DDoS攻击防御方案

DDoS攻击威胁现状

　　对于DDoS攻击，有多种分类方式，例如流量型DDoS攻击（如SYN Flood、UDP Flood、ICMP Flood、ACK Flood等）、应用层的DDoS攻击（如Http Get Flood、连接耗尽、CC等）、慢速DDoS攻击以及基于漏洞的DDoS攻击。其中，最难应对的是分布式放大型DDoS攻击，对于此类攻击，从被攻击者的角度看，所有数据包都是正常的，但数量是海量的，一般可以达到300G—2T，且随着宽带网络时代的来临，发生的几率越来越高。

　　对于企业用户的服务器，其通常部署在电信运营商的IDC中心，并租用电信运营商的100/1000M、10G链路接入互联网。类似的，对于电信运营商的自有系统，一般也是采用100/1000Mbps链路接入互联网的。总之，相对于流量超过300G的DDoS攻击来说，用户网络接入带宽是非常小的。

　　更多的DDoS攻击态势，请参考 2014H1 DDoS报告：政府网站依然是最主要的攻击对象

　　现有异常流量清洗方案及其不足

　　传统方案不足以支持40GDDoS攻击流量

　　DDoS攻击的对象是客户的业务服务器，这些业务服务器通常位于运营商的IDC中心，或者企业自建网络中。传统的异常流量清洗设备是近业务主机部署的，由于建设主体不同，通常由异常流量监测设备、异常流量清洗设备组成，那么方案不足：

　　1、 异常流量清洗设备的清洗能力一般在20G或者40G（采用异常流量清洗设备集群方式实现）以下，对于高出清洗能力的DDoS攻击，仍将使服务中断或服务水平下降；

　　2、 即使攻击流量在20G以下，由于攻击流量占用了大量带宽，仍将使服务水平下降，用户体验降低；

　　3、 无法防御来自内部（从下至上流量，在异常流量清洗设备防护范围之外）的DDoS攻击。

　　一味的追求高性能方案，又导致服务能力下降

　　对于传统的异常流量清洗方案，其最大的短板在设备的清洗能力不足，于是最先想到的是提高攻击流量清洗能力。又由于业务服务器的网络接入链路带宽及接入路由器处理能力有限，所以异常流量清洗系统的部署位置需要往上移动，通常在省干出口路由器上部署流量清洗设备（当然，也可以将异常流量清洗设备部署在城域网路由器上，但这种方案在同等防护能力的情况下，将使用更多的设备，投资更高）。方案不足：

　　1、 无法处理200G之上流量的DDoS攻击；

　　2、 无法防护来自城域网（自下向上，在异常流量清洗设备防护范围之外）的DDoS攻击；

　　3、 在电信运营商的骨干网上具有大量的无用的DDoS攻击流量，浪费了宝贵的骨干网带宽和设备处理能力，造成网络服务水平下降；

　　4、 防护设备价格高，方案性价比低。

　　大流量DDoS攻击清洗方案

　　从DDoS攻击的趋势看，未来DDoS攻击的流量约来越大，如果仅仅采用近业务主机的异常流量清洗方案，即使防护设备能力再高，也无法赶上DDoS攻击流量的增长，无法满足防护要求。而采用近源清洗的方式，将异常流量清洗设备分散部署在靠近攻击源的位置，每个清洗设备只清洗一部分，综合起来，就具有了巨量的异常流量清洗能力，且其防护能力具有非常好的弹性，不仅可以满足现在的需要，还可以满足抵御更高的大流量DDoS攻击的需要。

　　实现异常流量清洗需要检测和清洗能力的结合，如果只采用近源流量清洗的方式，由于攻击流量小，告警阀值低，容易产生误判和漏判的问题。因此我们的总体设计思路如下：

　　采用检测和清洗能力分离的方式。从提高检测灵敏度和经济性的角度考虑，尽可能将检测设备靠近业务主机部署，或者在核心网进行检测。而对于清洗设备来说，尽量多的靠近攻击源进行部署。

　　近源和近业务主机清洗方式相结合。通过近源部署清洗设备的方式，可以获得非常大的异常流量清洗能力和弹性，同时也可以降低成本。但是，如果每个异常流量清洗点漏洗一部分攻击流量，比如说开启流量清洗动作阀值下的流量，这些流量汇聚到业务主机，也就形成了DDoS攻击，因此还需要近业务主机部署清洗设备，以处理这种情况。

　　双向异常流量清洗。对于某些网络接入点或网络区域的业务主机来说，其可能会受到外部的DDoS攻击，同时其也会向外发送DDoS攻击数据，且这两种情况可能同时发生，因此需要进行双向异常流量清洗。

　　统一管理和协同。对于一次具体的大流量DDoS攻击来说，一旦检测设备检测到攻击，就需要按需调动相应的清洗设备按照统一的策略进行异常流量清洗，因此需要对所有清洗设备进行统一管理，做好动作协同。

　　另外，为了减少误判、漏判的发生，需要将异常流量检测设备的检测数据汇聚起来，进行筛选、比对和分析，提高检测准确率，减少漏报率，并能够根据攻击来源，明确需要调动的清洗设备。

　　关键技术实现分析

　　本方案主要包括攻击流量检测部分、异常流量清洗部分和管理平台三部分。对于攻击流量检测部分，相比于前面的方案区别不大，这里重点说明其他两部分。

　　管理平台部分。管理平台收到流量检测数据后，需要进行汇总、筛选和分析，一旦判断出异常流量攻击，就可以启动异常流量清洗策略生成和调度动作，此时需要明确1）攻击来源区域，以确定需要调动的清洗设备；对此，可以采用相应的攻击溯源系统实现，或者基于IP地址库通过分析攻击数据源IP地址实现；2）具体设备的清洗策略。从实现角度讲，主要分为近源清洗策略和近业务主机清洗策略，需要根据具体清洗设备的部署位置分配不同的清洗策略。

　　异常流量清洗部分。不同于前面的异常流量清洗设备，本方案中的的清洗设备需要具备双向流量清洗能力。从实现原理上讲，一旦流量清洗设备接收到相应的清洗请求，就可以根据策略进行流量牵引，经过清洗后，近源清洗设备可以把干净的流量向上（向核心网）进行回注，而近业务主机清洗设备可以把干净的流量向下（向业务主机）进行回注。

　　部署方案

　　对于电信运营商来说，其DDoS攻击来源主要包括：

　　本地城域网家庭终端

　　本地移动互联网智能手机终端

　　IDC中心的业务主机

　　本地网内的自有业务主机

　　国内互联网络入口

　　国际互联网络入口

　　对于异常流量检测设备，可以部署在可以各省干出口路由器、IDC中心出口路由器、本地网内自有业务主机出口路由器的位置，实现对全网攻击流量的检测。

　　对于异常流量清洗设备，可以旁挂在靠近攻击源的路由器上，比如IDC出口路由器、城域网出口路由器、分组核心网出口路由器、自有业务网络出口路由器、国内或国际互联接口路由器等等。具体部署位置可以根据网络的不同情况进行调整。

　　另外，在网内部署一台安全管理平台，实现和所有攻击流量检测设备、攻击流量清洗设备互连即可，部署位置不限。

　　攻击防护过程说明

　　为了简化，我们以北京、上海、广州三地IDC中心进行协同防护为例进行说明。系统防护方案简要示意图如下。

　　图3 系统防护简要示意图

　　现在，假设上海IDC中心的服务器受到了大流量DDoS攻击，其防护过程如下。

　　1、 攻击检测   当发生DDoS攻击时，在核心网内部、IDC中心出口部署的攻击流量监测设备将实时采集的Netflow数据送到安全管理平台，安全管理平台通过汇聚分析，判断发生了DDoS攻击后，将根据攻击源IP地址信息，明确攻击来源的省份和接入点，这里假设包括来自北京、广州的IDC中心。

　　明确了攻击来源省份和接入点的信息后，安全管理平台将向北京、广州IDC中心的流量清洗设备下发近源流量清洗策略，同时向上海IDC中心的流量清洗设备下发近业务主机流量清洗策略。

　　2、 攻击防护   北京、广州IDC中心部署的流量清洗设备收到启动清洗策略的命令后，将基于被攻击的上海IDC中心业务主机IP地址进行流量牵引，将所有目的地址为受攻击IP的流量牵引到流量清洗设备上，进行清洗后，回注到IDC中心出口路由器上，并向上进行转发。

　　当包含剩余部分攻击流量的数据包到达上海IDC时，此处的异常流量清洗设备将根据收到的流量清洗策略，将所有目的地址为攻击IP的流量牵引到流量清洗设备上，进行清洗后，把干净的流量回注到IDC中心的接入路由器上，向下转发给业务主机，从而实现对攻击流量的彻底清洗。

　　绿盟科技DDoS攻击防御方案

　　采用本文讨论的大流量DDoS攻击防护方案，将使电信运营商获得弹性的、大流量DDoS攻击防护的能力，且可以充分利用已采购的安全防护设备，节省投资。另外，还大幅减少了骨干网上的异常流量，降低无谓的带宽损耗。

　　随着大流量DDoS攻击的流行，IDC中心租户自建的DDoS防护设备已不能满足防护要求，电信运营商可以依赖这一弹性的、大流量DDoS攻击防护能力为IDC中心租户提供抗DDoS攻击防护增值服务，从而获得额外的经济收益。

    文章来源：http://gnaw0725.blog.51cto.com/156601/1595770