分布式拒绝服务(DDoS)攻击是目前互联网仅次于蠕虫病毒的第二大威胁，每年造成的经济损失达千亿美元。由于其利用互联网的系统漏洞和安全隐患进行攻击，具有行为自然，难以防范的特点。研究如何防御DDoS攻击的安全机制已成为网络安全的一个热点。目前仍然没有一种有效的防御机制彻底解决DDoS攻击问题。 本文在研究了DDoS攻击原理的基础上，采用新型的分类方法对现有的DDoS攻击手段进行了分类；分析了现有的防御机制，总结了各种防御机制的特点及其存在的问题；提出了一种新颖的防御DDoS攻击的安全机制——基于Web服务器的防御DDoS攻击的三层安全机制。该机制结合Web服务器的流量特点，针对TCP/IP的参考模型，从网络层、传输层和应用层逐层采用统计过滤和流量限制等技术手段最大限度的滤掉非法的DDoS攻击流量，保证正常流量的通过。在网络层提出了SHCF(SimplifiedHopCountFiltering)算法，利用IP包路由过程中的跳数作为统计对象，过滤大量伪造的非法流量；在传输层采用syncookiefirewall技术滤除多余的流量；在应用层采用了流量限制策略防御使用合法IP攻击的流量。三层机制协同防御，有效的保证了Web服务器在DDoS攻击下可以持续的为用户提供服务。 本文在linux环境下实现了该机制，并对其进行了测试。测试结果表明，DDoS三层防御机制可以较好的防御针对Web服务器的DDoS攻击。