教育網絡(luo)在DDoS防御方面的需求背景(jing) 
近(jin)年(nian)來(lai)教(jiao)育網(wang)絡(luo)（高校）面(mian)(mian)(mian)(mian)臨(lin)著(zhu)DDoS攻(gong)(gong)(gong)擊(ji)(ji)(ji)(ji)的(de)(de)現象(xiang)越來(lai)越多，根(gen)據客(ke)戶反映近(jin)年(nian)來(lai)接連(lian)受到DDoS安(an)(an)全(quan)的(de)(de)威脅(xie)，特別是(shi)在(zai)學校有大型活動，如招生、迎新、相關領導(dao)視查工(gong)作的(de)(de)時候DDoS攻(gong)(gong)(gong)擊(ji)(ji)(ji)(ji)比(bi)較明顯，并有數次在(zai)招生、報考的(de)(de)時候由于DDoS攻(gong)(gong)(gong)擊(ji)(ji)(ji)(ji)引起的(de)(de)網(wang)絡(luo)中(zhong)斷或部份業務系統(tong)中(zhong)斷，導(dao)致(zhi)工(gong)作進展不順利。目前(qian)學院網(wang)絡(luo)安(an)(an)全(quan)主要有防(fang)火(huo)(huo)(huo)墻、應用層防(fang)火(huo)(huo)(huo)墻、IPS（入侵檢測(ce)系統(tong)）等安(an)(an)全(quan)設(she)備(bei)(bei)，以上所(suo)有安(an)(an)全(quan)設(she)備(bei)(bei)都并非為防(fang)御DDoS攻(gong)(gong)(gong)擊(ji)(ji)(ji)(ji)而(er)設(she)計，所(suo)以無法全(quan)面(mian)(mian)(mian)(mian)防(fang)范來(lai)自互(hu)聯網(wang)的(de)(de)各(ge)種(zhong)DDoS攻(gong)(gong)(gong)擊(ji)(ji)(ji)(ji)，且在(zai)DDoS大流量攻(gong)(gong)(gong)擊(ji)(ji)(ji)(ji)面(mian)(mian)(mian)(mian)前(qian)防(fang)火(huo)(huo)(huo)墻等安(an)(an)全(quan)設(she)備(bei)(bei)會面(mian)(mian)(mian)(mian)臨(lin)癱瘓的(de)(de)風險。
教育網絡在DDoS防御(yu)方面(mian)的安全需(xu)求
常見(jian)的(de)(de)(de)在(zai)學校(xiao)(xiao)中的(de)(de)(de)DDoS攻擊會導致(zhi)(zhi)用(yong)于輸入、輸出和內網通信(xin)的(de)(de)(de)帶(dai)寬達到飽和，導致(zhi)(zhi)整個網絡環境擁堵或癱瘓；特(te)別(bie)是在(zai)高校(xiao)(xiao)招生考試的(de)(de)(de)時候，一此不正(zheng)當的(de)(de)(de)人員(yuan)或機構(gou)會針對特(te)定的(de)(de)(de)一些(xie)高校(xiao)(xiao)的(de)(de)(de)門(men)戶或一些(xie)特(te)殊的(de)(de)(de)系統進行(xing)大量的(de)(de)(de)DDoS攻擊。
超出(chu)路(lu)(lu)由(you)(you)器(qi)、服(fu)務(wu)器(qi)甚至防(fang)火(huo)墻(qiang)的承受(shou)能(neng)力，導致它(ta)們無法(fa)提供(gong)正常服(fu)務(wu)；如起過(guo)路(lu)(lu)由(you)(you)器(qi)的NAT表的性能(neng)值，超過(guo)防(fang)火(huo)墻(qiang)的連接數(shu)量性能(neng)值，利用服(fu)務(wu)器(qi)的一些漏洞，如緩沖區溢出(chu)使服(fu)務(wu)器(qi)的CPU或內存(cun)處于(yu)滿跑(pao)狀態等。
阻(zu)止正(zheng)常用戶對特(te)定應(ying)用或(huo)者主(zhu)機的(de)(de)訪問，攻(gong)(gong)(gong)擊(ji)(ji)其他網(wang)絡(luo)資源，例如軟交換機、核心路由(you)器和應(ying)用服務器而對網(wang)絡(luo)中沒(mei)有直接遭受攻(gong)(gong)(gong)擊(ji)(ji)的(de)(de)部分造成間接破壞。黑(hei)客(ke)通過DDoS攻(gong)(gong)(gong)擊(ji)(ji)掩蓋(gai)其真正(zheng)的(de)(de)目的(de)(de)，如滲(shen)透或(huo)數據竊取等，讓(rang)管理員誤以為是DDoS攻(gong)(gong)(gong)擊(ji)(ji)而并不(bu)是滲(shen)透攻(gong)(gong)(gong)擊(ji)(ji)。
雖然目(mu)前網絡安全(quan)產品的(de)種類非常多(duo)，但(dan)是對(dui)于DDoS攻(gong)擊(ji)(ji)卻一籌莫展(zhan)。常見的(de)防火(huo)墻(qiang)、入侵(qin)檢測、路由器等，由于設(she)計之初就沒有考慮(lv)相(xiang)應(ying)的(de)DDoS防護，所以無(wu)法(fa)針對(dui)復雜的(de)DDoS攻(gong)擊(ji)(ji)進行有效(xiao)的(de)檢測和防護。而至于退讓策略或是系統調(diao)優(you)等方法(fa)只(zhi)能應(ying)付(fu)小規模DDoS攻(gong)擊(ji)(ji)，對(dui)大規模DDoS攻(gong)擊(ji)(ji)還是無(wu)法(fa)提供有效(xiao)的(de)防護。
中(zhong)新教育網絡(luo)DDoS攻擊防(fang)御解決方案特點
高校(xiao)用戶(hu)盡管申請運營商DDoS清洗服務，但DDoS攻(gong)(gong)擊(ji)(ji)(ji)種類繁多，變化(hua)多端，運營商端DDoS清洗防護技術主要針對的是網絡層(ceng)消耗帶寬(kuan)大(da)(da)流量DDoS攻(gong)(gong)擊(ji)(ji)(ji)，在(zai)針對一些應(ying)用層(ceng)DDoS攻(gong)(gong)擊(ji)(ji)(ji)且(qie)流量不大(da)(da)的情況(kuang)下難以有效(xiao)抵(di)御(yu)，所以急(ji)需在(zai)網絡中中部署能有效(xiao)防止各種DDoS攻(gong)(gong)擊(ji)(ji)(ji)技術的產品(pin)進行防御(yu)，兩方面結合徹(che)底攔截(jie)DDoS攻(gong)(gong)擊(ji)(ji)(ji)。
針對(dui)當前的(de)DoS/DDoS攻擊現(xian)狀(zhuang)，中(zhong)(zhong)新(xin)網(wang)安從可用性、可靠(kao)性、可行性等多方(fang)面出發，為用戶(hu)規劃整(zheng)個網(wang)絡(luo)中(zhong)(zhong)的(de)抗(kang)拒(ju)絕(jue)服務(wu)防護，通(tong)過中(zhong)(zhong)新(xin)網(wang)安自主研發的(de)抗(kang)拒(ju)絕(jue)服務(wu)產品—中(zhong)(zhong)新(xin)金(jin)盾抗(kang)拒(ju)絕(jue)服務(wu)系(xi)統，具有(you)很強的(de)DoS/DDoS攻擊的(de)防護能力，可在多種網(wang)絡(luo)環境下(xia)輕松部署，保(bao)證(zheng)教育系(xi)統用戶(hu)網(wang)絡(luo)的(de)整(zheng)體性能和可靠(kao)性。 中新金盾抗(kang)拒絕(jue)服務系(xi)統能(neng)(neng)(neng)夠以串聯、串聯集(ji)(ji)群、二(er)層(ceng)旁(pang)(pang)路、二(er)層(ceng)旁(pang)(pang)路集(ji)(ji)群、三層(ceng)旁(pang)(pang)路、三層(ceng)旁(pang)(pang)路集(ji)(ji)群等方(fang)式(shi)(shi)部(bu)署(shu)在(zai)(zai)網絡(luo)中，并且在(zai)(zai)旁(pang)(pang)路模式(shi)(shi)下(xia)都支持注(zhu)入和回流兩種方(fang)式(shi)(shi)，在(zai)(zai)旁(pang)(pang)路模式(shi)(shi)下(xia)還(huan)能(neng)(neng)(neng)夠選擇流量分析器進行(xing)集(ji)(ji)群部(bu)署(shu)，能(neng)(neng)(neng)夠全(quan)自(zi)動的進行(xing)流量牽引防護。在(zai)(zai)根據(ju)校方(fang)的網絡(luo)結構，建議如(ru)果需要采用旁(pang)(pang)路部(bu)署(shu)的方(fang)式(shi)(shi)的話，可以采用以下(xia)部(bu)署(shu)方(fang)式(shi)(shi) 。 拓撲介紹
當前網絡中(zhong)部(bu)署一臺中(zhong)新金盾抗(kang)拒(ju)絕(jue)(jue)服(fu)務(wu)(wu)系(xi)(xi)統(tong)(tong)，部(bu)署模(mo)式為(wei)三層(ceng)注入部(bu)署模(mo)式，在當前拓撲中(zhong)，當管理(li)員發現(xian)網絡中(zhong)存在DDoS攻(gong)擊的(de)(de)(de)時候，通過(guo)手動(dong)的(de)(de)(de)方式在抗(kang)拒(ju)絕(jue)(jue)服(fu)務(wu)(wu)系(xi)(xi)統(tong)(tong)上將被攻(gong)擊的(de)(de)(de)主(zhu)機(ji)設(she)置(zhi)為(wei)牽引模(mo)式，該(gai)主(zhu)機(ji)則(ze)會被抗(kang)拒(ju)絕(jue)(jue)服(fu)務(wu)(wu)系(xi)(xi)統(tong)(tong)進行(xing)牽引，路由器收(shou)到抗(kang)拒(ju)絕(jue)(jue)服(fu)務(wu)(wu)系(xi)(xi)統(tong)(tong)的(de)(de)(de)牽引指令后(hou)(hou)會將主(zhu)機(ji)的(de)(de)(de)流量交給(gei)抗(kang)拒(ju)絕(jue)(jue)服(fu)務(wu)(wu)系(xi)(xi)統(tong)(tong)（通過(guo)BGP的(de)(de)(de)形式實現(xian)）。抗(kang)拒(ju)絕(jue)(jue)服(fu)務(wu)(wu)系(xi)(xi)統(tong)(tong)在進行(xing)流量過(guo)濾后(hou)(hou)會將清(qing)洗后(hou)(hou)的(de)(de)(de)流量注入給(gei)核(he)心(xin)交換機(ji)，完成清(qing)洗任務(wu)(wu)。 數據(ju)(ju)(ju)走向分析(xi)：當混(hun)合(he)著攻(gong)擊的(de)(de)(de)混(hun)合(he)流(liu)量(liang)到(dao)達路(lu)(lu)(lu)由(you)器(qi)(qi)(qi)后,會采用NETFLOW的(de)(de)(de)技術(shu)方式將(jiang)數據(ju)(ju)(ju)的(de)(de)(de)采樣發(fa)(fa)送(song)給中新金盾(dun)流(liu)量(liang)分析(xi)器(qi)(qi)(qi), ,當發(fa)(fa)現某主(zhu)機(ji)有(you)攻(gong)擊的(de)(de)(de)時候,流(liu)量(liang)分析(xi)器(qi)(qi)(qi)會自動向路(lu)(lu)(lu)由(you)器(qi)(qi)(qi)發(fa)(fa)送(song)一條32位的(de)(de)(de)主(zhu)機(ji)路(lu)(lu)(lu)由(you).路(lu)(lu)(lu)由(you)器(qi)(qi)(qi)則會把(ba)發(fa)(fa)送(song)往(wang)該主(zhu)機(ji)的(de)(de)(de)數據(ju)(ju)(ju)都傳送(song)到(dao)抗拒絕(jue)服務(wu)系統,抗拒絕(jue)服務(wu)系統收到(dao)后會進行清(qing)洗,清(qing)洗完(wan)(wan)成(cheng)后再將(jiang)數據(ju)(ju)(ju)回流(liu)給路(lu)(lu)(lu)由(you)器(qi)(qi)(qi),路(lu)(lu)(lu)由(you)器(qi)(qi)(qi)再根據(ju)(ju)(ju)預先(xian)設定的(de)(de)(de)策略(lve)路(lu)(lu)(lu)由(you)將(jiang)數據(ju)(ju)(ju)轉發(fa)(fa)給核心交換機(ji).完(wan)(wan)成(cheng)數據(ju)(ju)(ju)的(de)(de)(de)清(qing)洗工(gong)作。 當(dang)前方案(an)的(de)優點是完全不(bu)(bu)會影響(xiang)網絡及在沒(mei)有攻(gong)擊(ji)或(huo)牽(qian)引(yin)的(de)情況下對數(shu)據不(bu)(bu)會進(jin)行任何的(de)操(cao)作(zuo),并且完全能夠做到(dao)在有攻(gong)擊(ji)的(de)時(shi)候才(cai)自動牽(qian)引(yin)流量,沒(mei)攻(gong)擊(ji)的(de)時(shi)候不(bu)(bu)會自動牽(qian)引(yin),也(ye)可以手(shou)工選(xuan)擇(ze)是否牽(qian)引(yin)流量。
| 
