從源頭防御DDoS攻擊 上海聯通與華為聯手共建“云清洗”
責編：admin ｜2014-10-20 15:50:58近年來，越來越頻繁的DDoS攻擊，給海內外的運營商和企業業務帶來巨大安全挑戰。最嚴重的一次在2013年3月，歐洲遭遇史上最大DDoS攻擊，達300Gbps。然而，傳統的“引流回注”清洗方案已無法抵御，帶著300G的攻擊流量在整個歐洲網絡中穿行尋找清洗點， 最后導致整個歐洲的運營商網絡的擁塞。
在這件安全事故里，中國也未能幸免。數據顯示，上海聯通服務的企業客戶超47000家，攻擊造成的業務中斷將給企業帶來巨大經濟損失。因此，為了杜絕類似事件，上海聯通選擇與華為合作，打造“云清洗”服務產品，突破傳統“引流回注”清洗方案，從源頭防御DDoS攻擊。
打破傳統方案 三把刃劍護航
DDoS云清洗服務產品采用華為基于SDN技術的Anti-DDoS云清洗方案，不同于傳統的“引流回注”清洗方案，它無需帶著攻擊流量在整個網絡中穿行，而是利用SDN感知方式進行最優資源調度，從攻擊源頭上防御DDoS。
上海聯通產品管理中心產品總監魏尚俊指出，上海聯通在與華為構建云清洗方案時，看中了三點：第一是高容量，上海聯通跟業界的各種安全專家企業方案設計上，一般普通的云清洗設備在幾十G左右，而華為可以擴展到T級別；第二，華為方案采用了大數據分析技術，通過華為專業的安全團隊分析全球最新的攻擊工具，對僵尸網絡活動進行追蹤，然后將研究結果以僵尸網絡IP信譽、攻擊特征庫的形式更新到現網設備，讓防護更加高效和精確；第三，華為方案采用了SDN技術，可基于源頭過濾攻擊流量，亦可實現智能引流清洗，在發生大流量DDoS攻擊時，最大限度地保護聯通的網絡帶寬。
具體而言，魏尚俊表示，傳統DDoS攻擊與新型攻擊在方式沒有區別，但在防御上卻存在差異。傳統防御技術最終是依靠動態生成的黑名單阻斷建立TCP連接的攻擊源，但黑名單技術不能應用到移動應用防護上。
而華為主要采用應用動態指紋學習技術、以及攻擊特征靜態匹配過濾技術，通過在會話上智能丟包，觸發對方智能終端的TCP擁塞機制，讓攻擊端TCP/IP協議棧認為服務器這邊網絡出現擁塞，自動放緩發包速度，最終會停止發包。“該技術早在2012年，阿里云做測試時就發現：動態指紋學習和會話結合實現的智能丟包的防御技術針對來自移動終端的應用層DDOS攻擊具有強大的防御能力。” 魏尚俊介紹道。
不僅如此，該“云清洗”產品結合大數據分析技術，從60多種維度對全網絡流量進行精細化分析，一旦流量出現異常，將在2秒級內快速響應，支持SDN感知方式，通過優化資源調度實現云端清洗。
逐個擊破 創新增值并進
在運營過程中，魏尚俊指出，上海聯通對華為的Anti-DDoS解決方案積累了一套熟練的運營經驗，如：提供大客戶安全攻防報表推送、大客戶攻防演練等更服務，讓客戶不斷增加安全防護意識。
魏尚俊回憶，在一次客戶參與的攻防演練中，客戶故意在2G的流量中混合了2M的攻擊流量，云清洗居然能快速響應、精準清洗，客戶都為此信服不已。
在華為安全產品和技術團隊的支撐下，上海聯通已經成功開展DDoS云清洗服務增值業務，自業務上線以來，上海聯通每年防護DDoS數萬次，且服務模式不斷創新。
“后期上海聯通將會對不同客戶采用差異化的防護策略。” 魏尚俊透露，“我們不僅僅在城域網采用逐包檢測+清洗的防護方案對的IDC、ISP客戶提供防護服務。一些重要的VIP客戶，我們還會考慮在客戶網絡接入處增加一個小型硬件設備，實現檢測及客戶網絡帶寬范圍內攻擊清洗，真正實現云清洗。”
堅持“被集成” 致力于最優方案
一直堅持“被集成”的華為，秉承的是與合作伙伴實現共贏。面對日趨兇猛的DDoS攻擊，華為也在不斷優化和升級其產品方案。華為企業網絡產品線副總裁劉立柱表示，華為安全產品團隊一直致力于為客戶提供最優的Anti-DDoS安全解決方案：
一是從自身的硬件設備上不斷提升處理能力；二是在解決方案上逐漸轉向SDN感知的方式，在攻擊源頭上實現動態分布式的DDoS防御；三是面對聯通運營規模的不斷擴大，應急響應量的增加，華為同聯通將進行更深入的合作，包括提供安全業務規劃咨詢、應急響應服務等，為聯通的企業客戶提供更加貼身和快速響應的安全防護方案。