观察 HTTP 请求的特征。如果出现大量重复的请求路径、相同的 User – Agent（用户代理）字符串或者异常的请求头信息，可能是 DDoS 攻击。例如，正常用户对一个电商网站的产品页面的访问路径是多样的，如 “/product/1”“/product/2” 等，但在攻击时可能会出现大量指向同一个页面（如 “/product/1”）的请求。同时，攻击者可能会使用相同的 User – Agent 来伪装大量请求，如将 User – Agent 都设置为 “Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36”，这与正常情况下用户使用多种浏览器和设备访问产生不同 User – Agent 的情况不符。
- 检查请求频率也是很重要的一点。正常用户对网页的请求频率会受到人类操作速度的限制，而在 DDoS 攻击中，请求频率可能会远超正常范围。比如，正常情况下一个用户每分钟可能发起 1 – 2 次对某个页面的请求，在攻击时可能会出现每秒几十次甚至更多的请求。
- 数据库查询异常
- 对于依赖数据库的应用，监测数据库查询语句。如果发现大量相同的简单查询语句（如频繁查询同一个表的某一行数据）或者复杂的恶意查询（如包含 SQL 注入式攻击的查询，试图通过大量非法查询使数据库瘫痪），这可能是 DDoS 攻击的一部分。例如，攻击者可能会发送大量 “SELECT * FROM users WHERE id = 1” 这样的查询语句，导致数据库负载过重。
五、安全设备和服务报警
- 防火墙报警
- 现代防火墙通常具有入侵检测和防御功能。当检测到可能的 DDoS 攻击时，防火墙会发出警报。例如，一些高级防火墙可以识别出异常的流量模式，如 SYN Flood 攻击（一种常见的 DDoS 攻击方式，攻击者发送大量带有 SYN 标志的 TCP 连接请求，耗尽服务器的连接资源）。当防火墙检测到大量来自同一源 IP 或多个源 IP 的 SYN 请求超过设定的阈值时，就会触发报警，通知管理员可能存在 DDoS 攻击。
- IDS/IPS（入侵检测系统 / 入侵防御系统）报警
- IDS 可以监测网络中的可疑活动并生成警报，IPS 则能够在检测到攻击时采取措施进行防御。它们会分析网络流量的行为模式、数据包内容等。例如，当 IDS/IPS 检测到大量不符合正常网络协议规范的数据包，如畸形的 TCP/IP 数据包（例如，TCP 头部分的标志位设置异常）或者包含恶意代码的数据包，会判断为可能的 DDoS 攻击并发出警报。
- 云服务提供商的安全监控报警
- 如果服务器部署在云平台上，云服务提供商通常会提供安全监控服务。这些服务会根据云环境中的流量模式和资源使用情况来检测 DDoS 攻击。例如，当云平台检测到某个虚拟机实例接收的流量远远超出其正常范围，或者对共享网络资源造成异常影响时，会向用户发送报警信息
六、业务逻辑层面观察
- 服务可用性降低
- 从业务角度看，如果用户频繁反馈无法正常使用服务，如网站无法访问、在线游戏卡顿严重或者无法登录等情况，在排除了服务器维护等正常因素后，有可能是遭受了 DDoS 攻击。例如，一个在线支付平台在交易高峰期，用户无法进行支付操作，并且大量用户同时投诉该问题，这可能是 DDoS 攻击导致服务不可用。
- 用户认证异常
- 观察用户认证环节。如果出现大量失败的登录尝试，特别是来自同一 IP 范围或者使用相似的用户名 / 密码组合，可能是攻击者在尝试通过暴力破解登录，同时也可能是 DDoS 攻击的前奏或者一部分。例如，发现有大量来自某个 IP 网段的用户在短时间内对系统进行登录尝试，并且大部分尝试都以失败告终，这就需要警惕可能的 DDoS 攻击。