Różne ataki są skierowane na różne części sieci i są klasyfikowane według warstw połączenia sieciowego, na które są skierowane. Połączenie w Internecie składa się z siedmiu różnych „warstw”, zgodnie z modelem Open Systems Interconnection (OSI) stworzonym przez Międzynarodową Organizację Normalizacyjną. Model ten umożliwia różnym systemom komputerowym komunikację między sobą.
Ataki objętościowe lub wolumetryczne
Ten typ ataku ma na celu kontrolowanie całego dostępnego pasma pomiędzy ofiarą a Internetem. Amplifikacja DNS jest przykładem ataku opartego na objętości. W tym scenariuszu atakujący podszywa się pod adres ofiary, a następnie wysyła zapytanie o nazwę DNS do otwartego serwera DNS z podrobionym adresem.
Kiedy serwer DNS wysyła odpowiedź rekordu DNS, jest ona wysyłana zamiast do celu, w wyniku czego cel otrzymuje wzmocnienie początkowo małego zapytania atakującego.
Ataki na protokoły
Ataki protokołowe zużywają całą dostępną przepustowość serwerów internetowych lub innych zasobów, takich jak zapory sieciowe. Obnażają one słabości w warstwach 3 i 4 stosu protokołów OSI, aby uczynić cel niedostępnym.
SYN Flood jest przykładem ataku protokolarnego, w którym atakujący wysyła do celu ogromną liczbę żądań protokołu kontroli transmisji (TCP) ze spreparowanymi źródłowymi adresami IP. Serwery docelowe próbują odpowiedzieć na każde żądanie połączenia, ale nigdy nie dochodzi do ostatecznego uścisku dłoni, co powoduje przeciążenie celu.
Ataki w warstwie aplikacji
Te ataki również mają na celu wyczerpanie lub przytłoczenie zasobów celu, ale trudno je uznać za złośliwe. Często określany jako atak DDoS warstwy 7 – nawiązujący do warstwy 7 modelu OSI – atak na warstwę aplikacji jest ukierunkowany na warstwę, w której generowane są strony internetowe w odpowiedzi na żądania protokołu HTTP (Hypertext Transfer Protocol).
Serwer wykonuje zapytania do bazy danych w celu wygenerowania strony WWW. W tej formie ataku atakujący zmusza serwer ofiary do obsługi większej ilości danych niż w normalnych warunkach. HTTP Flood jest rodzajem ataku w warstwie aplikacji i przypomina ciągłe odświeżanie przeglądarki internetowej na różnych komputerach jednocześnie. W ten sposób nadmierna liczba żądań HTTP przytłacza serwer, powodując powstanie DDoS.