分布式防范DDos攻击的解决方案探析

摘 要:随着网络技术和网络经济的发展,网络对企业和个人的影响愈益增大。与此同时,网络中存在的安全漏洞却也正在相应的增加,网络安全面临新的挑战。通过系统研究发现,对DDoS攻击流量的清洗是目前最适合运营商来开展的业务,本文就是对此问题进行研究,以期可以促进该问题的解决。

关键词:网络安全 流量 流量清洗

中图分类号:TP39文献标识码:A 文章编号:1007-3973 (2010) 05-060-03

1 技术背景

1.1 网络安全面临的挑战

随着网络技术和网络经济的发展,网络对企业和个人的重要程度在不断增加。与此同时,网络中存在的安全漏洞却也正在相应的增加,网络安全问题所造成的影响也越来越大。另一方面,网络黑金产业链也逐步形成。网络攻击的威胁越来越受经济利益驱使,朝着规模化、智能化和产业化发展。黑客攻击由原来的个人行为,逐渐转化为追求经济和政治利益的集体行为。有着严密组织的网络犯罪行为开始出现,给被攻击企业造成很大的损失,同时造成了恶劣的社会影响。越来越严重的城域网网络安全威胁,不仅影响了被攻击城域网接入大客户的业务质量,而且也直接影响着城域网自身的可用性。

近年来我国发生的大量安全事件和一系列安全威胁统计数据正以血淋淋的事实说明我国对城域网安全建设的重要性:

2009年韩国网络数次遭受黑客第三波DDoS攻击,导致很多政府网站瘫痪―长达数天,损失巨大。

2007年6月完美时空公司遭受DDoS攻击损失数百万元。

2007年5月某某游戏公司在北京、上海、石家庄IDC托管的多台服务器遭到DDoS攻击长达1月,经济损失达上百万元。

目前中国“黑色产业链”的年产值已超过数亿元,造成的损失则超过百亿元

1.2 流量清洗是运营商的新机会

对DDoS攻击流量的清洗是目前最适合运营商来开展的业务。我们可以从两个角度来分析对DDoS流量清洗最适合运营商来开展业务的原因。

从城域网中接入的大客户的角度来看。在面临越来越严重的DDoS攻击的情况下,企业对DDoS攻击防御的需求越来越迫切。然而DDoS攻击自身的复杂性导致企业难以独立完成对DDoS攻击的防御。目前企业往往只能被动的采用服务器资源和带宽资源扩容的方式来保证自己的正常业务的资源能够得到满足。但随着DDoS攻击的规模越来越大,这种资源预留的作用越来越小。而运营商由于自身特点却是很好地DDoS攻击防御点。运营商自身具有充足的带宽资源,可以防止DDoS攻击流量不会将用户正常流量淹没,从而失去流量清洗的效果。另外,由于运营商同时面对城域网的众多用户提供服务,可以保证清洗设备的利用率,有效节约清洗成本。

从运营商的角度来看通过对城域网中大量的DDoS流量的过滤,可以有效减小城域网自身的负载,为城域网所承载的高价值业务提供有效的质量保障。可以在减小对城域网扩容压力的同时保证高价值客户的网络业务质量,从而保持现有高价值客户的忠诚度,并且吸引新的高价值客户的接入。

综上所述,在城域网侧为企业客户开展流量清洗业务实现对DDoS攻击的防御,可以同时满足运营商和大客户的双重需要,已经成为目前运营商的必然需求。

2 宽带流量清洗解决方案介绍

2.1 方案总体介绍

宽带流量清洗解决方案提供的服务包括:网络业务流量监控和分析、安全基线制定、安全事件通告、异常流量过滤、安全事件处理报告等。“宽带流量清洗解决方案”的实施,减轻了来自于DDoS攻击流量对城域网造成的压力,提升带宽利用的有效性;保护企业网络免受来自互联网的攻击,提高网络性能,实现其核心业务的永续,保障其核心竞争力。

宽带流量清洗解决方案主要分为三个步骤。第一步,利用专用的检测设备对用户业务流量进行分析监控。第二步,当用户遭受到DDoS攻击时,检测设备上报给专用的业务管理平台生成清洗任务,将用户流量牵引到流量清洗中心。第三步,流量清洗中心对牵引过来的用户流量进行清洗,并将清洗后的用户合法流量回注到城域网。同时上报清洗日志到业务管理平台生成报表。其原理图如下:

解决方案涉及的关键技术包括对DDoS攻击的检测防御,对被攻击用户的流量的牵引和清洗后的流量回注。其具体技术请见下面的描述。

2.2 流量检测防御技术

流量清洗宽带流量清洗解决方案,流量检测和防御功能由旁挂在城域网的专用探测和防御设备实现。

DDoS探测设备通过对城域网用户业务流量进行逐包的分析和统计,完成用户流量模型的自学习,并自动形成用户流量模型基线。基于该基线探测设备可以对用户的业务流量进行实时监测。当发现用户流量异常后,探测设备向专用的业务管理平台上报攻击事件。

DDoS防御设备通过静态漏洞攻击特征检查、动态规则过滤、异常流量限速和“基于用户行为的单向防御”技术,可以实现多层次安全防护,精确检测并阻断各种网络层和应用层的DoS/DDoS攻击和未知恶意流量。支持丰富的攻击防御功能,如,SYN Flood,UDP Flood,ICMP Flood、ACKFlood、RST Flood、DNS Query Flood、HTTP Get Flood等常见攻击的防御。

2.3 流量牵引技术

为了在用户的业务遭受DDoS攻击时,将用户的流量动态的牵引到流量清洗中心来进行清洗。流量清洗中心利用IBGP或者EBGP协议,首先和城域网中用户流量路径上的多个核心设备(直连或者非直连均可)建立BGP Peer。攻击发生时,流量清洗中心通过BGP协议会向核心路由器BGP更新路由通告,更新核心路由器上的路由表项,将流经所有核心设备上的被攻击服务器的流量动态的牵引到流量清洗中心进行清洗。同时流量清洗中心的BGP路由添加no-advertise属性,确保清洗中心的路由不会被扩散到城域网,同时在流量清洗中心上通过路由策略不接收核心路由器的路由更新。从而严格控制对城域网造成的影响。下图所示:

2.4 流量回注技术

流量清洗系统支持丰富的网络协议和多种物理接口来实现将清洗后的流量重新注入到城域网。可以提供策略路由、MPLS VPN、二层透传、双链路等多种方式进行用户流量的回注。下面以前三种方式为例详细介绍具体方案。

2.4.1 策略路由方式

图3 通过在旁挂路由器上配置策略路由,将流量清洗中心回注的流量指向受保护设备相对应的下一跳,从而绕过旁挂设备的正常转发,实现该用户的流量回注。为了简化策略路由的部署,可以将城域网的用户分组,仅为为每组用户配置一条策略路由指向该组用户所对应的下一跳设备。这样既可实现针对该组用户的流量回注。而且在初期实施完成后不需要在修改城域网设备的配置。方案的可维护性和可操作性得到了很大的增加。其组网如下图所示:

采用策略路由方式进行流量回注的说明:

部署简单,对城域网影响的设备点较少;

初期实施部署后,开展业务(新增受保护用户)无需再修改城域网设备的配置;

流量清洗中心旁挂于核心设备时,主推这种组网方式

2.4.2 二层透传方式

流量清洗中心旁挂在城域网汇聚设备或者IDC核心或者汇聚设备上,旁挂设备作为受保护服务器的网关,此时利用二层透传的方式来回注用户的流量。这种透传方式为特定组网环境下的回注方法。将流量清洗系统、城域网设备、受保护服务器置于相同VLAN中,通过在流量清洗系统上做三层转发,城域网设备上做二层透传,从而绕过旁挂设备的正常转发,实现该用户的流量回注。其组网如下图所示:

采用二层透传方式进行流量回注的说明:

方案部署简单,对城域网设备几乎没有影响。

流量清洗中心旁挂于交换机设备时,主推这种组网方式

2.4.3 MPLS VPN方式

利用流量清洗系统做PE与城域网汇聚设备建立MPLS VPN 隧道,清洗后的流量进入VPN内进行转发,从而绕过旁挂设备的正常转发,实现该用户的流量回注。其组网如下图所示:

采用MPLS VPN方式进行流量回注的说明:

部署完成之后,后续用户业务开展工作量分散在城域网汇聚各PE设备,开户操作比较复杂;

依赖城域网设备对MPLS VPN有很好的支撑,需要在全网部署清洗VPN,对城域网改动范围大;

这种组网方式不是主推方式。

3典型组网――异常流量检测、清洗分离部署

在城域网核心旁挂部署清洗模块。在靠近汇聚设备或者用户侧接入设备部署探测设备。这种组网模式,清洗模块对城域网覆盖面广,有利于支撑城域网内新增用户业务的开展。探测设备在靠近用户侧的汇聚或接入设备旁挂,通过分光或者镜像的方式将流量复制到探测设备进行逐包的监控,及时准确的发现用户的异常流量状况。同时,利用业务管理平台实现集中式的设备管理,业务管理和专用报表输出。

4方案总结

“宽带流量清洗解决方案”可以针对城域网中现在常见的DDoS攻击流量进行过滤,实现对城域网和大客户网络业务的保护。可以有效的兼顾城域网接入用户和运营商双方的利益,为建设安全可用的网络环境贡献自己的力量。

参考文献:

[1]吉根林.对DDOS防御[M].北京:科学出版社,2005.

[2]清源计算机工作室. DOS攻击基础[M].北京:科学出版社,2005.