網(wǎng)絡(luò)安全保護(hù)已經(jīng)逐漸成為企業(yè)上云首要考慮的問題,面對源源不斷的網(wǎng)絡(luò)攻擊,很多企業(yè)在上云的時(shí)候都產(chǎn)生了猶豫,頻繁的面對DDoS攻擊,勒索病毒,暴力破解,讓無數(shù)上云企業(yè)苦不堪言。
其實(shí)面對網(wǎng)絡(luò)攻擊,也不是沒有解決辦法,選擇更高性能的網(wǎng)絡(luò)安全產(chǎn)品即可有效抵御網(wǎng)絡(luò)攻擊的侵害。
防御吧聯(lián)合實(shí)驗(yàn)室研制的DDoS高防產(chǎn)品就依托其優(yōu)秀的架構(gòu)做到對攻擊的完全檢測和高清洗能力。使用光棱物理分光做1:1流量鏡像,旁路Netflow檢測鏡像流量,不影響客戶正常業(yè)務(wù)流向,檢測后的鏡像流量被丟棄。檢測原理主要為基于流量建模分析客戶IP的流量中是否存在攻擊流量。
防御吧DDoS攻擊防護(hù)可以檢測SYN Flood、ACK Flood、UDP Flood、ICMP Flood、CC 攻擊等常見的攻擊類型及更多的攻擊。

在檢測完成之后,當(dāng)檢測到某個(gè)IP被攻擊后,清洗集群向核心路由發(fā)布BGP牽引路由,將該IP的流量牽引至清洗集群防護(hù)。清洗后的干凈流量,再通過BGP路由回注至核心路由,最終流向用戶的云主機(jī)或通過轉(zhuǎn)發(fā)集群流向用戶使用的非騰訊云的機(jī)房中。
至于其中用到的防護(hù)算法,也是利用了騰訊云安全團(tuán)隊(duì)多年的技術(shù)積累。在傳統(tǒng)的代理、反向探測、認(rèn)證、黑白名單、報(bào)文合規(guī)等標(biāo)準(zhǔn)技術(shù)的基礎(chǔ)上,結(jié)合安全信譽(yù)、大數(shù)據(jù)分析、用戶行為分析、特征學(xué)習(xí)等多種技術(shù)手段,對威脅進(jìn)行阻斷過濾,僅對數(shù)據(jù)報(bào)文頭部進(jìn)行分析。
防護(hù)系統(tǒng)對用戶的業(yè)務(wù)數(shù)據(jù)是安全無感知的,不涉及、不查閱業(yè)務(wù)負(fù)載報(bào)文,能夠保證用戶在被攻擊持續(xù)狀態(tài)下仍然可以對外提供業(yè)務(wù)服務(wù)。

我們可以從上圖中看出騰訊云DDoS攻擊的防護(hù)體系架構(gòu)。整個(gè)高防區(qū)通過策略控制中心統(tǒng)一分發(fā)策略,首先通過1:1分光將流量復(fù)制,然后用檢測集群檢測流量,再依據(jù)設(shè)置好的策略使用攻擊清洗集群清洗,清洗之后將流量回注到TIX路由器,再由外網(wǎng)核心導(dǎo)入沒有被攻擊的云主機(jī),同時(shí)公網(wǎng)的轉(zhuǎn)發(fā)集群將流量傳送至外部機(jī)房。
防御吧DDoS防護(hù)依靠著優(yōu)秀的底層架構(gòu)便能夠提供更多強(qiáng)大的核心功能,不僅僅對常見的攻擊防護(hù),還可以做到流量封堵、取證溯源、協(xié)議支持、監(jiān)控管理和管理報(bào)告。
其中管理報(bào)告模塊是很多常見的DDoS防護(hù)所不具備的,系統(tǒng)可以提供直觀而便利的設(shè)備運(yùn)行監(jiān)控、策略配置、報(bào)表生成和抓包取證等管理:在統(tǒng)計(jì)報(bào)表頁面,選擇高防資源,即可查看相應(yīng)的 DDOS 攻擊詳情、CC 攻擊詳情,方便用戶快速溯源和查看防護(hù)結(jié)果。