910 月, 2025
新世代 DDoS 攻擊報告：443 SSL、L7 攻擊全面升級，中小企業防禦關鍵一次看懂
在過去幾年，分散式阻斷服務攻擊（Distributed Denial of Service，簡稱 DDoS）從單純的「網路癱瘓手段」，演變成如今駭客組織、勒索團體與政治網軍最常使用的攻擊武器之一。
根據 Cloudflare 2025 年第一季全球威脅報告 指出，其網路在三個月內阻擋了超過 2050 萬起 DDoS 攻擊，比去年同期增加 358%；而 NETSCOUT 2025 上半年威脅報告 也指出，全球共偵測到超過 800 萬起攻擊事件，顯示整體攻擊頻率與強度仍持續攀升。
過去人們對 DDoS 的印象，多半是「把網站塞爆」，但現今攻擊者的手法早已升級：從 443 SSL 加密流量攻擊 到 L7 應用層攻擊，甚至結合多層次、混合型的滲透策略。這類攻擊不僅使防禦難度倍增，也讓企業資安團隊陷入「流量看似正常，伺服器卻癱瘓」的困境。
一、什麼是 DDoS 攻擊？從原理理解駭客如何癱瘓服務
DDoS（Distributed Denial of Service）攻擊，顧名思義就是透過大量分散的裝置或伺服器，對目標系統發送過量請求，使其無法處理正常流量，進而導致服務中斷。這些被駭入的裝置組成「殭屍網路（Botnet）」，可能來自全球數十萬台電腦、IoT 裝置甚至雲端主機。
攻擊的核心在於「資源耗盡」：
- 對網路層來說，是吃光頻寬與封包處理資源。
- 對應用層來說，則是讓 Web Server、資料庫、API Gateway 的運算資源被占滿。
雖然 DDoS 攻擊看似粗暴，但隨著攻擊技術的進化，它早已不只是「大量發送請求」這麼簡單。現代駭客會結合 多向度攻擊（Multi-vector Attacks）、加密流量偽裝、甚至 AI 流量調整，讓偵測系統難以分辨真偽。
二、三大類型 DDoS 攻擊一次看懂
目前資安業界普遍將 DDoS 攻擊分為三大類：流量型（Volumetric）、協定型（Protocol）、與 應用層（Application / L7）。
1️⃣ 流量型攻擊（Volumetric Attack）
這是最常見的類型，以巨量流量壓垮網路頻寬。攻擊者利用殭屍網路發送海量封包，常見手法包括 UDP Flood、ICMP Flood、NTP 放大攻擊（NTP Amplification）等。
其特徵是「攻擊數量龐大但封包結構簡單」，例如某企業的網路出口頻寬為 1 Gbps，攻擊者就發動 10 Gbps 的流量攻擊，讓外部連線全數堵塞。
2️⃣ 協定型攻擊（Protocol Attack）
針對伺服器網路協定弱點，例如 TCP SYN Flood、ACK Flood、Ping of Death 等。這類攻擊不一定需要龐大流量，卻能快速耗盡伺服器資源。
其中 Slowloris 攻擊 最具代表性：攻擊者會與伺服器建立大量連線，但以極低速傳送資料，使伺服器長時間等待封包完成，造成連線資源被「吊著」無法釋放，最終導致網站服務停止。
3️⃣ 應用層攻擊（Application / L7 Attack）
這是目前最難防禦的攻擊形式，針對網站應用層（HTTP、HTTPS、DNS、API 等）發動攻擊。攻擊者會模擬真實使用者行為，例如：
- 模擬使用者瀏覽多個頁面、提交表單或進行搜尋查詢
- 在登入、購物或 API 端點發送大量請求
- 透過爬蟲或自動化腳本偽裝成正常流量
👉 由於這些請求看似合法，傳統防火牆往往難以區分，使得應用層 DDoS 成為近年最棘手的威脅之一。
三、443 SSL 與 L7 攻擊：加密流量下的新戰場
近年來，DDoS 攻擊有一項明顯趨勢——轉向 HTTPS 加密流量（443 Port）。
隨著全球網站 HTTPS 化普及（根據 Google Transparency Report，超過 95% 的網站流量已採用加密通訊），攻擊者也開始利用這一點，發動所謂的 443 SSL 攻擊（Encrypted DDoS）。
在傳統 DDoS 攻擊中，流量內容通常是明文，因此防禦系統可以檢查封包特徵、識別異常模式。但在加密流量下，封包內容無法直接檢視，使得防禦難度大幅提高。攻擊者可藉由 SSL/TLS 握手過程製造大量計算負載，迫使伺服器不斷建立、解密與驗證金鑰，極度消耗 CPU 資源。
這種攻擊的威力往往遠超過傳統攻擊。以 Cloudflare 與 NETSCOUT 的 2025 報告為例，兩者皆指出 HTTPS 為主的 L7 攻擊量已連續三年上升，其中 Cloudflare 表示 HTTPS Flood 攻擊佔所有 L7 攻擊的過半比例。
L7 攻擊的挑戰在於「模糊界線」：駭客可以模擬瀏覽器行為、偽造正常使用者 UA（User-Agent），甚至在每次連線中帶上真實 Cookie 與 Session，讓 WAF 難以辨識其為惡意流量。這也是近年許多企業在面對 DDoS 攻擊時，即使導入 CDN 或雲端防火牆，仍可能在流量高峰時出現「網站延遲暴增」或「登入功能異常」的主因。
四、新世代 DDoS 攻擊的全球趨勢：規模更大、手法更細膩
根據 Cloudflare 2025 Q1 DDoS Threat Report 報告指出，企業在第一季面臨的攻擊不僅數量創新高，攻擊型態也更加複雜。
- 全球平均每秒攻擊封包數（pps）較去年同期增長約 240%
- 以 HTTPS 為主的 L7 攻擊量年增超過 150%
- 攻擊高峰時流量甚至超過 3 Tbps，顯示駭客已能快速動員雲端殭屍網路發動攻擊
同時，NETSCOUT 2025 年威脅報告 顯示，僅上半年全球即偵測到超過 8 百萬起 DDoS 攻擊事件，平均每天約 4.4 萬起，創歷年新高。這份報告也指出，攻擊者不再追求單一爆量，而是偏好「短頻快、多波次」策略：每次攻擊持續時間縮短、強度卻更集中，讓防禦系統難以及時反應。
此外，全球各地攻擊來源分布亦出現變化。北美與歐洲依然是主要攻擊源頭，但亞太地區（特別是台灣、香港、新加坡）已明顯成為新目標。Cloudflare 指出，亞太企業遭受 L7 攻擊的比例在 2025 年第一季成長 68%，顯示地區性雲端基礎設施與跨境網路已成駭客新戰場。
五、企業面臨的現實挑戰：加密流量與多層防禦失效
過去防禦 DDoS 攻擊的方法，多半依賴「流量清洗」與「頻寬冗餘」概念——當流量太大就導向清洗中心、或透過 CDN 分散請求。但在 443 SSL 與 L7 攻擊的時代，這些策略已不再足夠。原因在於：
- 加密流量無法檢查內容。
現今多數攻擊都藏在 HTTPS 內，若要解密再分析，會消耗極大量 CPU 資源。若企業未配置 SSL 終結（SSL Termination）設備，往往導致反向代理層過載。 - 應用層攻擊看似「正常」。
攻擊者會偽裝成真實使用者操作——例如模擬登入、查詢 API、搜尋商品等。若僅依靠防火牆或 WAF 規則，很容易誤判或漏判。 - 混合型攻擊難以預測。
駭客已不再只用單一手法，而是結合多層攻擊。例如先以流量型攻擊干擾 CDN，再以應用層攻擊拖垮後端伺服器，讓監控系統難以快速識別攻擊方向。
這些挑戰意味著，企業的防禦策略必須從「封包層防護」進化到「行為層防護」。
六、DDoS 攻擊與資安防禦的三大新趨勢
1. 從頻寬防禦轉向「行為分析」
現代 DDoS 防禦逐漸結合 AI 與行為分析技術，透過即時比對正常流量模式（Baseline），快速偵測異常行為。例如：若同一 IP 在短時間內發出上千筆 API 查詢、或登入失敗次數異常，就能被即時封鎖。
2. 雲端清洗與邊緣節點防護
由於攻擊規模日益龐大，企業不可能僅靠內部頻寬應對。許多主流資安廠商皆採取「邊緣節點防護」概念，於全球節點攔截攻擊流量再回傳乾淨封包。這讓攻擊流量不會集中於單一伺服器，大幅降低中斷風險。
3. 加密流量檢測技術（Encrypted Traffic Inspection）
因 443 SSL 攻擊大增，企業也需導入支援 TLS Fingerprinting 或 SSL 行為分析的防禦系統。這種技術不需解密封包內容，而是分析封包協商過程、TLS 版本、憑證指紋等特徵，從而辨識異常流量，兼顧隱私與安全。
七、從中小企業視角：有限預算下的防禦策略
根據台灣資安研究中心（TWCERT/CC）的統計，近年台灣中小企業成為駭客的主要攻擊對象之一，超過 40% 的資安事件與服務中斷相關。原因在於中小企業普遍缺乏專職資安人員與異地備援資源，一旦遭 DDoS 攻擊，往往難以在短時間恢復。
因此，建議企業可依下列步驟逐步強化防禦：
- 啟用雲端防禦服務：選擇具備全球節點與自動清洗能力的防護方案，可在攻擊發生時快速攔截流量。
- 落實多層架構設計：前端 CDN、後端防火牆與應用層 WAF 應協同運作，並預設緊急模式（例如只允許登入會員進入系統）。
- 定期壓力測試與攻防演練：透過模擬 DDoS 攻擊測試系統瓶頸，能提前調整頻寬、優化防禦策略。
- 監控指標與異常警示：建立封包速率、延遲時間、連線失敗率等即時監控項目，並設置自動化警示。
這些措施不僅能提高整體韌性，也讓中小企業在面對突發攻擊時，能更快復原並維持服務穩定。
八、DDoS 攻擊不再只是「大流量事件」，而是新型態戰爭
隨著雲端服務、AI 模型與 API 應用快速普及，DDoS 攻擊已從單純的「癱瘓網站」進化為影響供應鏈、雲端平台與關鍵基礎設施的核心威脅。對企業而言，防禦不僅是技術問題，更是營運持續性與信任度的根本。唯有建立具備可擴充性的防禦架構、導入 AI 行為分析、落實監控與測試機制，才能在面對攻擊時維持穩定服務。
想了解更多 DDoS 攻擊防禦建議與資安解決方案，歡迎前往 CloudSecurity 聯絡我們 尋求專業協助。
資料來源