天鹰抗DDoS防火墙(技术白皮书最新最新版).doc

天鹰抗DDoS防火墙
技术白皮书
Apollo

北京天鹰网安科技有限公司
注意:
本安装和使用说明中的内容是天鹰抗DDoS防火墙的安装和使用说明。本材料的相关权利归北京天鹰网安科技有限公司所有。安装和使用说明中的任何部分未经北京天鹰网安科技有限公司许可,不得转印、影印或复印。
© 2010 北京天鹰网安科技有限公司
保留所有权力
天鹰抗DDoS防火墙
本资料将定期更新,如欲获取最新相关信息,请访问北京天鹰网安科技有限公司网站: ,您的意见和建议请发送至:support@
北京天鹰网安科技有限公司
work Security Ltd.
目录
1 概述 5
DDoS的形势及趋势 6
攻击影响 6
攻击分析 6
发展趋势 7
DDoS防护手段 7
普通防护措施 7
网络安全设备 8
DDoS防护的基本要求 9
2 天鹰抗DDOS防火墙 10
产品介绍 10
功能 12
防御已知的各种攻击手段 12
快速应对新的攻击手段 14
精细流量监控,及早发现攻击 14
灵活端口控制,安全和效率并举 14
防端口扫描,自动屏蔽黑客IP 15
黑白名单功能,敌友一清二楚 15
丰富的日志,强大审计分析能力 15
自带ARP防火墙,一石两鸟 16
特点 16
,零配置使用 16
自动升级,与时俱进 16
量身定做,贴心服务 16
核心原理 17
17
部署方式 18
串行部署方式 18
旁路部署方式 18
集群部署方式 19
产品的优势 20
3 运行环境和技术指标 21
运行环境 21
技术指标 21
4 总结 21
5 联系我们 22
【英文名解释】:
Apollo:阿波罗太阳神【希腊神话】。太阳一出,邪恶尽散。
1 概述
随着互联网快速的发展和微软等操作系统频繁出现的重大安全漏洞事件发生,从国外到国内;从政府到企业;从运营商到个人服务器等等,频繁出现被DDoS攻击和被黑客入侵的新闻。一谈到互联网经营,大家马上就会想到怎样保护服务器的安全不受DDoS攻击和黑客入侵、篡改等。据初步估计近两年来被DDoS攻击和被入侵的损失,全球多达50亿美金,光是中国就损失72亿元人民币,这是一个十分庞大的数字。
根据全球互联网检测报告,常见的拒绝服务攻击(DoS/DDoS)手段主要有以下三种形式:
(1) 利用TCP/IP协议的漏洞,消耗目标主机的系统资源,使其过度负载。常见的有SYN Flood,UDP Flood,ICMP 等等;
利用某些基于TCP/IP协议的软件漏洞,造成应用异常。
不断尝试,频繁连接的野蛮型攻击行为。常见的有web Proxy Flood等。
目前一些常见的防火墙设备、入侵检测设备、路由器等网络设备,对于DoS/DDoS攻击、SQL注入等普遍束手无策。且由于设计的缺陷,在面临大量攻击的情况下,这些设备反倒很容易最先瘫痪。至于退让策略或是系统优化等方法只能应付小规模DoS攻击,对大规模DoS击还是无法提供有效的防护。
本文内容将包含如下部分:
DDoS的形势及趋势;
DDoS防护手段;
DDoS防护的基本要求;
DDoS的形势及趋势
攻击影响
成功的DDoS攻击所带来的损失是巨大的。DDoS攻击之下的门户网站性能急剧下降,无法正常处理用户的正常访问请求,造成客户访问失败;服务质量协议(SLA)也会受到破坏,带来高额的服务赔偿。同时,公司的信誉也会蒙受损失,而这种危害又常常是长期性的。利润下降、生产效率降低、IT开支增高以及相应问题诉诸法律而带来的费用增加等等,这些损失都是由于DDoS攻击造成的。
攻击分析
那么DDoS攻击究竟如何工作呢?通常而言,网络数据包利用TCP/传输,这些数据包本身是无害的,但是如果数据包异常过多,就会造成网络设备或者服务器过载;或者数据包利用了某些协议的缺陷,人为的不完整或畸形,就会造成网络设备或服务器服务正常处理,迅速消耗了系统资源,造成服务拒绝,这就是DDoS攻击的工作原理。DDoS攻击之所以难于防护,其关键之处就在于非法流量和合法流量相互混杂,防护过程中无法有效的检测到DDoS攻击,比如利用基于特征库模式匹配的IDS系统,就很难从合法包中区分出非法包。加之许多DDoS攻击都采用了伪造源地址