分布式拒絕服務（Distributed Denial of Service，DDoS）是一種網絡攻擊，攻擊者利用多個計算機或路由器發起攻擊，使目標服務器無法正常處理請求。攻擊者首先控制多臺計算機或路由器，這些被控制的計算機稱為“肉機”或“肉雞”，然后利用這些肉機向目標服務器發送大量請求，從而耗盡服務器的資源，使其無法響應合法請求。DDoS攻擊是在傳統的死亡之Ping（DoS）基礎上演變而來的一種新型攻擊方式。DDoS攻擊采用分布式的方式，通過控制多個計算機聯合發動攻擊，向目標發送大量數據包，導致目標系統的服務請求擁塞，從而使目標系統癱瘓。
分布式拒絕服務攻擊可以根據TCP/IP協議棧和攻擊對象進行分類。根據協議棧分類，DDoS攻擊可以分為網絡層攻擊、傳輸層攻擊、應用層攻擊以及混合型攻擊。而根據攻擊對象的分類，DDoS攻擊可以分為針對網絡資源的攻擊和針對服務器/應用程序資源的攻擊。前者主要是通過UDP泛洪、ICMP泛洪、IGMP泛洪和放大攻擊等方式，對網絡傳輸設備和服務器進行攻擊，從而讓整個網絡癱瘓。而后者則是攻擊服務器/應用程序，如TCP SYN Flood、TCP RST攻擊、DNS泛洪、正則表達式DoS攻擊等方式，讓服務器/應用程序無法正常工作，導致服務不可用。
通過使用路由器進行網絡結構優化，配置防火墻、建立網絡入侵防御系統(IPS)、強化操作系統和服務器以及尋求ISP的協助和合作等方式，可以有效防御DDoS攻擊。在Windows系統中，還可以啟用SYN攻擊保護，抵御ICMP攻擊和SNMP攻擊，采取其他保護措施來增強系統的安全性。從DDoS攻擊出現以來，較為知名的DDoS攻擊事件有2017年9月針對谷歌服務的攻擊，攻擊規模達到了2.54 Tbps，對Google Cloud的可用性產生了嚴重影響。 2018年2月，GitHub遭受了一次規模巨大的DDoS攻擊，攻擊規模高達1.3 Tbps。攻擊者利用了memcached數據庫緩存系統的放大效應，使攻擊規模放大了約5萬倍。 2016年，Dyn作為主要的DNS提供商，遭受了一次大規模的DDoS攻擊。攻擊者利用Mirai惡意軟件和受感染的物聯網設備，構建了一個龐大的Zombie網絡來發動攻擊。
原理及特點
特點
DDoS其特點是利用多臺不同的計算機或設備向目標發起攻擊，以占用更多的服務資源并使得合法用戶無法得到服務的響應。由于攻擊規模更大、攻擊來源更加難以追蹤，相對于單一的DoS攻擊，DDoS攻擊更具破壞力和威脅性。
可控的攻擊規模
攻擊者可以通過控制肉雞的數量來控制攻擊的規模。使用更多的傀儡機將導致更大規模的攻擊。為了達到最佳效果，攻擊者通常會利用所有控制的傀儡機發起攻擊，并不斷控制更多的傀儡機，以保持攻擊規模的穩定和持續性。
分布式的攻擊主體
DDoS攻擊的攻擊主體不集中在一個地點，而是分布在不同地點。攻擊主體的分布范圍取決于攻擊者的選擇。攻擊主體可以分布在地區、國家甚至全球各個角落。
隱蔽性的攻擊方式
DDoS攻擊使用的傀儡機不直接與攻擊者的主機直接交互，而是通過控制傀儡機和主控端之間的連接來發起攻擊。這種間接性使得攻擊者更難被追蹤和識別。
嚴重的攻擊影響
與其他攻擊方式相比，DDoS攻擊的危害更為嚴重，尤其是大規模的攻擊。除了使目標網絡的服務能力嚴重下降外，還會占用大量網絡帶寬，導致網絡擁塞，威脅整個網絡的使用和安全。在某些情況下，DDoS攻擊甚至可能引發信息基礎設施的癱瘓，導致社會動蕩。對軍事網絡的DDoS攻擊甚至可能使軍隊的網絡信息系統瞬間癱瘓，其威力可與真正的導彈相媲美。
防范困難
DDoS攻擊利用TCP/IP協議的漏洞，因此防御這種攻擊比較困難。除非放棄使用TCP/IP協議，否則幾乎無法完全防范。一旦DDoS攻擊發起，很短的時間內就可以使目標機的服務癱瘓，即使發現攻擊也很難進行有效的防御。
攻擊原理
分布式拒絕服務（DDoS）是一種特殊形式的拒絕服務（DoS）攻擊。攻擊者利用多臺被控制的計算機聯合起來，向目標計算機發起攻擊，造成目標計算機無法正常提供服務。DDoS攻擊一般由三部分組成：攻擊者、主控端和代理端。
攻擊者是整個攻擊過程的指揮者，通過攻擊主控端向主控端發送攻擊命令。主控端是攻擊者非法侵入并控制的一些主機，這些主機控制著大量的代理主機。主控端上安裝了特定的程序，可以接受攻擊者發送的指令，并將這些命令發送到代理主機上。代理端也是攻擊者入侵并控制的一批主機，它們上面運行著攻擊程序，并接受和運行主控端發來的命令。代理端主機是攻擊的執行者，直接向受害者主機發送攻擊。
癥狀
當目標計算機遭遇DDoS攻擊時，常常會出現以下癥狀：
具體表現為：
類型
根據TCP/IP協議棧分類
網絡層攻擊
這種攻擊方式主要基于網絡層協議，例如IP、ICMP等。攻擊者發送大量的偽造數據包或者ping命令，從而消耗目標網絡資源，使目標無法正常提供服務。其中，PingFlood Attack就是一種常見的網絡層攻擊。
傳輸層攻擊
這種攻擊方式基于傳輸層協議，例如TCP、UDP等。攻擊者利用TCP或UDP協議的特點或弱點，發起大量的請求或數據包，從而占用目標網絡帶寬或者破壞目標的TCP連接。常見的傳輸層攻擊包括TCP SYN Flood Attack、UDP Flood Attack以及Amplification Attack等。
應用層攻擊
這種攻擊方式是針對特定的應用層協議進行的攻擊，例如HTTP協議。攻擊者需深入理解應用層協議，通過模擬正常用戶行為發起攻擊，表現出低流量、高CPU消耗的特征（因與正常流量相似，識別難度較大），最終可能造成目標計算資源被過度消耗或服務崩潰。常見的應用層攻擊包括HTTP Flood Attack和Low and Slow Attack等。應用層攻擊更為難以識別和防御，攻擊效果也最為明顯。
混合型攻擊
這種攻擊方式采用多種方式、手段、工具對目標發起攻擊。現今的攻擊者越來越傾向于采用混合型攻擊手段，從而使攻擊更具攻擊性和難以防御。
根據攻擊對象分類
針對網絡資源的攻擊
針對網絡資源的DDoS攻擊，其目的是通過占用目標系統的網絡資源來干擾、癱瘓目標系統的正常運行。其中之一的攻擊類型是泛洪攻擊，主要包括UDP泛洪、ICMP泛洪、IGMP泛洪和放大攻擊。
UDP泛洪攻擊利用了嵌在IP數據包中的傳輸層協議UDP，通過發送大量的隨機端口UDP數據包來消耗目標系統的帶寬資源。它不需要利用目標系統的特定漏洞，而是通過高流量的泛洪攻擊來干擾系統的正常通信。UDP泛洪攻擊甚至可以阻止系統發送ICMP（因特網控制消息協議）的目標不可達數據包。通常情況下，UDP泛洪攻擊在小型到中型的攻擊中比較常見，其強度可以用Mbps和PPS來衡量。
ICMP泛洪攻擊則利用IP層的無連接協議ICMP，通過發送大量的不同類型的ICMP消息，如請求和響應，來造成目標系統的資源消耗。該攻擊也不依賴于系統的漏洞，而是利用了ICMP協議的特性來進行泛洪攻擊。為了應對這種攻擊，企業可以在網絡設備上部署控制平面策略，限制設備處理的ICMP數據包的數量。
另外，還有一種泛洪攻擊是針對多播協議IGMP的，它通過發送大量的IGMP消息報告來干擾網絡或路由器的正常運行。與前兩種攻擊類似，IGMP泛洪攻擊也不需要利用系統的漏洞。
此外，還有一種名為放大攻擊的DDoS攻擊類型，它利用了通信信道中請求和回復之間的非對稱性。攻擊者可以破壞路由器，并偽造源地址發送廣播消息到多播地址，從而使得目標系統承受更大的攻擊壓力。放大攻擊甚至可以與DNS放大攻擊結合使用，攻擊者可以破壞DNS域名服務器來CPU緩存大文件，進一步加劇目標系統的負擔。
WinNuke攻擊是一種早期針對Windows操作系統的死亡之Ping。攻擊者利用Windows TCP/IP協議棧中的漏洞，向運行Windows操作系統的目標設備發送大量的數據包，目標端口通常為139、138、137或53，并將URGENT位設置為“1”，從而使目標設備無法正常處理服務請求。這種攻擊可能導致目標設備掛起、重啟或死機。為了預防WinNuke攻擊，用戶應該安裝最新的微軟補丁。
針對服務器資源的攻擊
針對服務器資源的DDoS攻擊，其目的是耗盡目標服務器的進程資源和內存，從而導致合法流量受到干擾和中斷。攻擊者可以利用目標服務器的漏洞，并植入惡意軟件來執行此類攻擊。以下是幾種常見的用于執行這些攻擊的技術：
這些DDoS攻擊技術使用不同的方式來消耗服務器資源，導致服務器無法正常運行，從而使合法用戶無法訪問服務器。為了應對這些攻擊，服務器管理員需要采取相應的防御措施，如流量過濾、入侵檢測系統等來保護服務器免受DDoS攻擊的影響。
針對應用程序資源的攻擊
針對應用程序資源的DDoS攻擊，其目的是耗盡目標服務器的應用程序資源，使其無法正常運行。攻擊者越來越傾向于使用更先進、更復雜的基于應用程序的攻擊方法，其中一種類型是針對應用程序的攻擊。以下是幾種常見的基于應用程序的DDoS攻擊：
DNS泛洪：DNS是廣泛使用的應用程序，用于進行名稱解析。攻擊者可以利用DNS的UDP協議特性，在短時間內發送大量的DNS請求，淹沒目標服務器的DNS服務。這種攻擊不易被安全系統檢測到，導致服務器無法處理合法的DNS請求。這種攻擊方法被最近的Mirai攻擊用于淹沒Dyn網絡，導致用戶無法訪問一些知名應用程序。
正則表達式DoS攻擊：攻擊者利用服務器中發布的庫文件中的漏洞，發送帶有正則表達式的請求。服務器必須花費大量資源來處理這些正則表達式，攻擊者通過定期發送使安全系統無法檢測到的正則表達式來耗盡服務器資源。
哈希沖突DoS攻擊：攻擊者利用漏洞，花費數天到數月的時間識別Web應用程序框架中的漏洞。大多數應用程序服務器使用哈希表存儲POST會話索引。當服務器遇到返回相似哈希值的請求時，會發生哈希沖突，服務器必須處理這些沖突。攻擊者構建大量參數的POST消息，以觸發服務器處理哈希沖突，消耗服務器的處理資源。
攻擊過程
整個DDoS攻擊過程共由4部分組成，包括攻擊者、主控端、代理服務器和被攻擊者。攻擊者是指在整個DDoS攻擊中的主控臺，它負責向主控端發送攻擊命令。主控端是被攻擊者非法侵入并控制的一些主機，通過這些主機再分別制大量的代理服務器。代理服務器同樣也是攻擊者侵人并控制的一批主機，真正向被攻擊主機發送攻擊。被攻擊者是DDoS攻擊的直接受害者，目前多為一些大型企業的網絡或數據庫系統。
DDoS攻擊的過程通常包括三個步驟：尋找漏洞主機、安裝攻擊程序和發起攻擊。攻擊者首先尋找存在漏洞的主機，并在這些主機上安裝后門程序。攻擊者入侵的主機越多，攻擊規模越大。然后，在入侵主機上安裝攻擊程序，其中一部分主機充當攻擊的主控端，另一部分主機充當攻擊的代理端。最后，攻擊者調遣各部分主機，對目標主機發起大量的攻擊。一旦攻擊者啟動DDoS攻擊，就會向目標主機發送大量的數據包。當受控制的代理端機器數量達到攻擊者的要求時，攻擊者可以通過攻擊主控端隨時發出攻擊指令。
攻擊主控端的位置靈活且命令發布時間短暫，使得攻擊者很難被追蹤。一旦攻擊命令傳送到主控端，攻擊者可以關閉或脫離網絡以逃避追蹤。然后，攻擊主控端將包括受害者主機地址、攻擊周期和攻擊方法等信息的命令發送到各個攻擊代理端。代理端收到攻擊命令后，開始向受害者主機發送大量假冒源地址的數據包，使受害者難以追蹤攻擊來源。這些包所請求的服務會消耗大量系統資源，如內存或網絡帶寬。DDoS攻擊還可以阻塞目標網絡的防火墻和路由器等網絡設備，加重網絡擁塞狀況，使受害者無法為用戶提供任何服務。
DDoS攻擊利用協議或系統的缺陷，采用欺騙的策略進行網絡攻擊。攻擊者使用常見的協議和服務，使得攻擊包和合法包難以區分，目標主機無法有效分離攻擊數據包。DDoS攻擊是一種非常有效的攻擊技術，它的目的是占用目標主機的資源，使其無法處理合法用戶的請求，從而對外表現為拒絕提供服務。
攻擊工具
Trinoo
Trinoo是一種基于UDP Flood的DDoS攻擊工具，旨在通過發送大量垃圾UDP數據包來淹沒目標主機的網絡性能，使其無法正常提供服務。它由守護進程（NC）和主機（Master）組成。在編譯時，守護進程會將Master主機的IP地址嵌入其中，一旦運行，它就會自動檢測本機的IP地址，并將其發送到預先確定的Master的31335端口。Master和NC之間使用UDP協議進行通信，避免了TCP連接的繁瑣過程。Master在收到NC發回的IP地址后，確認有一個NC已準備就緒，并可以發送控制命令。NC會在本機打開一個27444的UDP端口，等待Master的命令。它會向攻擊目標主機的隨機端口發送全零的4字節UDP包，隨著處理大量垃圾數據包的過程，被攻擊主機的網絡性能會逐漸下降，直至無法正常提供服務。
Master會持續記錄和維護已激活的NC主機清單，并在主機上開放一個27665的TCP端口，等待攻擊者發送命令。與大多數DDoS攻擊工具類似，Trinoo沒有專門的客戶端軟件，攻擊者可以通過Telnet向Master發送指令。然而，Trinoo存在一些漏洞。它的連接口令在編譯時就被指定，服務端連接守護進程的口令默認是“144adsl”，而客戶端連接到服務端的口令是“betaalmostdone”。這些口令在驗證時以明文形式傳輸。此外，它的Master和NC使用的監聽端口固定，并且在二者之間的通信中都包含字符串“144”。這些特征容易被入侵檢測系統檢測出來。
TFN/TFN2K
TFN是德國著名黑客Mixter編寫的一種典型的DDoS攻擊工具。該工具最早于1999年在一些Solaris和Linux主機上被發現。它由服務端程序和守護程序組成，可實施ICMP洪水、SYN洪水、UDP洪水和Smurf等多種dos攻擊。
TFN2K是在TFN基礎上進行了大幅改進的版本，還支持Windows平臺。它具有更強大的功能，攻擊更加隱蔽，控制更加靈活，因此被廣泛應用于當前的DDoS攻擊中。TFN2K允許使用者自定義通信協議，可以指定使用TCP、UDP、ICMP三種協議中的任何一種進行通信，也可以隨機使用這三種協議。這使得TFN2K在通信時更難被入侵檢測系統發現。服務端通過向守護進程發送控制指令來控制攻擊過程。守護進程不會回復，因此服務端無法確定指令是否被接收。為解決這個問題，服務端會重復發送命令20次，只要守護進程接收到其中的一次，就會執行相應的命令。
TFN2K通過加密所有命令使用的CAST-256算法來保護通信數據的安全性。加密密鑰在程序編譯時定義，并作為TFN2K客戶端程序的口令。為了保護自身，守護進程還可以通過修改進程名的方式來隱藏自己的真實身份。盡管TFN2K采用了單向通信、隨機使用通信協議和通信數據加密等技術來保護自身，但在工作時仍會留下一些痕跡。例如，TFN2K在每個數據包的尾部填充了1到16個零（0x00），經過Base64編碼后，就變成了多個連續的0x41（'A'）。這一特征可用于捕獲TFN2K命令數據包。盡管TFN2K具有一定的隱蔽性，但仍然可能被入侵檢測系統發現。因此，如果網絡中出現大量具有TFN2K特征的數據包，管理員應對網絡中的主機進行仔細檢查。
Stacheldraht
Stacheldraht是一種基于客戶機/服務器模式的DDoS攻擊工具。該工具的代理進程會讀取一個包含有效服務端IP地址列表的加密文件，使用Blowfish加密算法進行保護。代理進程會嘗試與列表上的所有服務端建立聯系，如果成功，代理會進行測試，以確定它所安裝的系統是否允許偽造信息包的源地址。
代理會向服務端發送一個帶有偽造的源地址的ICMP信息包，偽造地址通常是“3.3.3.3”。如果服務端收到了帶有偽造地址的ICMP報文，并在應答中使用“spoofworks”字符串來確認偽造的源地址是否有效。代理與服務端之間會交換一些信息包來實現定期的基本接觸。代理會向每個服務端發送一個帶有ID域值為666和數據域為“skillz”的ICMP回顯應答信息包。如果服務端收到了這個信息包，它會以一個帶有ID域值為667和數據域為“fcken”的應答包進行回復。
Stacheldraht與TFN類似，可以實施多種類型的dos攻擊，包括UDP洪水、SYN洪水和ICMP回顯應答沖擊等。其主要特點是客戶端與服務端之間的通信是加密的，并且可以使用RCP（Remote Copy，遠程復制）技術對代理進行更新。
Trinity
Trinity是一種由IRC控制的分布式拒絕服務（DDoS）攻擊工具。代理端的二進制文件被安裝在Linux的"/usr/lib/IDle.so"位置。啟動后，它會連接到一個IRC服務器的6667端口，并將自身的昵稱設置為主機名前6個字符后接3個隨機數或字母。成功連接后，代理端通過特殊的密鑰進入對應的頻道，并等待命令。命令可以發送給頻道中的單個代理端，也可以發送給整個頻道的所有代理端。Trinity V3沒有監聽任何端口，因此其行蹤較為隱秘。要發現其存在，需要專門監測可疑的IRC通信。Trinity具備實施ICMP洪水、UDP洪水、SYN洪水、Smurf等多種洪水攻擊方式的能力。
防御方法
利用路由器并進行網絡結構優化
使用路由器來擴展訪問列表，根據數據包類型確定攻擊種類，使用服務質量優化特征如加權公平隊列、承諾訪問速率、一般流量整形等來阻止攻擊。配置單一地址逆向轉發功能來阻止基于IP地址偽裝的攻擊。采用TCP攔截和基于內容的訪問控制等功能進行防御。
防火墻設置
禁止對主機的非開放服務的訪問，限制同時打開的SYN最大連接數，限制特定IP地址的訪問。啟用防火墻的防DDoS屬性，嚴格限制對外開放的服務器的向外訪問，防止服務器被用作攻擊其他機器的工具；還可以通過配置安全規則過濾掉可能的偽造數據包。一些防火墻還具有優化算法如SYN cookie、SYNCPU緩存和Random Drop等，可以有效防御DDoS攻擊。
先進交換系統
使用線速多層交換系統和智能多層訪問控制等功能進行防御。
建立網絡入侵防御系統(IPS)
通過IPS及時檢測并阻止惡意通信，避免攻擊波及整個網絡。
強化操作系統和服務器
及時關閉不必要的服務，限制同時打開的SYN半連接數目，縮短SYN半連接的timeout時間。定期更新系統補丁，采用最新的操作系統版本和服務器軟件，增強硬件設備的配置。
采用退讓策略
采用DNS輪循的退讓策略，或者通過負載均衡、集群等技術增加響應主機的數量，從而分攤攻擊壓力，提升系統的抗攻擊能力。
尋求ISP的協助和合作
與主要互聯網xSP(ISP)合作，實施正確的路由訪問控制策略，減少DDoS攻擊對網絡帶寬的影響。
Windows系統防御
啟用SYN攻擊保護，抵御ICMP攻擊和SNMP攻擊，采取其他保護措施來增強Windows系統的安全性。
案例
2000年2月，雅虎日本網站遭受了一次嚴重的DDoS攻擊，導致其網絡服務停頓了近三個小時。這次攻擊采用了拒絕服務（dos）的攻擊方式。攻擊者利用多臺計算機同時向雅虎網站發送大量的請求，以致使服務器無法承受如此大的負載，最終導致網站無法向用戶持續提供服務。
Dyn公司是一家基于云技術的互聯網績效管理企業，Dyn為客戶提供了域名系統（DNS）服務，即互聯網的地址簿。在2016年10月21日，Dyn公司遭受了一次規模極大的DDoS攻擊。攻擊發生的時間分別在早上7點、中午和下午4點左右。攻擊者利用數千萬個IP地址發起了大量惡意請求，對Dyn的互聯網目錄服務進行了持續的攻擊，導致該服務被迫停止運行。攻擊者利用數千萬個IP地址向Dyn發起了大量惡意請求，導致其互聯網目錄服務被迫停止，起初受到影響的主要是美國東海岸地區，后來在美國其他地區也蔓延開來。這次攻擊難以解決，對數百個站點和服務的訪問被攻擊中斷，甚至包括亞馬遜購物、Netflix、Spotify等知名網站。攻擊者劫持了數千臺聯網計算設備，包括DVR路由器、家用電器等沒有嚴密防護措施的物聯網設備，利用這些設備形成了大規模的僵尸網絡，對Dyn進行惡意擁堵，成為DDoS攻擊的“分布式”部分。
2017年4月，暴雪娛樂的戰網服務器遭到了Lizard Squad組織發起的DDoS攻擊，導致重要游戲作品如《星際爭霸2》《魔獸世界》《暗黑破壞神Ⅲ》的服務器宕機，玩家無法正常登錄游戲。同時，黑客組織“Poodle Corp”也采取了多次DDoS攻擊行動，其中包括8次在8月和1次在9月。這些攻擊不僅使得網戰服務器無法運行，還對平臺上的其他游戲，如《守望先鋒》《魔獸世界》《暗黑破壞神3》《爐石傳說：魔獸英雄傳》等造成了影響。甚至主機平臺的玩家也遭遇了登錄問題。
2018年，攻擊者利用公開的memcached服務器對托管平臺GitHub進行了大規模的Memcached DDoS攻擊，攻擊流量高達1.35Tbit/s，大約有27396個網站受到了影響。
DoS與DDoS
DoS（Denial of Service）和DDoS（Distributed Denial of Service）攻擊在目標和攻擊規模上有相似之處，即通過耗用服務器資源，阻止合法用戶使用服務器的目標。然而，兩者之間存在著一些關鍵的區別。
首先，DoS攻擊是由單一系統或單一來源發起的，而DDoS攻擊是由多個系統或來源同時發起的。DDoS攻擊通過利用多個系統的攻擊請求，對目標服務器造成更大的壓力，使其無法正常運行。
其次，DDoS攻擊在規模上更大。它不僅涉及到流量的大小，還涉及到發送攻擊流量的數據源的種類和數量。在DDoS攻擊中，攻擊者可以利用數千個甚至數百萬臺計算機、物聯網設備等來同時攻擊目標，給目標服務器造成沉重的壓力。
此外，DDoS攻擊更具難度和復雜性。由于攻擊源眾多，而且可以快速改變，控制和阻止DDoS攻擊變得更加困難。與之相比，簡單的DoS攻擊可以通過封鎖已確定的攻擊來源或其網絡子網來防范。
相關爭議
在不同國家或地區，對于DDoS攻擊的規定和觀點存在一定差異。 一方面，許多國家和地區對DDoS攻擊制定了相關規定。例如，美國的《懲治計算機欺詐與濫用法》禁止故意破壞或導致計算機系統被破壞，以及阻止他人對計算機系統的使用，傳輸惡意程序、信息、編碼或命令等，對此進行違法處罰。其他一些國家和地區，如俄羅斯聯邦、加拿大、意大利等，也在刑法典中對破壞計算機信息系統犯罪制定了刑罰，包括罰金、罰款等財產刑。
另一方面，有部分人士認為DDoS攻擊是一種表達合法訴求的方式，不應該被處罰。他們認為，通過DDoS攻擊可以呈現抗議、報復、激進主義或網絡戰等表達方式。這些人可能支持個體進行自我防御，通過反擊黑客的行為來保護自己的網絡安全。然而，這種觀點存在爭議。持有異議的人認為，未經授權的黑客行為和攻擊行為不論在任何情境下都是違法的，包括實時的自我防御情境。他們認為，這類行為可能觸犯《計算機欺詐與濫用法》等法律。
此外，還有人指出，反擊黑客行為的合法性還可能受到國際法的限制。例如，個體在進行反擊時，可能會觸犯攻擊者所在國的國內法律。因此，有學者提出需要警惕個體在政府允許的行為框架外尋求自我保護的問題。
參考資料 >
轟動一時的 DDoS 攻擊 | 有史以來規模最大的 DDoS 攻擊.Cloudflare.2023-10-16