在分布式拒绝服务（DDoS）攻击期间，攻击者通过恶意流量淹没网站，导致合法用户无法访问。这如同高速公路入口严重拥堵，车辆绵延数英里，通勤者无法驶入。DDoS 防护能保护您的网站，确保在线商店持续运行。
根据 Cloudflare 2025 年第四季度 DDoS 威胁报告，2025 年的攻击数量和规模较前一年翻了一番以上，凸显了全面防护和缓解策略的必要性。若不采取措施，后果将非常严重——据 Calyptix Security 数据，即使是小型在线零售商，停机每小时也可能损失高达 5,000 美元。
下文将解析什么是 DDoS 攻击、防护包含哪些内容，以及 Shopify 如何保护商家。
什么是 DDoS 攻击？
当恶意行为者针对网站发送大量入站流量时，即发生 DDoS 攻击。这些流量超出网站处理能力，导致其无法响应合法请求。
若攻击来自单一位置，可隔离并阻断源头。但分布式攻击利用由数千台被入侵设备组成的僵尸网络，从多位置同时发送流量，使源头阻断变得困难。因此，企业主必须采取 DDoS 缓解措施以确保业务连续性。
常见的 DDoS 攻击类型
- Volumetric attacks（容量型攻击）
- Protocol attacks（协议攻击）
- Application layer attacks（应用层攻击）
网站易受不同风格的 DDoS 攻击影响，每种攻击针对业务运营的不同部分。主要分为容量型、协议型和应用层型三种，各有相应的缓解技术：
容量型攻击
Volumetric attacks（容量型攻击）是最基本的 DDoS 类型，通过耗尽网站全部带宽，使合法用户无法获得可用资源。此类攻击常利用互联网早期基础协议的漏洞，可分为三类：
随机端口攻击
攻击者通过 UDP 和 ICMP 协议向处理网络通信的端口随机发送数据包。Web 服务器被迫对每个数据包返回“目标不可达”响应。每秒数万条 UDP 请求会迅速使服务器过载，导致无法响应合法请求。
DNS 放大攻击
此类攻击利用 DNS 系统（将域名转换为 IP 地址并路由）。攻击者发送查询请求获取域名详情，但指示 DNS 服务器将响应发送至受害企业 IP。由于小查询可生成高达 70 倍的响应，数千次查询会将重定向至站点的流量大幅放大。
NTP 放大攻击
与 DNS 放大类似，攻击者利用遗留的网络时间协议（NTP）服务器，发送请求获取大量信息并将受害者 IP 作为返回地址，从而消耗目标资源。
协议攻击
此类攻击利用网络协议漏洞消耗服务器资源而非带宽。最常见的两种如下：
SYN 洪水攻击
TCP 连接依赖“三次握手”：客户端发送 SYN 包请求连接，服务器回复 SYN-ACK 并预留资源，客户端再回传 ACK 确认。在 SYN 洪水攻击中，受控客户端从不发送最终 ACK，导致服务器一直等待响应。大量 SYN 包最终耗尽服务器资源，使其无法响应合法连接。
畸形数据包
网络数据包受大小、结构及协议类型规则约束。攻击者故意违反这些规则，可能导致服务器不稳定，甚至在目标系统上执行恶意代码。
应用层攻击
应用层 DDoS 攻击高度模仿真实用户行为，难以检测，是电商企业面临的最严重问题之一。常见类型包括：
- HTTP 洪水攻击：使用机器人高频发送看似正常的浏览或加载请求，耗尽系统资源。
- 购物车滥用：向购物车和支付系统发起大量请求，比简单页面加载消耗更多资源。
- 搜索和过滤耗尽：机器人同时提交数千个复杂搜索查询，迫使系统进行密集型数据库操作，对产品目录庞大的网站破坏性尤甚。
- 账户接管：又称凭证填充，用被盗账号密码淹没登录页，在窃取身份的同时使认证系统过载。
- 慢速攻击：机器人极缓慢地发送 HTTP 请求，长时间保持连接打开以占用服务器资源，且不触发流量激增警报。
什么是 DDoS 防护？
- 流量监控
- 异常检测
- 过滤恶意流量
- 速率限制
- 流量清洗
- 重定向扩散
- Web 应用防火墙
- 基于 AI 和行为特征的检测
对大多数中小企业而言，DDoS 防护通常指使用内置防护功能的网络主机（如 Shopify），或与 Akamai、Cloudflare 等专业服务商合作。
这些服务通过分析流量模式识别异常，阻止恶意连接并放行合法请求。有效方案通常采用多层防御组合，应对不同类型威胁。常见缓解方式如下：
流量监控
防护始于确定正常流量特征，建立基线以便更有效地识别异常或可疑行为。
异常检测
系统寻找异常模式：突发流量激增、不寻常来源/位置，以及与正常客户行为不一致的情况。现代检测严重依赖机器学习技术。
过滤恶意流量
检查传入流量，常规阻止匹配复杂 DDoS 模式的请求，包括格式错误的数据包、无效协议或来自恶意 IP 的请求。
速率限制
限制单源在指定时段内的请求数量，旨在阻止比合法客户发出更多请求的机器人，尤其在登录、搜索和结账环节。
流量清洗
攻击进行时启动，将请求重定向至专用过滤设施，分离合法与恶意流量，并将清洗后的干净请求转发至服务器。
重路由与扩散
将大规模攻击流量分布到全球数据中心网络，使每个节点仅处理可管理的攻击份额。
Web 应用防火墙
WAF 拦截所有进入服务器的 Web 流量并在应用层检查，能识别模仿合法用户但以人类不可能产生的量级或速度发起的攻击。
基于 AI 和行为检测
使用先进机器学习算法识别可疑流量及新型攻击。随着攻击者部署更复杂、类人化的攻击手段，此能力愈发重要。
Shopify 如何保护您的网站免受 DDoS 攻击
Shopify 利用 Cloudflare 网络保护平台免受 DDoS 及其他网络威胁。Cloudflare 部署全球 CDN 吸收大规模攻击、过滤恶意流量，确保仅合法请求到达服务器。
发往 Shopify 在线商店的所有流量均自动经 Cloudflare 服务器过滤，结合先进的机器人检测技术及 Web 应用防火墙，在威胁到达网站前予以拦截。Shopify Plus 客户还可申请高级机器人保护时段，在闪购等高流量活动期间阻止机器人参与结账。
此外，Shopify 的企业级安全性定期接受第三方审计，确保防护措施在完整性、可用性和机密性方面的可靠性，符合最严格的 PCI DSS 和 SOC 标准。
DDoS 保护常见问题解答
为什么黑客要使用 DDoS 攻击？
动机多样：一是勒索，敌对势力攻击后索要赎金，赌定店主不愿承受停机损失；二是蓄意破坏，竞争对手利用按需 DDoS 服务在旺季击垮对手；三是掩护其他攻击，使 IT 人员忙于缓解 DDoS 时趁机窃取数据或植入恶意软件。
DDoS 保护值得吗？
无论规模大小，电商企业都需制定计划以确保遭受攻击时的服务可用性。核心问题是：停机成本有多高？您能承受多少损失？
最好的 DDoS 保护是什么？
对中小型电商供应商而言，最佳选择是具有内置防护功能的托管平台。如 Shopify 将 DDoS 防护直接构建于基础设施中，为商户提供无需额外费用的企业级安全性。