官網突然打不開、網路下單系統卡住、VPN 連不上，第一個念頭常是「線路又出問題了」。分散式阻斷服務（DDoS）攻擊就是刻意製造這種狀況：攻擊者通常協調大量遭控制的電腦（殭屍網路），同時向目標送出流量或請求，耗盡頻寬或系統資源，讓正常使用者無法使用服務[1]。數位發展部資通安全署（資安署）指出，這類攻擊一旦波及關鍵業務，會直接重創營運，例如線上交易中斷造成的銷售與訂單損失，以及內部作業停擺[2]。
這篇寫給負責對外服務的 IT 人員，以及攻擊發生時要拍板的主管：先說明三種 DDoS 的差異與各自該在哪裡擋，再談為什麼不能只把它當成「網站掛了」，最後整理攻擊前要備妥的事、攻擊當下的處理順序與事後的檢討。
三種 DDoS：打的位置不同，擋的地方也不同
美國 CISA、FBI 與 MS-ISAC 的聯合指引把阻斷服務攻擊分為流量型、協定型與應用層三類，並提醒三者並不互斥，攻擊者常混合使用，手法也持續演變[1]。分清楚類型，是為了知道該在哪一層擋、該找誰幫忙。
流量型：把對外線路塞滿
流量型攻擊以大量流量耗盡目標的可用頻寬，讓網路飽和、合法請求進不來[1]。MITRE ATT&CK 舉的例子很直觀：對一台對外連線只有 1Gbps 的伺服器送出 10Gbps 的流量，頻寬自然被耗盡[3]。攻擊者也常偽造來源 IP，讓流量更難追查，或藉此發動反射攻擊，使依來源位址過濾的效果大打折扣[3]；CISA 也提醒，反射型攻擊的流量通常來自合法的公開伺服器[1]，一律封鎖可能誤傷。
流量一旦超過對外線路的容量，在自家防火牆過濾已經來不及，通常必須在上游攔截，由 ISP、CDN 或專業的 DDoS 防護業者把攻擊流量濾掉[3]。英國國家網路安全中心（NCSC）也直言，有心的攻擊者幾乎總能送出比多數組織獨力承受得了更多的流量[4]，所以光是加大頻寬，能爭取的空間有限。
協定型：耗盡設備的連線資源
協定型攻擊利用網路協定或其實作上的弱點，主要針對 OSI 模型第 3 層（網路層）與第 4 層（傳輸層），讓目標效能下降甚至故障[1]。典型例子是 SYN flood：攻擊者大量發起 TCP 連線卻不完成三向交握，讓伺服器的連線一直被占住，正常使用者因此連不上[5]。被打垮的不一定是網站本身，DNS 伺服器、防火牆等網路基礎設施也可能成為目標[1]。
對策包括在伺服器上啟用 SYN cookies、在邊界依來源位址、通訊埠或協定過濾[6]，以及請 ISP 在上游先套用簡單的過濾規則，避免自家防火牆先被大量連線請求壓垮[4]。
應用層（L7）：看起來像正常使用者
應用層攻擊針對 OSI 第 7 層的特定應用程式或服務，不靠塞爆網路，而是耗盡應用程式的運算資源或讓它故障[1]。MITRE ATT&CK 把不需要讓網路飽和、直接耗盡主機資源的攻擊歸為「端點阻斷服務」，對象涵蓋作業系統、網頁伺服器、DNS 伺服器、資料庫，以及上面的網頁應用程式[6]。
這類請求多半是正常的 HTTPS 連線，ISP 不了解你的應用程式，流量又經過加密，能做的判斷有限[4]。比較有效的位置是 CDN 或網站前端：例如針對特定網址限流，避免大量搜尋請求壓垮後端資料庫[4]，必要時加上 CAPTCHA 區分真人與自動化程式[1]。
為什麼不只是「網站掛了」
煙霧彈：真正的目標可能在別處
CISA 提醒，許多攻擊者發動 DoS 或 DDoS 是為了轉移注意力，趁機對網路中的其他服務發動第二波攻擊，因此處理時不要忽略網路中的其他主機與服務[5]。MITRE ATT&CK 也記錄，攻擊者會以阻斷服務達成政治目的，或用來支援轉移注意力、駭客行動主義與勒索等其他惡意活動[3]。實務上，攻擊期間要留一個人盯著 VPN 登入、帳號異常與端點告警，不要所有人都去救網站；若發現入侵跡象，改依疑似遭入侵的前 24 小時處理。
勒索型 DDoS：台灣券商的前例
2017 年 2 月，台灣多家證券商收到英文勒索信，要求支付比特幣，否則將再發動攻擊；勒索信表示會先對其中一個 IP 攻擊 15 分鐘，用來證明這不是玩笑[7]。第一波共 10 家券商遭攻擊，流量只有 800Mbps 就癱瘓了網路下單系統；第二波最大流量 2Gbps，金管會形容是「很小流量的警告式攻擊」，並研判攻擊者是冒用 Armada Collective 名號的模仿犯，採亂槍打鳥的方式下手[8]。金管會要求業者遇到攻擊時洽電信業者進行流量清洗、阻擋攻擊來源 IP[7]，中華電信與台灣大哥大也為券商客戶提供清洗服務[8]。
教訓有兩個：不需要驚人的流量，就足以讓沒有上游防護的系統停擺；勒索信預告的攻擊時間，就是確認防護是否就位的最後期限。
駭客行動主義：跟著政治議題來
2015 年課綱爭議期間，國際駭客組織「匿名者」（Anonymous Asia）在臉書號召自 8 月 1 日凌晨起攻擊教育部與總統府網站，教育部網站流量異常暴增、無法穩定運作，並依程序通報為 2 級資安事故；國防部與經濟部也曾短暫遭到類似攻擊[9]。2024 年 9 月，資安署證實 NoName057 與 RipperSec 等國際駭客族群對台灣部分公私部門網站發動 DDoS[10]。數發部 9 月 14 日的新聞稿指出，自 9 月 10 日起，資安署統計有 45 件，對象包括地方稅務機構、區域民航站、主計總處、財金相關機關與部分電信業者[11]。受害名單不只政府機關，也包括民間單位與電信業者；遇到重大政治事件或爭議議題，企業同樣應該提前檢查防護與值班安排。
攻擊前：先備妥的事
盤點對外服務，找出上游與負責人
資安署建議以核心業務為起點，盤點相關的資訊、軟硬體與網路資產，並從可用性等面向評估營運衝擊[2]。對 DDoS 來說，要列出每一項對外服務（官網、電商或下單系統、API、VPN、郵件、DNS）的代管位置、上游 ISP 或雲端業者、是否在 CDN 後方，以及負責人。下架閒置網頁，也是數發部建議的長期防禦措施之一[11]。
問清楚上游能做什麼
NCSC 建議了解 ISP 在你的帳號上已啟用哪些 DDoS 防護、還有哪些可以加購，並評估第三方 DDoS 防護服務；網頁服務則考慮使用 CDN[4]。CISA 也建議考慮委託 DDoS 防護業者，在惡意流量到達你的網路之前先行過濾[1]。合約上要問清楚[4]：
- 業者會不會自動啟動防護？啟動時會不會通知你？超過一定流量時會不會限制你的頻寬？
- 加開防護要多久、透過什麼程序申請？
- 超出的流量或資源會不會另外計費？
- 為了保護其他客戶，業者是否保留終止服務或把你的流量導入黑洞（sinkhole）的權利？動手前會不會先聯絡你？
- 服務被關掉後，多快可以恢復？
把 ISP 與代管業者的 24 小時聯絡窗口、合約編號與啟用防護的步驟寫進劇本，別等到攻擊當下才翻合約。
藏好來源伺服器
用了 CDN，攻擊者仍可能繞過它直接打來源伺服器。NCSC 建議確保 CDN 有效遮蔽網站的真實來源，並可在 ISP 層級設定允許清單，讓所有請求都必須經過 CDN[4]。導入 CDN 後，也要更換先前已公開過的來源 IP，並檢查郵件、測試用等子網域是否仍指向同一台主機。另外，CDN 會代管使用者的 HTTPS 工作階段，持有你的私鑰或等同你的憑證，選擇業者時要評估它的安全性[4]。
預先準備限流與降級方案
CISA 建議設定防火牆過濾可疑流量、保持規則更新，並考慮限流[1]。NCSC 則建議規劃降級運作：攻擊期間依來源排定優先順序（例如只開放本國 IP）、暫停站內搜尋等耗資源的動態功能，或只讓已登入的使用者使用動態內容[12]。數發部也建議事先預備靜態網頁與流量清洗機制[11]。
保留管理通道，不依賴會被打的 DNS
攻擊期間你仍要能登入設備調整設定。NCSC 建議管理存取走不同的網路或子網段，並限制只有可信任的來源能連線；也要注意別依賴同樣可能遭攻擊的公開 DNS 區域[12]。管理介面的其他強化項目見VPN、防火牆與邊界設備的安全強化清單。
寫好劇本，事先決定誰拍板
資安署建議預先編組通報及應變小組，明確賦予決策指揮者、技術處理人員與內外部聯絡人員的權責，並把 DDoS 列為需要擬定應變機制、定期演練的高風險情境；應變計畫也須經管理階層審查核可[2]。它建議的內部時限是發現異常後 15 分鐘內完成內部初步通報、1 小時內陳報管理階層，但也說明這是公司可依營運衝擊分析調整的管理目標，不是法規要求[2]。CISA 則建議平時就分析流量、建立正常流量的基準，攻擊時才看得出明顯偏離[1]。
DDoS 劇本裡最需要事先授權的決定包括：啟用付費清洗、把 DNS 切到 CDN 或清洗中心、封鎖境外 IP、暫停部分功能，以及對客戶發布公告。
攻擊當下：先確認，再找上游
- 確認是不是 DDoS：阻斷服務的症狀和一般網路故障或系統維護很像。CISA 建議先向網管確認是否為維護或內部網路問題，並詢問 ISP 是否是他們那端故障，或他們的網路才是攻擊目標、你只是被波及[5]。可疑跡象包括流量突然暴增、大量請求集中來自特定 IP 或湧向特定網址、CPU 與記憶體使用率持續升高，以及 DNS、防火牆等其他服務也連不上[1]。
- 啟動劇本並通知上游：啟動應變計畫，聯絡 ISP、代管業者或 DDoS 防護業者[1]。資安署建議請 ISP 或代管業者協助分析攻擊流量的類型（例如 UDP Flood、HTTP GET Flood），並評估啟用備援 IP、CDN 或流量清洗服務[2]。CISA 也建議把攻擊來源 IP 提供給 ISP，並請 ISP 依通訊埠與封包大小過濾[1]。
- 維持最低限度的營運：核心系統中斷時，資安署建議立即切換到替代的人工、紙本作業或備用系統，並同步估算中斷損失[2]。2017 年券商遭攻擊時，受影響的主要是網路下單網站，手機 App、語音與電話下單仍可使用[7]，這正是替代管道的價值。
- 不要做的事：資安署提醒不要直接關閉或強制重開伺服器，這可能擴大業務中斷，並讓記憶體中的資料與日誌跡證流失；也不要被動等待流量自己退去[2]。
- 保全證據：記錄時間戳記、來源 IP、封包擷取，以及網路設備產生的日誌與告警[1]；收到勒索信也要完整保存。
- 準備迎接下一波：DDoS 一波接一波並不少見，攻擊者摸清你的防護後會換手法；不要在第一波就把所有人力耗盡[12]。
- 通報與對外溝通：資安署整理的管道包括向 TWCERT/CC 線上通報、依產業法規通報目的事業主管機關、受託業務依契約通知委託機關、涉及犯罪向警察機關報案，以及上市櫃公司造成重大損害或影響時發布重大訊息[2]。各管道的細節見疑似遭入侵的前 24 小時、資通安全管理法與資安事件與重大訊息揭露。CISA 也建議持續向員工、客戶與合作夥伴說明處理進度與預計恢復時間[1]。
攻擊之後：檢討與補強
流量退去不代表結束。CISA 建議評估攻擊對系統、網路與服務的影響，包括是否有資料遺失或系統遭入侵；接著做事後分析，找出攻擊手法與暴露出的弱點，據以修補、檢視防火牆與 DDoS 防護設定、更新應變計畫，並加強網路監控[1]。攻擊嚴重或涉及犯罪時，CISA 也建議與執法機關合作並提供證據[1]。
數發部建議的長期防禦策略包括下架閒置網頁、規劃以 CDN 分流，以及落實防護演練[11]。NCSC 提醒應變計畫要像備份與營運持續措施一樣定期測試[12]；資安署則建議每年至少舉辦一次營運持續計畫演練，例如模擬公司核心網路與外部中斷的情境[2]。
行動清單
- 列出所有對外服務（官網、電商或下單系統、API、VPN、郵件、DNS），標明代管位置、上游業者、是否在 CDN 後方與負責人；閒置網頁直接下架。
- 向 ISP 與代管業者確認帳號上的 DDoS 防護、清洗服務的啟用方式與所需時間、超量計費與黑洞政策，並把 24 小時聯絡窗口寫進劇本。
- 對外網站與 API 放到 CDN 後方，來源伺服器只接受經由 CDN 的連線，並檢查舊 IP 與其他 DNS 紀錄是否洩漏來源位址。
- 為搜尋、登入、查詢等耗資源的網址設定限流，並準備一頁靜態公告頁面。
- 管理通道走獨立網路並限制來源，不依賴同樣可能被攻擊的公開 DNS。
- 事先授權誰能啟用付費清洗、切換 DNS、封鎖境外 IP、暫停功能與對外公告，並準備替代的接單與客服管道。
- 建立平時的流量基準與告警；攻擊期間指定專人監看 VPN、帳號與端點告警，防範煙霧彈。
- 每年至少演練一次「對外服務被打掛」的情境，並參考本站 DDoS 類通報的案例更新劇本；需要外部協助可聯絡我們。