复合流量攻击正在成为DDoS防护中最棘手的形态。它不是单一的大流量洪水，也不是纯粹的应用层耗尽，而是把UDP反射、TCP连接耗尽、HTTP慢速攻击、TLS握手冲击乃至业务逻辑漏洞利用混合在一起，在同一条攻击链里同时打向网络层、传输层和应用层。很多企业部署了单点防护设备后仍然被打穿，根本原因在于防护架构是“线性”的，而攻击是“并发且跨层”的。多层DDoS防御架构要解决的不是“加设备”，而是让每一层只处理它最擅长识别的攻击信号，并通过自动化联动把分散的检测结果变成全局阻断策略。
第一层：网络边界层的粗粒度清洗
网络边界层是第一道闸口，核心任务是用最小的计算成本丢弃绝大多数无效流量。这一层通常由运营商的近源清洗或企业自建的BGP引流清洗集群完成。针对UDP反射、SYN Flood、ACK Flood、ICMP Flood这类可以直接通过包特征和速率判断的攻击，边界层必须做到“无状态或轻状态”过滤。例如UDP反射攻击的源端口往往集中在53、123、1900、11211等固定服务端口，配合入站流量中不存在对应出站请求的“非对称流量”特征，可以在不建立完整会话表的情况下直接丢弃。SYN Flood则依靠SYN Cookie或SYN Proxy机制，在完成三次握手之前不向后端服务器转发任何连接。边界层的价值不在于“聪明”，而在于“快”和“扛得住”。如果这一层被大流量直接压垮，后面的应用层防护再精细也没有机会生效。
第二层：传输层状态检测与会话管理
穿过边界层后，流量进入传输层防护节点。这一层需要建立完整的状态表，对TCP连接的建立速率、连接持续时间、重传比例、窗口行为、RST/FIN异常比例进行深度跟踪。很多复合攻击会故意把“慢速连接”混在正常流量里，比如每秒只建立几十个TCP连接，但每个连接保持很久，慢慢耗尽服务器的连接表。传输层防护必须识别“低速率但高并发”的连接模式，并针对源IP、源IP段、甚至源AS（自治域）设置连接配额和老化时间。对于TLS握手冲击，传输层节点要能识别ClientHello之后不完成握手、频繁重协商、或使用异常加密套件的行为。一个有效的做法是把TLS终止前置到防护层，由防护节点完成握手并验证客户端真实性，再把合法请求通过内部连接转发到源站。这样源站只看到已经通过验证的会话，攻击者无法直接消耗源站的TLS计算资源。
第三层：应用层行为分析与业务语义校验
应用层是复合攻击中最隐蔽的部分。HTTP Flood、慢速POST、慢速读取、API参数滥用、验证码绕过、撞库和爬虫型DDoS都属于这一层。应用层防护不能只看请求速率，必须结合业务语义来判断。比如一个登录接口，正常用户每分钟请求次数通常不超过5次，且会携带合理的Referer、Cookie和浏览器指纹；而撞库攻击可能在每分钟内发起上百次请求，但User-Agent完全一致，或者Referer缺失。多层防御架构在这一层需要部署WAF、Bot管理引擎和API网关的联动策略。WAF负责拦截SQL注入、XSS、命令注入等攻击载荷，Bot引擎负责区分人类用户和自动化脚本，API网关则对每个接口的请求结构、参数类型、频率和响应大小做细粒度控制。三者之间的数据必须打通：如果Bot引擎标记某个IP为高风险自动化流量，API网关应立即对该IP的所有接口请求执行降级或挑战策略，而不是等WAF再次匹配攻击特征。
第四层：源站侧的资源隔离与弹性伸缩
即使前面三层过滤了95%以上的攻击流量，剩下的5%仍然可能对源站造成压力。源站侧的防护重点是“资源隔离”和“弹性伸缩”。数据库连接池、应用线程池、文件句柄和内存缓存都要设置硬上限，避免某个业务模块被拖垮后影响整个服务。微服务架构下，应该对核心交易链路和非核心内容展示链路做物理或逻辑隔离。例如攻击者可能通过大量搜索请求消耗数据库资源，此时搜索服务的容器副本可以独立伸缩，而订单服务不受影响。弹性伸缩策略要提前配置好触发阈值，不能等CPU跑到90%才开始扩容。更关键的是，源站要具备“优雅降级”能力：当某一类请求超过容量上限时，返回静态缓存内容或简化的降级页面，而不是直接返回5xx错误。5xx错误会进一步加剧重试流量，形成雪崩效应。
多层之间的自动化联动机制
多层架构最容易失败的地方不是某一层被突破，而是各层之间“各自为战”。边界层发现了一个UDP反射攻击源，但应用层的WAF并不知道；应用层标记了一个恶意Bot IP，但边界层没有对这个IP的后续流量做优先丢弃。有效的多层防御必须有一个统一的信号总线。每层防护节点把检测到的攻击特征、源IP信誉、会话异常评分、请求模式指纹实时发布到中央策略引擎，由策略引擎生成全局阻断规则并下发到所有层级。例如边界层检测到某个IP段的UDP反射流量激增，策略引擎可以自动将该IP段的信誉分降低，传输层对该IP段的所有TCP连接执行更严格的握手验证，应用层对该IP段发起的HTTP请求直接返回挑战页面。这种联动不需要人工介入，延迟控制在秒级。实现上可以采用流式数据处理框架，把各层日志和告警统一接入，通过规则引擎或轻量级机器学习模型做实时评分。
复合流量攻击的典型场景与应对策略
一个常见的复合攻击场景是：攻击者先发起大规模UDP反射攻击占满入口带宽，同时用低速SYN Flood消耗防火墙的连接表，再配合HTTP慢速攻击拖住应用服务器线程，最后用撞库脚本对登录接口发起精确打击。如果防护体系只有单独的流量清洗设备或单独的WAF，几乎必然被打穿。多层架构的应对逻辑是：边界层通过近源清洗把UDP反射流量在运营商侧丢弃，释放入口带宽；传输层用SYN Cookie机制让SYN Flood无法建立真实连接，保护防火墙连接表；应用层WAF和Bot引擎识别慢速HTTP请求的异常行为模式，对慢速读取连接主动断开；API网关对登录接口执行严格的速率限制和人机验证，阻断撞库脚本。四层同时生效，攻击者每一类流量都被对应层级的机制压制，整体攻击效果被大幅削弱。
部署多层DDoS防御架构的常见误区
第一个误区是“设备越多越安全”。堆叠多个品牌的防护设备但彼此不联动，只会增加运维复杂度和故障点。第二个误区是“只防大流量”。很多企业只关注带宽被打满的场景，忽视了低速率应用层攻击，结果在业务高峰期被慢速攻击拖垮。第三个误区是“防护策略一成不变”。攻击者的手法在持续演化，防护规则和阈值必须根据业务变化和攻击趋势定期调整。第四个误区是“过度依赖自动化”。自动化联动能处理大部分已知攻击模式，但面对新型攻击或业务逻辑漏洞利用，仍然需要人工介入分析。多层架构应该保留人工干预的接口，让安全团队可以在必要时手动下发阻断规则或调整防护策略。
多层DDoS防御架构的本质是把“检测、决策、阻断”分散到不同层级，同时通过统一的策略总线让各层协同工作。网络边界层负责扛住大流量，传输层负责管理连接状态，应用层负责识别业务异常，源站侧负责资源隔离和弹性伸缩。每一层都有明确的职责边界，但信息必须实时共享。面对复合流量攻击，单点防护的失效是必然的，只有让攻击流量在每一层都被消耗、被过滤、被阻断，才能把最终到达源站的攻击强度降低到业务可以承受的范围。这种架构不是一次性建设项目，而是一个持续运营的过程，需要根据攻击态势和业务变化不断优化各层的检测规则和联动策略。
