分佈式拒絕服務(DDoS)攻擊已經進入了1Tb級別的DDoS攻擊時代。然而，Radware研究顯示，DDoS攻擊不僅規模越來越大；也越來越複雜。黑客們不斷提出新的可以繞過傳統DDoS防護措施的創新方法，損害企業的服務可用性。
為了確保能夠防禦最新和最強大的DDoS攻擊，企業必須確定其安全提供商可以提供應對這些最新威脅的最佳工具和技術。
以下是企業現代DDoS防護措施中的5項必備功能：
必備功能1：應用層DDoS防護
應用層(L7) DDoS攻擊已經超過網絡層(L3/4)攻擊，成為了最廣泛的攻擊矢量。據Radware 2017-2018年ERT報告稱，64%的企業都面臨著應用層攻擊，相比之下，面臨網絡層攻擊的企業僅為51%。
事實上，據ERT報告稱，在所有攻擊類型中(包括網絡層和應用層)，HTTP洪水是排名第一的攻擊矢量。此外，SSL、DNS和SMTP攻擊也是常見的應用層攻擊類型。這些趨勢暗示了，現代DDoS防護已經不只是為了防禦網絡層DDoS攻擊。為了讓企業得到充分保護，現代DDoS防護措施必須包含可以防禦應用層(L7)攻擊的內置防禦措施。
必備功能2：SSL DDoS洪水防護
目前，加密流量佔了互聯網流量的一大部分。根據Mozilla的Let's Encrypt項目，全球70%以上的網站都是通過HTTPS傳輸的，這一比例在美國和德國等市場中更高。
由於越來越多的流量都是經過加密的，SSL DDoS洪水成為了黑客越來越常用的攻擊矢量。據Radware最新的ERT報告稱，過去一年間，30%的企業都聲稱遭受了基於SSL的攻擊。
鑑於基於SSL的DDoS攻擊的威力，對希望得到充分保護的企業而言，可以防禦SSL DDoS洪水的高水平防護措施是必不可少的。
必備功能3：零日防護
攻擊者在不斷尋找新的方法，繞過傳統的安全機制，並利用前所未見的攻擊方法攻擊企業。即使對攻擊特徵碼做一些微小修改，黑客也能創造出手動特徵碼無法識別的攻擊。這類攻擊通常被稱為“零日”攻擊：
第一種常見的零日攻擊就是脈衝式DDoS攻擊，在切換到另一個攻擊矢量之前，該攻擊會利用高容量攻擊的短時脈衝。這些攻擊通常會結合許多不同的攻擊矢量，依賴需要手動優化的傳統安全解決方案的企業在面對這些打了就跑的戰術時往往會陷入困境。
另一類零日攻擊是放大攻擊。放大攻擊通常會採用請求和響應包大小嚴重不對稱的通信協議。此類攻擊會將流量從不參與攻擊的第三方服務器上反射出來，放大攻擊流量，進而擊垮攻擊目標。
必備功能4：行為防護
由於DDoS攻擊變得越來越複雜，區分合法流量和惡意流量也隨之變得越來越困難。對於可以模仿合法用戶行為的應用層(L7) DDoS攻擊而言尤為如此。基於流量閾值來檢測攻擊，並使用速率限制來限制流量峰值。然而，這是一種非常粗糙的攻擊攔截方式，因為此方法無法區分合法流量和惡意流量。
然而，一種可以更有效檢測並攔截攻擊的方法就是採用了解什麼是正常用戶行為的行為分析技術，並攔截所有不符合這種行為的流量。這不僅可以提供更高水平的防護，而且可以實現更低的誤報率，並且不會在流量高峰期攔截合法用戶。
必備功能5：詳盡的SLA
企業服務水平協議(SLA)是企業安全提供商承諾為其提供的保障。毫不誇張的說，企業安全完全取決於企業的SLA。許多安全廠商都大肆宣揚自己的能力，但一旦到了要做出實際承諾的時候，他們的宣揚就會化為泡影。為了確保企業能獲得安全廠商宣傳手冊上描述的所有服務，企業需要告訴安全廠商要採取切實措施，並提供詳細的SLA，其中包括對檢測、緩解和可用性指標的具體承諾。
如果企業的安全提供商無法提供此類承諾，企業就應該對該廠商能否提供高質量的DDoS攻擊防護產生懷疑。這也是細粒度SLA能成為現代DDoS防護措施中必備功能的原因。
