近年來，隨著云計算的興起與大規(guī)模商用，DDoS攻擊也在向大流量和高頻率的趨勢發(fā)展，據(jù)悉僅去年上半年，1Gbps以上DDoS攻擊日均就達上千起。隨著未來更加強大的攻擊工具的出現(xiàn)，也為日后發(fā)動數(shù)量更多、破壞力更強的DDoS攻擊帶來可能。由于DDoS攻擊難于防御，又危害嚴重，所以如何有效的應(yīng)對DDoS攻擊早已成為所有安全廠商所需面對的嚴峻挑戰(zhàn)。
目前市面的抗D產(chǎn)品總類繁多，從防護手段上來說，可以分為近目的防護和近源防護兩類，而這兩大類相輔相成，又缺一不可。其中，近目的防護的代表為各大傳統(tǒng)安全廠商，漢柏便是其中之一，漢柏早在5年前就推出了抗拒絕服務(wù)系統(tǒng)。去年，漢柏更結(jié)合其自研的網(wǎng)絡(luò)分析設(shè)備Detector，流量清洗設(shè)備ADS、云腦平臺，提供了近目的防御的，基于威脅情報的DDoS解決方案。
近源防護的代表是中國電信的云堤產(chǎn)品，它的主要功能包括攻擊檢測、攻擊防護和分析溯源三大功能，具有全網(wǎng)覆蓋(含電信海外網(wǎng)絡(luò))、對大攻擊流量的全面客觀測度、近源防護，并可區(qū)分攻擊來向的流量壓制，防護能力上不封頂、全網(wǎng)1T的清洗容量、基于BGP anycast技術(shù)的近源攻擊流量牽引，秒級防護生效;覆蓋全網(wǎng)的準確攻擊溯源，用戶零操作，零設(shè)備部署。
今年年初，漢柏與電信網(wǎng)安強強聯(lián)合，簽署了戰(zhàn)略合作協(xié)議，漢柏基于威脅情報無極容量的抗D方案終于震撼問世。解決方案原理圖如下：
當無攻擊流量時，方案中涉及的產(chǎn)品默認均采用旁路部署模式，幾乎不對網(wǎng)絡(luò)產(chǎn)生影響。
當有攻擊流量時，流量分析設(shè)備（Detector）會將攻擊信息上報給云腦，云腦接收信息后，根據(jù)用戶配置的閾值或智能分析得出的推薦使用閾值，自動將攻擊流量引入對應(yīng)的漢柏ADS進行流量清洗，對應(yīng)關(guān)系可以靈活指定。漢柏ADS獨創(chuàng)了多核并行計算和多引擎負載分擔技術(shù)，充分發(fā)揮多核硬件平臺的強大并行處理優(yōu)勢。單臺漢柏ADS設(shè)備可清洗10Gbps DDoS流量。同時，漢柏DDoS利用聚合技術(shù)結(jié)合自研集群協(xié)議而形成的“多虛一”虛擬化集成技術(shù)，可將多臺防火墻虛擬成一臺防火墻，讓多個設(shè)備集群起來工作，將多臺防火墻虛擬成一臺性能卓越的超級防火墻技術(shù)，解決了單臺設(shè)備的瓶頸問題，多機集群可清洗500Gbps DDoS流量。
當攻擊流量比例太大造成用戶帶寬占用過多，正常請求無法進入服務(wù)器網(wǎng)絡(luò)時，云腦會提前啟警，根據(jù)攻擊流量情況，提示開啟云禹服務(wù)。漢柏云禹服務(wù)提供了電信云堤的流量壓制服務(wù)。電信云堤流量壓制作為運營商級的防護服務(wù)，其突出優(yōu)勢是“近源防護”的概念。云堤的近源流量壓制利用了很多BGP核心功能，如Anycast/虛擬下一跳/FlowSpec進行控制信令的全網(wǎng)散步，利用IP網(wǎng)核心路由器將攻擊流量進行可區(qū)分方向的丟棄、限速和其他QoS動作。云堤監(jiān)控分析電信全網(wǎng)的路由器的NetFlow數(shù)據(jù)，能夠準確的辨別一個攻擊的主要區(qū)域來向，可以判斷是從境外發(fā)起還是從國內(nèi)其他運營商發(fā)起，并定位發(fā)起點是哪一家運營商、哪一個城市甚至是IDC機房，從而調(diào)度IP承載網(wǎng)路由器和分布式部署的流量清洗設(shè)備將攻擊流量在“最靠近攻擊發(fā)起源”的網(wǎng)絡(luò)節(jié)點上對攻擊流量的進行清除，因此其攻擊防護能力理論上無限大。
云腦系統(tǒng)是方案中的IT運維管理中心。云腦作為一款基于大數(shù)據(jù)的高級安全威脅監(jiān)測和預(yù)測的安全分析平臺，通過高效的數(shù)據(jù)分析，針對性的對APT攻擊和下一代未知威脅進行監(jiān)測與預(yù)測；同時，分析結(jié)果與漢柏網(wǎng)絡(luò)安全系列產(chǎn)品、漢柏云管家等安管平臺智能聯(lián)動，并提供標準接口，可隨時遞交和查詢威脅信息，也是第三方威脅情報共享中心，讓分析結(jié)果及時送達并運用，構(gòu)建縱深防御體系。
云腦智能分析的結(jié)果，不僅可以提前預(yù)知風險，生成更合適的觸發(fā)閾值，使得DDoS攻擊的危害降到更低，而且因為可以同時與IDS、WAF等安全設(shè)備聯(lián)動，不僅是DDoS攻擊，其他的入侵行為也能一并進行防御，防御功能更全面。
漢柏云腦可同時管理多臺Detector和ADS設(shè)備，以及IDS、WAF等安全設(shè)備，整套方案的配置管理等操作均可在云腦上統(tǒng)一執(zhí)行，由云腦進行統(tǒng)一的策略下發(fā)和信息收集。形成的報表和流量異常情況都可在云腦上查看，相較于傳統(tǒng)的DDoS解決方案，大大降低了網(wǎng)管維護的復(fù)雜度。網(wǎng)管可根據(jù)業(yè)務(wù)的不同需求，動態(tài)設(shè)置引流的觸發(fā)條件，預(yù)置云禹服務(wù)的觸發(fā)條件。同時，云腦提供統(tǒng)一的API接口，可與其他廠商的安全設(shè)備做對接和管控。
方案可在云環(huán)境隨意遷移。漢柏順應(yīng)時代發(fā)展的要求，針對當前網(wǎng)絡(luò)大變革環(huán)境下的安全防護需求，立足于云安全。該方案中所涉及的產(chǎn)品能在如vm、漢柏OPV、kvm、Xen等多種Hypervisor系統(tǒng)上運行，不僅可基于網(wǎng)絡(luò)、應(yīng)用、用戶進行防護，還可基于云租戶、基于云主機配置細粒度的安全策略，安全策略可動態(tài)感知云環(huán)境變化，匹配到對應(yīng)的云租戶或云主機，充分滿足云計算環(huán)境下的DDoS防護要求。
聯(lián)系客服
