拒絕服務攻擊（DoS, Denial of Service）是指利用各種服務請求耗盡被攻擊網絡的系統(tǒng)資源，從而使被攻擊網絡無法處理合法用戶的請求。而隨著僵尸網絡的興起，同時由于攻擊方法簡單、影響較大、難以追查等特點，又使得分布式拒絕服務攻擊（DDoS，Distributed Denial of service）得到快速壯大和日益泛濫。成千上萬主機組成的僵尸網絡為 DDoS 攻擊提供了所需的帶寬和主機，形成了規(guī)模巨大的攻擊規(guī)模和網絡流量，對被攻擊網絡造成了極大的危害。

隨著DDoS攻擊技術的不斷提高和發(fā)展，ISP、ICP、IDC等運營商面臨的安全和運營挑戰(zhàn)也不斷增多，運營商必須在DDoS威脅影響關鍵業(yè)務和應用之前，對流量進行檢測到并加以清洗，確保網絡正常穩(wěn)定的運行以及業(yè)務的正常開展。同時，對DDoS攻擊流量的檢測和清洗也可以成為運營商為用戶提供的一種增值服務，以獲得更好的用戶滿意度。

DDoS攻擊分類

DDoS （Distributed Denial of service）攻擊通過僵尸網絡利用各種服務請求耗盡被攻擊網絡的系統(tǒng)資源，造成被攻擊網絡無法處理合法用戶的請求。而針對DNS的DDoS攻擊又可按攻擊發(fā)起者和攻擊特征進行分類。主要表現(xiàn)特征如下：

按攻擊發(fā)起者分類

僵尸網絡：控制僵尸網絡利用真實DNS協(xié)議棧發(fā)起大量域名查詢請求

模擬工具：利用工具軟件偽造源IP發(fā)送海量DNS查詢

按攻擊特征分類

Flood攻擊：發(fā)送海量DNS查詢報文導致網絡帶寬耗盡而無法傳送正常DNS 查詢請求

資源消耗攻擊：發(fā)送大量非法域名查詢報文引起DNS服務器持續(xù)進行迭代查詢，從而達到較少的攻擊流量消耗大量服務器資源的目的

DDoS攻擊防御技術

DoS/DDoS攻擊種類繁多，針對每一種攻擊往往都需要特定的技術加以防御。但盡管如此，DoS/DDoS攻擊防御技術還是可以簡單分為以下幾種大的類別：

代理技術：以Syn Proxy技術為典型代表，由設備代替服務器響應客戶請求（如TCP連接請求），只有判定為非DoS攻擊的數(shù)據包才代理其與服務器進行通信。

連接限制：對某種類型的訪問（如TCP連接和HTTP訪問）的最大連接數(shù)量加以限制，防止服務器資源耗盡。

連接速率限制：對某種類型的訪問（如TCP連接和HTTP訪問）單位時間內新發(fā)起的連接數(shù)量加以限制，防止服務器資源耗盡。

重定向技術：對某些通過代理發(fā)起的攻擊（如CC/DNS Flood等），通過發(fā)送重定向報文，中斷其攻擊，而對正常訪問則不會產生影響。

上述攻擊分類知識簡單的將DoS/DDoS攻擊的防御技術加以分類，在面對特定攻擊時，往往需要具體問題具體分析，綜合運用各種攻擊防御技術才能達到比較好的防御效果。

典型組網

迪普科技通過DPtech異常流量清洗系列產品提供了完善的流量清洗解決方案。DPtech異常流量清洗系列是專業(yè)的防御分布式拒絕服務（DDoS）攻擊產品，包括：異常流量檢測Probe、異常流量清洗Guard、異常流量清洗業(yè)務管理平臺。流量清洗解決方案部署有旁路部署與在線部署兩種方式，其中在線部署時只需要使用Guard設備，也可以使用IPS設備代替Guard設備。具體部署方式如下：

旁路部署：高可靠，檢測與清洗產品可以集中部署，也可以分開部署，部署于運營商城域網的核心層或匯聚層，或部署于數(shù)據中心出口。

流量清洗旁路部署典型組網

在線部署：部署簡單，無需異常流量檢測Probe設備。

流量清洗在線部署典型組網

DPtech異常流量清洗產品采用業(yè)界領先的"并行流過濾"、"智能流量檢測"等技術，能夠及時發(fā)現(xiàn)網絡中的各種DDoS威脅并實現(xiàn)對攻擊流量的快速過濾，從而有效保護城域網、IDC等免遭海量DDoS攻擊，單設備處理能力可達12G。

特點與優(yōu)勢

迪普科技流量清洗解決方案具有如下優(yōu)勢：

高效的流量檢測和清洗技術：

既支持深度數(shù)據包檢測技術（DPI），也可以通過分析網絡設備輸出的NetFlow/NetStream/SFlow流信息（DFI），從而深入識別隱藏在背景流量中的攻擊報文，以實現(xiàn)精確的流量識別和清洗。采用先進的分布式多核硬件結構，并且可以通過智能集群方式實現(xiàn)多設備集群，從而打造超萬兆級異常流量清洗平臺。

高可用性：

可以采用在線或旁路部署的方式進行DDoS攻擊的防護。當采用旁路部署的方式時，可以實現(xiàn)對流量的按需清洗，在任何情況下都不會影響正常流量。良好的網絡協(xié)議適應性，能夠支持ARP、VLAN、鏈路聚合等網絡層協(xié)議以及靜態(tài)路由、RIP、OSPF、BGP、策略路由等路由協(xié)議，滿足各種組網應用。當采用在線部署模式下，可以實時對威脅流量進行清洗。

多層次的安全防護：

通過靜態(tài)漏洞攻擊特征檢查、動態(tài)規(guī)則過濾、異常流量限速和先進的"智能流量檢測"技術，實現(xiàn)多層次安全防護，精確檢測并阻斷各種網絡層和應用層的DoS/DDoS攻擊和未知惡意流量，包括SYN Flood、UDP Flood、ICMP Flood、DNS Query Flood、HTTP Get Flood、CC攻擊等各種攻擊。

自動流量牽引和靈活的流量回注：

在發(fā)現(xiàn)DDoS攻擊時，異常流量清洗設備向鄰居的路由器/交換機發(fā)布BGP更新路由通告，自動、迅速地將被攻擊用戶的流量牽引到DPtech異常流量產品上來，對其進行清洗。同時，異常流量清洗產品可通過策略路由、MPLS VPN、GRE VPN、二層透傳等多種方式，將清洗后的干凈流量回注給用戶，用戶正常的業(yè)務流量不受任何影響。

詳盡的分析統(tǒng)計報表：

針對檢測和清洗的各種威脅流量，提供豐富的攻擊日志和報表統(tǒng)計功能，包括攻擊前流量信息、清洗后流量信息、攻擊流量大小、時間及排序等信息以及攻擊趨勢分析等各種詳細的報表信息，便于了解網絡流量狀況。