DDoS网络防御技术白皮书

合集下载

DPtech入侵防御系统DDoS防范技术白皮书概要

杭州迪普科技有限公司DPtech入侵防御系统DDoS防范技术白皮书防范技术白皮书1、概述1.1 背景从上世纪90年代到现在，DoS/DDoS 技术主要经历大约阶段：1) 技术发展时期。

90年代，Internet 开始普及，很多新的DoS 技术涌现。

技术，其中大多数技术至今仍然有效，且应用频度相当高，等等。

2) 从实验室向产业化转换2000年前后，DDoS 出现，Yahoo, Amazon等多个著名网站受到攻击并瘫痪，SQL slammer 等蠕虫造成的事件。

3) “商业时代”最近一两年，宽带的发展使得接入带宽增加，个人电脑性能大幅提高，使越频繁，可以说随处可见，而且也出现了更专业的、用于出租的攻击的威胁已经无处不在。

DDoS（分布式拒绝服务攻击）是产生大规模破坏的武器。

不像访问攻击穿透安全周边来窃取信息，DDoS攻击通过伪造的流量淹没服务器、网络链路和网络设备瘫痪来使得网络系统瘫痪。

1.2 DDoS攻击原理由于DDoS攻击往往采取合法的数据请求技术，再加上傀儡机器，造成最难防御的网络攻击之一。

据美国最新的安全损失调查报告，跃居第一。

DDoS攻击的一个致命趋势是使用复杂的欺骗技术和基本协议，不是采用可被阻断的非基本协议或高端口协议，非常难识别和防御，率的措施只是通过停止服务来简单停止攻击任务，但同时合法用户的请求也被拒绝，中断或服务质量的下降；DDoS事件的突发性，往往在很短的时就可使网络资源和服务资源消耗殆尽。

DDoS攻击主要是利用了Internet协议和Internet基本数据包到任意目的地。

DDoS 攻击分为两种：要么大数据，大流量来90年代末发明和研究过许多新的Ping of death, Smurf, SYN flooding, 还有 Codered, DDoS 攻击越来‘D DoS 攻击经济’。

可以说DDoS （路由器，防火墙等）DDoS攻击成为目前DDoS攻击所造成的经济损失已经如HTTP，Email等协议，而通常采用的包过滤或限制速造成业务的间内，大量的DDoS攻击数据——无偏差地从任何的源头传送压垮网络设备和服务器，要第1页共6页如优点杭州迪普科技有限公司么有意制造大量无法完成的不完全请求来快速耗尽服务器资源。

迪普防火墙技术白皮书（1）

迪普防⽕墙技术⽩⽪书（1）迪普FW1000系列防⽕墙技术⽩⽪书1概述随着⽹络技术的普及，⽹络攻击⾏为出现得越来越频繁。

通过各种攻击软件，只要具有⼀般计算机常识的初学者也能完成对⽹络的攻击。

各种⽹络病毒的泛滥，也加剧了⽹络被攻击的危险。

⽬前，Internet⽹络上常见的安全威胁分为以下⼏类：⾮法使⽤：资源被未授权的⽤户（也可以称为⾮法⽤户）或以未授权⽅式（⾮法权限）使⽤。

例如，攻击者通过猜测帐号和密码的组合，从⽽进⼊计算机系统以⾮法使⽤资源。

拒绝服务：服务器拒绝合法⽤户正常访问信息或资源的请求。

例如，攻击者短时间内使⽤⼤量数据包或畸形报⽂向服务器不断发起连接或请求回应，致使服务器负荷过重⽽不能处理合法任务。

信息盗窃：攻击者并不直接⼊侵⽬标系统，⽽是通过窃听⽹络来获取重要数据或信息。

数据篡改：攻击者对系统数据或消息流进⾏有选择的修改、删除、延误、重排序及插⼊虚假消息等操作，⽽使数据的⼀致性被破坏。

基于⽹络协议的防⽕墙不能阻⽌各种攻击⼯具更加⾼层的攻击⽹络中⼤量的低安全性家庭主机成为攻击者或者蠕⾍病毒的被控攻击主机被攻克的服务器也成为辅助攻击者Internet⽌⽕灾蔓延的隔断墙，Internet防⽕墙是⼀个或⼀组实施访问控制策略的系统，它监控可信任⽹络（相当于内部⽹络）和不可信任⽹络（相当于外部⽹络）之间的访问通道，以防⽌外部⽹络的危险蔓延到内部⽹络上。

防⽕墙作⽤于被保护区域的⼊⼝处，基于访问控制策略提供安全防护。

例如：当防⽕墙位于内部⽹络和外部⽹络的连接处时，可以保护组织内的⽹络和数据免遭来⾃外部⽹络的⾮法访问（未授权或未验证的访问）或恶意攻击；当防⽕墙位于组织内部相对开放的⽹段或⽐较敏感的⽹段（如保存敏感或专有数据的⽹络部分）的连接处时，可以根据需要过滤对敏感数据的访问（即使该访问是来⾃组织内部）。

防⽕墙技术经历了包过滤防⽕墙、代理防⽕墙、状态防⽕墙的技术演变，但是随着各种基于不安全应⽤的攻击增多以及⽹络蠕⾍病毒的泛滥，传统防⽕墙⾯临更加艰巨的任务，不但需要防护传统的基于⽹络层的协议攻击，⽽且需要处理更加⾼层的应⽤数据，对应⽤层的攻击进⾏防护。

产品说明&技术白皮书-天融信入侵防御系统产品说明

天融信网络入侵防御TopIDP系列产品说明天融信TOPSEC®北京市海淀区上地东路1号华控大厦100085电话：(86)10-82776666传真：(86)10-82776677服务热线：400-610-5119800-810-5119Http: //天融信网络入侵防御系统TopIDP系列产品说明1前言 (2)2网络入侵防御系概况 (2)2.1入侵防御系统与防火墙 (3)2.2入侵防御系统与IDS (3)3天融信网络入侵防御系统TOPIDP (3)3.1产品概述 (3)3.2T OP IDP体系架构 (4)3.3T OP IDP主要功能 (5)3.4天融信网络入侵防御系统T OP IDP特点 (6)3.4.1领先的多核SmartAMP并行处理架构 (6)3.4.2强大的攻击检测能力 (6)3.4.3精准的应用协议识别能力 (7)3.4.4实用的网络病毒检测功能 (8)3.4.5智能的上网行为监控和管理 (8)3.4.6立体的Web安全防护 (8)3.4.7先进的无线攻击防御能力 (9)3.4.8精确的QOS流量控制能力 (9)3.4.9灵活的自定义规则能力 (9)3.4.10丰富的网络部署方式 (9)3.4.11高可靠的业务保障能力 (10)3.4.12可视化的实时报表功能 (10)4天融信网络入侵防御系统TOPIDP部署方案 (11)4.1.1典型部署 (11)4.1.2内网部署 (12)4.1.3IDP.VS.IDS混合部署 (13)4.1.4WIPS旁路部署 (14)5结论 (15)1前言随着计算机网络与信息化技术的高速发展，越来越多的企业、政府构建了自己的互联网络信息化系统，互联网络已成为人们生活中必不可缺的工具，在网络带来高效和快捷的同时，网络安全形势也从早期的随意性攻击，逐步走向了以政治或经济利益为主的攻击；攻击的手段从早期简单的扫描、暴力破解逐步过渡到通过缓冲区溢出、蠕虫病毒、木马后门、间谍软件、SQL注入、DOS/DDoS等各种混合手段攻击；攻击的层面也从网络层，传输层转换到高级别的网络应用层面；而很多黑客攻击行为也由单个个体转变到有组织的群体攻击行为上，其攻击行为有明显的政治或经济诉求目的，给政府、企业的网络信息业务系统安全造成极大隐患。

Hillstone 入侵防御白皮书

Hillstone山石网科入侵防御白皮书Hillstone山石网科入侵防御白皮书1. 概述互联网的发展趋势表明：1. 网络攻击正逐渐从简单的网络层攻击向应用层转变，单纯的防火墙功能已经不能满足当下应用安全的需求。

旁路的入侵检测方式又不能满足对攻击源实时屏蔽的需求，与防火墙联动的入侵检测一直没有标准的联动协议来支撑。

入侵检测解决方案正在被入侵防御取代。

2. 安全漏洞、安全隐患的发生似乎是不可避免的，互联网的应用和业务却正在爆炸式的增长。

应用类型在增加，应用特征却更复杂，比如现在有很多应用都是基于HTTP等基础协议，让传统基于端口来识别应用的入侵防御解决方案已经不能适用。

如何识别出这些新的应用，从而去检测防御针对这些应用的攻击，是新一代入侵检测网关需要解决的问题。

3. 网络带宽在增加，应用类型在增加，应用协议在复杂化，攻击类型在增加，攻击方式在隐蔽化。

传统入侵防御设备受限于自身处理能力，已经不能胜任这样的趋势，如何去进行深度应用分析、深度攻击原理分析，也许所有的厂家都知道简单的攻击特征匹配已经不能满足时下用户对入侵防御漏判误判的要求，却受限与设备自身的处理能力，从而误判漏判的行为时有发生。

Hillstone山石网科的入侵防御是基于多核plus® G2架构、全并行的流检测引擎和基于攻击原理的入侵防御检测引擎。

基于多核plus®G2的安全架提供了高性能的入侵防御解决发难，并为入侵防御需要的深度应用分析和攻击原理分析提供了强劲的处理能力。

全并行流检测引擎则使用较少的系统资源，并且在并行扫描会话和开启其他多项应用处理功能提供了高可用性。

基于攻击原理的入侵防御有助于提高攻击检测率和降低攻击误判率。

Hillstone山石网科入侵防御解决方案具有以下特性：●基于深度应用识别，积极防范复杂应用攻击●基于多核Plus® G2构架满足深度应用分析、入侵防御功能的高CPU和高内存资源需求●基于深度应用原理、攻击原理的入侵防御解决方案●支持HTTP、FTP、SMTP、IMAP、POP3、TELNET、TCP、UDP、DNS、RPC、Hillstone山石网科入侵防御白皮书FINGER、MSSQL、ORACLE、NNTP、DHCP、LDAP、VOIP、NETBOIS、TFTP等多种常见的应用和协议的攻击防护。

绿盟网络入侵防护系统产品白皮书

任何个人、机构未经绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录一. 前言 (2)二. 为什么需要入侵防护系统 (2)2.1防火墙的局限 (3)2.2入侵检测系统的不足 (3)2.3入侵防护系统的特点 (3)三. 如何评价入侵防护系统 (4)四. 绿盟网络入侵防护系统 (4)4.1体系结构 (5)4.2主要功能 (5)4.3产品特点 (6)4.3.1 多种技术融合的入侵检测机制 (6)4.3.2 2~7层深度入侵防护能力 (8)4.3.3 强大的防火墙功能 (9)4.3.4 先进的Web威胁抵御能力 (9)4.3.5 灵活高效的病毒防御能力 (10)4.3.6 基于对象的虚拟系统 (10)4.3.7 基于应用的流量管理 (11)4.3.8 实用的上网行为管理 (11)4.3.9 灵活的组网方式 (11)4.3.10 强大的管理能力 (12)4.3.11 完善的报表系统 (13)4.3.12 完备的高可用性 (13)4.3.13 丰富的响应方式 (14)4.3.14 高可靠的自身安全性 (14)4.4解决方案 (15)4.4.1 多链路防护解决方案 (15)4.4.2 交换防护解决方案 (16)4.4.3 路由防护解决方案 (16)4.4.4 混合防护解决方案 (17)五. 结论 (18)一. 前言随着网络与信息技术的发展，尤其是互联网的广泛普及和应用，网络正逐步改变着人类的生活和工作方式。

越来越多的政府、企业组织建立了依赖于网络的业务信息系统，比如电子政务、电子商务、网上银行、网络办公等，对社会的各行各业产生了巨大深远的影响，信息安全的重要性也在不断提升。

近年来，企业所面临的安全问题越来越复杂，安全威胁正在飞速增长，尤其混合威胁的风险，如黑客攻击、蠕虫病毒、木马后门、间谍软件、僵尸网络、DDoS攻击、垃圾邮件、网络资源滥用（P2P下载、IM即时通讯、网游、视频）等，极大地困扰着用户，给企业的信息网络造成严重的破坏。

信息安全白皮书

信息安全白皮书摘要：本白皮书旨在探讨信息安全领域的重要性，并提供一些关键性的观点和建议，以帮助组织和个人保护其信息资产免受各种威胁。

首先，我们将介绍信息安全的定义和范围，随后讨论当前面临的主要威胁和挑战。

接下来，我们将提供一些信息安全的最佳实践和策略，以及一些技术解决方案。

最后，我们将强调持续的教育和培训的重要性，以确保信息安全意识的普及和提高。

1. 引言信息安全是指保护信息资产免受未经授权的访问、使用、披露、破坏、修改或泄露的过程。

在当今数字化时代，信息安全已成为组织和个人不可或缺的重要组成部分。

随着互联网的普及和技术的不断发展，信息安全面临着越来越多的威胁和挑战。

2. 当前的威胁和挑战在信息安全领域，我们面临着各种各样的威胁和挑战。

其中包括：- 黑客攻击：黑客通过网络攻击和渗透技术，获取未经授权的访问权限，窃取敏感信息或破坏系统。

- 恶意软件：恶意软件如病毒、蠕虫和木马程序，可以破坏计算机系统、窃取敏感信息或进行其他不良行为。

- 社会工程学：攻击者利用心理学和社交工程学技巧，通过欺骗和误导来获取信息或访问权限。

- 数据泄露：未经授权的信息披露可能导致个人隐私泄露、金融损失或声誉受损。

- 供应链攻击：攻击者通过渗透供应链，将恶意代码或后门引入软件或硬件产品中，从而获取对系统的控制权。

3. 信息安全的最佳实践和策略为了有效保护信息资产，以下是一些信息安全的最佳实践和策略：- 制定和实施安全政策：组织应该制定明确的安全政策，并确保其被全体员工遵守。

安全政策应涵盖访问控制、密码管理、数据备份等方面。

- 加强身份验证：采用多因素身份验证，如密码加令牌、生物识别等，以提高访问控制的安全性。

- 加密敏感数据：对敏感数据进行加密，以防止未经授权的访问或泄露。

- 定期更新和维护系统：及时应用安全补丁、更新防病毒软件和防火墙等，以确保系统的安全性。

- 建立灾备和业务连续性计划：制定并测试灾备和业务连续性计划，以应对突发事件和数据丢失。

网络安全技术白皮书范本

网络安全技术白皮书范本技术白皮书目录第一部分公司简介6第二部分网络安全的背景6第一章网络安全的定义6第二章产生网络安全问题的几个方面72．1 信息安全特性概述72. 2 信息网络安全技术的发展滞后于信息网络技术。

72．3TCP/IP协议未考虑安全性72．4操作系统本身的安全性82．5未能对来自Internet的邮件夹带的病毒及Web浏览可能存在的恶意Java/ActiveX控件进行有效控制82．6忽略了来自内部网用户的安全威胁82．7缺乏有效的手段监视、评估网络系统的安全性82．8使用者缺乏安全意识，许多应用服务系统在访问控制及安全通信方面考虑较少，并且，如果系统设置错误，很容易造成损失8第三章网络与信息安全防范体系模型以及对安全的应对措施83．1信息与网络系统的安全管理模型93.2 网络与信息安全防范体系设计93.2.1 网络与信息安全防范体系模型93.2.1.1 安全管理93.2.1.2 预警93.2.1.3 攻击防范93.2.1.4 攻击检测103.2.1.5 应急响应103.2.1.6 恢复103.2.2 网络与信息安全防范体系模型流程103.2.3 网络与信息安全防范体系模型各子部分介绍 113.2.3.1 安全服务器113.2.3.2 预警123.2.3.3 网络防火墙123.2.3.4 系统漏洞检测与安全评估软件133.2.3.5 病毒防范133.2.3.6 VPN 132.3.7 PKI 143.2.3.8 入侵检测143.2.3.9 日志取证系统143.2.3.10 应急响应与事故恢复143.2.4 各子部分之间的关系及接口15第三部分相关网络安全产品和功能16第一章防火墙161.1防火墙的概念及作用161.2防火墙的任务171.3防火墙术语181.4用户在选购防火墙的会注意的问题：21 1.5防火墙的一些参数指标231.6防火墙功能指标详解231.7防火墙的局限性281.8防火墙技术发展方向28第二章防病毒软件332．1病毒是什么332．2病毒的特征342．3病毒术语352．4病毒的发展的趋势372．5病毒入侵渠道382．6防病毒软件的重要指标402．7防病毒软件的选购41第三章入侵检测系统（IDS）423.1入侵检测含义423.2入侵检测的处理步骤433.3入侵检测功能463.4入侵检测系统分类 483.5入侵检测系统技术发展经历了四个阶段 483.6入侵检测系统的缺点和发展方向 49第四章VPN（虚拟专用网）系统494.1 VPN基本概念494.2 VPN产生的背景494.3 VPN的优点和缺点50第五章安全审计系统505.1、安全审计的概念505.2：安全审计的重要性505.3、审计系统的功能特点50第六章漏洞扫描系统516.1网络漏洞扫描评估系统的作用516.2 网络漏洞扫描系统选购的注意事项：1、是否通过国家的各种认证目前国家对安全产品进行认证工作的权威部门包括公安部信息安全产品测评中心、国家信息安全产品测评中心、解放军安全产品测评中心、国家保密局测评认证中心。

天融信网络卫士入侵防御IDP系列产品白皮书

天融信产品白皮书网络卫士入侵防御系统 TopIDP系列网络卫士入侵防御系统 TopIDP天融信公司为了满足市场上用户对入侵防御产品的需求，推出了“网络卫士入侵防御系统TopIDP”。

它是基于新一代并行处理技术开发的网络入侵防御系统，通过设置检测与阻断策略对流经TopIDP的网络流量进行分析过滤，并对异常及可疑流量进行积极阻断，同时向管理员通报攻击信息，从而提供对网络系统内部IT资源的安全保护。

TopIDP采用天融信自主研发的TOS操作系统和多核处理器的硬件平台，保证了TopIDP 产品更高性能地对网络入侵进行防护。

TopIDP能够阻断各种非法攻击行为，比如利用薄弱点进行的直接攻击和增加网络流量负荷造成网络环境恶化的DoS攻击等。

入侵防御策略库随时防护目前业内最流行的入侵攻击行为。

与现在市场上的入侵防御系统相比，TopIDP系列入侵防御系统具有更高的性能、更细的安全控制粒度、更深的内容攻击防御、更大的功能扩展空间、更丰富的服务和协议支持，代表了最新的网络安全设备和解决方案发展方向，堪称网络入侵检测和防御系统的典范。

强大的高性能多核并行处理架构TopIDP产品采用了先进的多核处理器硬件平台，将并行处理技术成功地融入到天融信自主知识产权操作系统TOS（Topsec Operating System）系统，集成多项发明专利，形成了先进的多核并发运算的架构技术体系。

在此基础上的TopIDP产品具有高速的数据并行检测处理和转发能力，能够胜任高速网络的安全防护要求。

图1 多核CPU内部运算示意图●精确的基于目标系统的流重组检测引擎传统的基于单个数据包检测的入侵防御产品无法有效抵御TCP流分段重叠的攻击，任何一个攻击行为通过简单的TCP流分段组合即可轻松穿透这种引擎，在受保护的目标服务器主机上形成真正的攻击。

TopIDP产品采用了先进的基于目标系统的流重组检测引擎，首先对到达的TCP数据包按照其目标服务器主机的操作系统类型进行流重组，然后对重组后的完整数据进行攻击检测，从而从根源上彻底阻断了TCP流分段重叠攻击行为。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

DdoS网络防御技术白皮书
关键词：DDoS攻击，DDoS防御，流量学习，阈值调整，检测防护
摘要：本文描述了DDoS攻击分类及传统防御的不足，重点介绍了H3C DDoS防御的技术原理和典型组网。

缩略语：
目录
1 概述 (3)
1.1 DDoS攻击介绍 (3)
1.2 DDoS攻击分析 (3)
1.3 传统的DDoS防御的不足 (4)
2 H3C DDoS防御技术 (4)
2.1 H3C DDoS防御的架构 (4)
2.2 H3C DDoS防御的工作过程 (6)
2.3 H3C DDoS防御的技术特色 (7)
3 典型组网 (7)
4 总结和展望 (8)
1 概述
1.1 DDoS攻击介绍
DDoS攻击是在DoS攻击基础之上产生的一类攻击方式。

单一的DoS攻击一般是采
用一对一方式进行，而DDoS则可以利用网络上已被攻陷的计算机作为“僵尸”主
机针对特定目标进行攻击。

所谓“僵尸”主机即感染了僵尸程序（即实现恶意控制
功能的程序代码）的主机，这些主机可以被控制者远程控制来发动攻击。

在僵尸主
机量非常大情况下（如10万甚至更多），可以发动大规模DDoS攻击，其产生的破
坏力是惊人的。

1.2 DDoS攻击分析
在网络中，数据包利用TCP/IP协议在Internet传输，数据包本身是无害的，但是数
据包过多，就会造成网络设备或者服务器过载；或者攻击者利用某些协议或者应用
的缺陷，人为构造不完整或畸形的数据包，也会造成网络设备或服务器服务处理时
间长而消耗过多系统资源，从而无法响应正常的业务。

DDoS攻击之所以难于防御，是因为非法流量和正常流量是相互混杂的。

非法流量
与正常流量没有区别，且非法流量没有固定的特征，无法通过特征库方式识别。

同
时，许多DDoS攻击都采用了源地址欺骗技术，使用伪造的源IP地址发送报文，从
而能够躲避基于异常模式工具的识别。

通常，DDoS攻击主要分为以下两种类型：
1. 带宽型攻击
通常，被攻击的路由器、服务器和防火墙的处理资源都是有限的。

而带宽型DDoS
攻击通过发送海量的、看似合法的数据包，造成网络带宽或者设备资源耗尽，从而
使正常服务被拒绝。

2. 应用型攻击
应用型DDoS攻击利用诸如TCP、HTTP协议的某些特征，通过不断消耗被攻击设
备的有限资源，导致被攻击设备无法处理正常的访问请求。

比如HTTP半连接攻击
和HTTP Error攻击就是该类型的攻击。

随着代理的出现，应用型攻击的危害也越来
越大。

1.3 传统的DDoS防御的不足
传统的DDoS防御主要是采用为各种不同的攻击行为设置网络流量阈值的方式，这
种DDoS防御方式有以下几点不足：
•配置复杂，自动化不强。

传统DDoS 防御一般要求用户针对某种流量配置相应的阈值，如果对网络及其流量没有清楚的了解，用户很难做出正确的配
置。

并且，这种用户指定阈值的防御方式也无法根据网络流量的变化动态的
对防御规则进行调整。

•防御能力比较单一。

目前DDoS 攻击的趋势是多层次和全方位的。

在一次攻击过程中，会产生针对半连接的SYN Flood、UDP Flood 和ICMP Flood，
针对连接的TCP Connection Flood，以及针对应用层协议的HTTP Get
Flood、HTTP Put Flood 等多种攻击。

而传统DDoS 防御主要针对SYN
Flood 等单一攻击类型，无法应对这种多层次、全方位的攻击，防御能力比
较单一。

•无法应对未知的攻击。

随着DDoS 攻击工具源代码在网上散播，攻击者可以很容易改变DDoS 攻击的报文类型，形成DDoS 攻击的变体。

而传统DDoS
防御主要针对已知DDoS 攻击，对未知的DDoS 攻击变体无法进行防御。

2 H3C DDoS防御技术
2.1 H3C DDoS防御的架构
H3C采用智能的自适应多层次防御架构对DDoS攻击进行检测和防御。

该架构采用
验证、分析等方法标识出可疑流量，并针对可疑流量做一系列的验证和防御。

图1 H3C DDoS防御架构
如图1所示，H3C DDoS防御架构主要分为以下几个模块：
1. 过滤规则模块
过滤规则包括静态过滤规则和动态过滤规则：静态过滤规则是由用户手动配置的；动态过滤规则是由异常流量识别模块和异常应用识别模块通过流量统计、行为分析等方法发现可疑流量后动态添加的。

过滤规则模块根据过滤规则对流量进行过滤，将已经确定是攻击的流量进行阻断；将可疑的流量交给动态验证模块进行动态验证。

2. 动态验证模块
动态验证模块采用各种方法对通过过滤规则模块的流量进行动态验证，阻止源地址欺骗的报文通过。

所采用的动态验证方法例如：针对HTTP请求采用HTTP重定向方法；针对DNS请求采用DNS重定向方法。

3. 异常流量识别模块
异常流量识别模块对通过过滤规则模块和动态验证模块的流量进行统计，并与已经获得的学习流量基线进行比较。

如果超出，则生成动态过滤规则，从而使过滤规则模块根据生成的动态过滤规则对后续流量进行过滤。

学习流量基线是指保护对象在正常业务运行状态下的流量信息模型。

如果网络流量
超出学习流量基线，则说明网络中可能存在异常，需要对其进行验证和确认。

4. 应用异常识别模块
应用异常识别模块针对不同的应用协议，对通过过滤规则模块和动态验证模块的应
用层流量（如HTTP Error攻击等）进行深入分析。

如果发现有异常流量，则生成动
态过滤规则，从而使过滤规则模块根据生成的动态过滤规则对后续流量进行过滤。

5. 带宽控制模块
各种流量如果通过了上述模块，表明数据报文是正常的，但仍有可能出现流量过大
导致保护对象过载的情况。

通过带宽控制模块，可以对要流入保护对象的流量进行
带宽限制，保证保护对象不会过载。

2.2 H3C DDoS防御的工作过程
在实际工作时，DDoS防御架构是分成如下几个阶段来实现DDoS防御的。

•流量学习阶段：在保护对象正常工作的状态下，根据系统内置的各种流量检测参数进行流量的学习和统计，并形成学习流量基线，作为后续检测防护的
标准。

•阈值调整阶段：根据系统内置的各种流量检测参数重新进行流量的学习和统计，并通过特定的算法与流量学习阶段获得的学习流量基线进行融合，从而
获得新的学习流量基线。

•检测防护阶段：对网络流量进行各种统计和分析，并与学习流量基线进行比较。

如果发现存在异常，则生成动态过滤规则对网络流量进行过滤和验证，
如验证源IP 地址的合法性、对异常的流量进行丢弃，从而实现对DDoS 攻击
的防御。

阈值调整阶段和检测防护阶段可以一直持续并相互配合，实现了一个闭环的动态阈
值学习和防护的过程。

这样，系统在对保护对象进行检测防护的过程中，就可以自
动学习流量、调整阈值，以适应网络流量的变化情况。

2.3 H3C DDoS防御的技术特色
•实现了全覆盖DDoS 防御。

可以防御如IP 层的IP 碎片攻击、TCP 层的TCP 半连接攻击、应用层的HTTP 空连接攻击、HTTP Get Flood 等DDoS 攻
击。

•支持对未知DDoS 攻击的防御。

H3C 的DDoS 防御技术将实时流量统计的结果与学习流量基线进行比较，对于超出学习流量基线的异常流量都可以进行
标识和防御。

•针对不同的应用协议采用不同的攻击防御方式。

例如：针对Spoof 采用SYN Cookie 进行验证和防御；针对HTTP 采用HTTP 重定向进行验证和防御。

•采用通用的基于网络流量模型构建流量统计方法，扩展性好。

•支持动态的自动流量学习，以及根据用户网络动态的进行防御规则调整，简化了用户配置，解决了由于客户无法细致了解网络流量情况而导致无法正确
配置阈值的问题。

3 典型组网
不同位置的DDoS防御部署如图2所示。

分支机构
CRM OA 分支机构
分支机构
ERP
IPS 2 IPS 1
IPS 3
IPS 6
Web
IPS 4
IPS 5
DMZ
POP3
SMTP
图2 不同位置的DDoS防御部署
•IPS 1：IPS 部署在广域网边界，用于防御来自Internet 以及分支机构的DDoS 攻击。

•IPS 2：IPS 部署在数据中心，用于防御来自Internet 以及内网的DDoS 攻击，保护核心服务器和核心数据。

•IPS 3 ～IPS 5 ：IPS 部署在内部局域网段之间，用于防御来自内网的DDoS/DoS 攻击。

•IPS 6：IPS 部署在Internet 边界，放在防火墙和Web 服务器、邮件服务器等之间，用于防御来自Internet 的DDoS/DoS 攻击。

4 总结和展望
H3C根据对已有的DDoS攻击分析、归类、抽象、提炼，研发出一套行之有效的
DDoS防御方法，能够应对目前已知的和大部分未知的DDoS攻击。

同时，由于
DDoS攻击工具和攻击方式也在不断的发展变化中，H3C将持续跟踪分析DDoS攻
击的新工具和新方法，为用户提供更高效的解决方案。

全文完。