2022年6月1日，Google Cloud Armor记录到单次HTTPS洪水攻击峰值达4600万RPS，持续69分钟，源自132个经济体的5256个IP地址。本文拆解HTTP/HTTPS洪水、HTTP流水线、SSL重协商三类应用层耗尽型攻击的原理与防御要点。
HTTP/HTTPS洪水攻击机制
HTTP洪水属第七层攻击，通过僵尸网络发送大量看似合法的GET或POST请求。GET洪水请求静态资源，单次负载低但能耗尽并发连接数；POST洪水携带表单数据触发数据库写入，单次资源消耗显著更高。攻击者常混用PUT、DELETE等方法增加识别难度。加密HTTPS请求要求发送端具备更强算力，也使流量清洗需解密后再分析。
HTTP流水线与SSL重协商利用
HTTP流水线允许客户端在单连接上连续发送多个请求而无需等待响应，攻击者借此在单TCP会话内堆叠海量请求，绕过基于连接数的限流。SSL重协商攻击则针对TLS握手重协商机制，强制服务器反复执行密集计算的密钥交换，迅速耗尽CPU。两类手法均放大了单连接攻击效能，传统基于IP或连接计数的防御易失效。
当前最佳防御实践
部署具备TLS终止能力的WAF或云防护服务，在解密后按语义特征识别异常请求模式；对POST等写操作实施严格速率限制与人机验证；禁用或限制TLS重协商，启用会话复用减少握手开销；配置连接级与请求级双层限流阈值，结合IP信誉库动态封禁；预留弹性带宽与计算资源吸收峰值流量。
4600万RPS实战案例表明，应用层攻击已突破传统带宽防御边界。网络工程师需将防护重心下沉至请求语义层面，配合云端清洗与本地限流形成纵深体系，才能在加密流量常态化下保障服务可用性。
原文: APNIC Blog（2022-11-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog