DDoS攻击时常见的网络攻击手段，而泛滥的SSL链接是DDoS最常见的攻击方法之一。对于分布式拒绝服务攻击来说，当多个系统排斥目标系统的宽带和资源时，多个计算机会同一时间对目标服务器进行超负荷访问，导致服务器瘫痪。SSL Flood洪水攻击也是这样一种攻击模式。
在深入SSL Flood攻击之前，需要先了解一些事项。即传输控制协议（TCP），它完成第四层传输层所指定的功能。TCP SYN Flood洪水攻击已经存在多年，并且DDoS检测和缓解在很大程度上是被动的，可见这种攻击仍会持续。如果服务器正在被DDoS攻击，访问的界面就会出现504网关超时错误。
如果供应商检测TCP Flood攻击方面的能力越来越高，则就会转为攻击其他层次，即SSL / TLS层。就如猫和老鼠的游戏。
什么是SSL Flood？
SSL Flood攻击和SSL重新协商攻击都是乘机利用服务器端协商安全TLS连接所需的处理能力，向服务器发送大量的垃圾数据，或者不断要求重新协商连接，从而致使服务器的资源超出限制并使其脱机。
如：常见的PushDo僵尸网络，其通过将SSL服务器与垃圾数据重载，尝试在SSL / TLS握手过程对其进行攻击。由于SSL / TLS协议的构建，当大量数据当大量数据泛滥请求服务器时，其计算成本可能很高。
另一种针对SSL握手的洪水攻击是当初被认为是SSL协议中的“bug”——THC-SSL-DOS工具。THC-SSL-DOS工具的目标是，重新协商用于连接的加密方法。连接成功后，该工具将使用新的加密方法与服务器重新协商，将需要服务器重新计算的要求。
其中，F5找到一种方法来应对这两种攻击方式，在指定的时间内，忽略所有需要的重新协商连接。这可以让欺骗攻击者误以为这个攻击已经生效，而实际这些请求都被忽略了。
本文只针对涉及SSL Flood攻击的两个案例分析，但在日常生活中，每天都有不同类型的漏洞被发现。虽然目前互联网的设备和软件可以设置多种事项来应对DDoS攻击，但目前网络安全处于一个比较糟糕的状态，就是即使配备了先进、昂贵的设备和软件的企业，仍旧每天都会遭受DDoS攻击。
因此，需要做好充足的防护准备，制定一个能在快速完成的行动计划，来预防DDoS攻击，而不是等待攻击停止。对于网络信息安全也是一样的道理，各大服务器管理人员应提前做好网络信息安全保护，其中网络信息安全服务商数安时代（GDCA）一直以“构建网络信任体系，服务现代数字生活”的宗旨，致力于提供全球化的数字证书认证服务。并对不同的应用或服务器要求提供专业对应的HTTPS解决方案。
来源于thesslstore，数安时代整理翻译
