行为分析：如何在 DDoS 攻击下保护用户体验

想象以下场景。在 Covid-19 爆发后，当地政府网站成为向其公民传达政府信息的可靠中心枢纽。这些信息可能与在锁定期间预约接种疫苗的说明不同。一天晚上，在九点钟的新闻中，新闻主播称数千种疫苗刚刚上市。所有公民都应访问当地政府网站以获取更多信息。与此同时，一群 hacktivist DDoS 攻击者抗议政府处理这场健康危机的方式，他们决定对将关闭网站的服务器发起攻击。

下一代网络攻击者

当今的网络攻击者在不断寻求新方法来发起分布式拒绝服务 (DDoS) 攻击以危及服务可用性、破坏网络、服务器和网站的过程中变得越来越老练。虽然他们的动机各不相同，但他们的针对性是一致的。

速率限制不是最好的方法

在这样的对手面前，领先一步的需求每天都在增长。最近 DDoS 攻击的规模和多样性已经达到了任何人都无法想象的水平。

话虽如此，令人惊讶的是，大多数 DDoS 攻击缓解解决方案主要使用速率限制技术。也就是说，所有超过一定流量阈值的流量都会被拦截，不区分是否恶意，导致部分合法用户无法获得服务。通过这样做，许多组织在受到 DDoS 攻击时牺牲了用户体验和生产力。

合法用户不应在网络攻击期间受到影响

合法用户看不到（也不关心）整个画面。他们没有被告知服务器受到严重攻击，目前无法向他提供服务。他们只看到一件事——他们需要一项服务并且被拒绝访问它。

今天，组织不再接受导致阻止真实用户的误报。就像平时他们不接受一样，他们也不应该受到攻击。即使是少量，它们也不应该接受到达服务器的恶意流量。

即使在重大攻击期间，也需要更复杂的技术来确保客户体验。

行为分析是新标准

随着越来越多的供应商明白这正在成为 DDoS 缓解的新标准，行为方法开始扩展。致力于保护其资产并确保为用户提供持续的服务可用性的组织不会满足于更少。

让我们回到我们的政府网站场景。现在是九点钟，无数市民试图访问该网站，但大规模的 DDoS 攻击已将其关闭。

一种先进而复杂的行为 DDoS 缓解工具可以阻止黑客试图在网站上发起的攻击，并允许公民继续访问。阻止可疑 IP 地址或特定恶意来源并不是行为分析的唯一作用。它还分析每个请求背后的动机，而不仅仅依赖于特定时间的流量。该站点可能受到大规模攻击；然而，与此同时，一群想要接种疫苗的市民需要访问该网站。两者之间的区别在于基于行为的 DDoS 缓解的整个概念。

企业的目标是通过确保可用性来确保用户体验。我们不应该让对大规模 DDoS 攻击的恐惧成为选择阻止合法用户并影响他们体验的方法的催化剂，而是推动解决方案变得更加智能。