從源頭防御DDoS攻擊 上海聯(lián)通與華為聯(lián)手共建“云清洗”

責(zé)任編輯:editor004

2014-10-17 21:48:55

摘自:CNET科技資訊網(wǎng)

近年來(lái),越來(lái)越頻繁的DDoS攻擊,給海內(nèi)外的運(yùn)營(yíng)商和企業(yè)業(yè)務(wù)帶來(lái)巨大安全挑戰(zhàn)。魏尚俊回憶,在一次客戶參與的攻防演練中,客戶故意在2G的流量中混合了2M的攻擊流量,云清洗居然能快速響應(yīng)、精準(zhǔn)清洗,客戶都為此信服不已。

近年來(lái),越來(lái)越頻繁的DDoS攻擊,給海內(nèi)外的運(yùn)營(yíng)商和企業(yè)業(yè)務(wù)帶來(lái)巨大安全挑戰(zhàn)。最嚴(yán)重的一次在2013年3月,歐洲遭遇史上最大DDoS攻擊,達(dá)300Gbps。然而,傳統(tǒng)的“引流回注”清洗方案已無(wú)法抵御,帶著300G的攻擊流量在整個(gè)歐洲網(wǎng)絡(luò)中穿行尋找清洗點(diǎn), 最后導(dǎo)致整個(gè)歐洲的運(yùn)營(yíng)商網(wǎng)絡(luò)的擁塞。

在這件安全事故里,中國(guó)也未能幸免。數(shù)據(jù)顯示,上海聯(lián)通服務(wù)的企業(yè)客戶超47000家,攻擊造成的業(yè)務(wù)中斷將給企業(yè)帶來(lái)巨大經(jīng)濟(jì)損失。因此,為了杜絕類(lèi)似事件,上海聯(lián)通選擇與華為合作,打造“云清洗”服務(wù)產(chǎn)品,突破傳統(tǒng)“引流回注”清洗方案,從源頭防御DDoS攻擊。

打破傳統(tǒng)方案 三把刃劍護(hù)航

DDoS云清洗服務(wù)產(chǎn)品采用華為基于SDN技術(shù)的Anti-DDoS云清洗方案,不同于傳統(tǒng)的“引流回注”清洗方案,它無(wú)需帶著攻擊流量在整個(gè)網(wǎng)絡(luò)中穿行,而是利用SDN感知方式進(jìn)行最優(yōu)資源調(diào)度,從攻擊源頭上防御DDoS。

上海聯(lián)通產(chǎn)品管理中心產(chǎn)品總監(jiān)魏尚俊指出,上海聯(lián)通在與華為構(gòu)建云清洗方案時(shí),看中了三點(diǎn):第一是高容量,上海聯(lián)通跟業(yè)界的各種安全專(zhuān)家企業(yè)方案設(shè)計(jì)上,一般普通的云清洗設(shè)備在幾十G左右,而華為可以擴(kuò)展到T級(jí)別;第二,華為方案采用了大數(shù)據(jù)分析技術(shù),通過(guò)華為專(zhuān)業(yè)的安全團(tuán)隊(duì)分析全球最新的攻擊工具,對(duì)僵尸網(wǎng)絡(luò)活動(dòng)進(jìn)行追蹤,然后將研究結(jié)果以僵尸網(wǎng)絡(luò)IP信譽(yù)、攻擊特征庫(kù)的形式更新到現(xiàn)網(wǎng)設(shè)備,讓防護(hù)更加高效和精確;第三,華為方案采用了SDN技術(shù),可基于源頭過(guò)濾攻擊流量,亦可實(shí)現(xiàn)智能引流清洗,在發(fā)生大流量DDoS攻擊時(shí),最大限度地保護(hù)聯(lián)通的網(wǎng)絡(luò)帶寬。

從源頭防御DDoS攻擊 上海聯(lián)通與華為聯(lián)手共建“云清洗”

上海聯(lián)通產(chǎn)品管理中心產(chǎn)品總監(jiān)魏尚俊

 

具體而言,魏尚俊表示,傳統(tǒng)DDoS攻擊與新型攻擊在方式?jīng)]有區(qū)別,但在防御上卻存在差異。傳統(tǒng)防御技術(shù)最終是依靠動(dòng)態(tài)生成的黑名單阻斷建立TCP連接的攻擊源,但黑名單技術(shù)不能應(yīng)用到移動(dòng)應(yīng)用防護(hù)上。

而華為主要采用應(yīng)用動(dòng)態(tài)指紋學(xué)習(xí)技術(shù)、以及攻擊特征靜態(tài)匹配過(guò)濾技術(shù),通過(guò)在會(huì)話上智能丟包,觸發(fā)對(duì)方智能終端的TCP擁塞機(jī)制,讓攻擊端TCP/IP協(xié)議棧認(rèn)為服務(wù)器這邊網(wǎng)絡(luò)出現(xiàn)擁塞,自動(dòng)放緩發(fā)包速度,最終會(huì)停止發(fā)包。“該技術(shù)早在2012年,阿里云做測(cè)試時(shí)就發(fā)現(xiàn):動(dòng)態(tài)指紋學(xué)習(xí)和會(huì)話結(jié)合實(shí)現(xiàn)的智能丟包的防御技術(shù)針對(duì)來(lái)自移動(dòng)終端的應(yīng)用層DDOS攻擊具有強(qiáng)大的防御能力。” 魏尚俊介紹道。

不僅如此,該“云清洗”產(chǎn)品結(jié)合大數(shù)據(jù)分析技術(shù),從60多種維度對(duì)全網(wǎng)絡(luò)流量進(jìn)行精細(xì)化分析,一旦流量出現(xiàn)異常,將在2秒級(jí)內(nèi)快速響應(yīng),支持SDN感知方式,通過(guò)優(yōu)化資源調(diào)度實(shí)現(xiàn)云端清洗。

逐個(gè)擊破 創(chuàng)新增值并進(jìn)

在運(yùn)營(yíng)過(guò)程中,魏尚俊指出,上海聯(lián)通對(duì)華為的Anti-DDoS解決方案積累了一套熟練的運(yùn)營(yíng)經(jīng)驗(yàn),如:提供大客戶安全攻防報(bào)表推送、大客戶攻防演練等更服務(wù),讓客戶不斷增加安全防護(hù)意識(shí)。

魏尚俊回憶,在一次客戶參與的攻防演練中,客戶故意在2G的流量中混合了2M的攻擊流量,云清洗居然能快速響應(yīng)、精準(zhǔn)清洗,客戶都為此信服不已。

在華為安全產(chǎn)品和技術(shù)團(tuán)隊(duì)的支撐下,上海聯(lián)通已經(jīng)成功開(kāi)展DDoS云清洗服務(wù)增值業(yè)務(wù),自業(yè)務(wù)上線以來(lái),上海聯(lián)通每年防護(hù)DDoS數(shù)萬(wàn)次,且服務(wù)模式不斷創(chuàng)新。

“后期上海聯(lián)通將會(huì)對(duì)不同客戶采用差異化的防護(hù)策略。” 魏尚俊透露,“我們不僅僅在城域網(wǎng)采用逐包檢測(cè)+清洗的防護(hù)方案對(duì)的IDC、ISP客戶提供防護(hù)服務(wù)。一些重要的VIP客戶,我們還會(huì)考慮在客戶網(wǎng)絡(luò)接入處增加一個(gè)小型硬件設(shè)備,實(shí)現(xiàn)檢測(cè)及客戶網(wǎng)絡(luò)帶寬范圍內(nèi)攻擊清洗,真正實(shí)現(xiàn)云清洗。”

堅(jiān)持“被集成” 致力于最優(yōu)方案

一直堅(jiān)持“被集成”的華為,秉承的是與合作伙伴實(shí)現(xiàn)共贏。面對(duì)日趨兇猛的DDoS攻擊,華為也在不斷優(yōu)化和升級(jí)其產(chǎn)品方案。華為企業(yè)網(wǎng)絡(luò)產(chǎn)品線副總裁劉立柱表示,華為安全產(chǎn)品團(tuán)隊(duì)一直致力于為客戶提供最優(yōu)的Anti-DDoS安全解決方案:

一是從自身的硬件設(shè)備上不斷提升處理能力;二是在解決方案上逐漸轉(zhuǎn)向SDN感知的方式,在攻擊源頭上實(shí)現(xiàn)動(dòng)態(tài)分布式的DDoS防御;三是面對(duì)聯(lián)通運(yùn)營(yíng)規(guī)模的不斷擴(kuò)大,應(yīng)急響應(yīng)量的增加,華為同聯(lián)通將進(jìn)行更深入的合作,包括提供安全業(yè)務(wù)規(guī)劃咨詢、應(yīng)急響應(yīng)服務(wù)等,為聯(lián)通的企業(yè)客戶提供更加貼身和快速響應(yīng)的安全防護(hù)方案。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)