“云”清洗解决方案应对DDoS攻击保护云计算

当前，大规模复杂的、混合的DDoS攻击愈演愈烈，这对于网络资源的保护提出了新的挑战。由于企业向云计算模式转移的步伐越来越快，数据中心作为大量虚拟数据的存储地，已经成为DDoS的重要攻击目标。

由于网络设备以及传统的边缘安全技术，例如，防火墙、入侵检测系统自身不能提供足够的DDoS保护。面对这些不可避免且日益增长的网络威胁，网络运营商在寻找通过最优现行方法保护网络不受攻击的方法。包括网络架构最优方法、主机最优方法和部署DDoS专用的异常检测和抵御方案。与传统的DDoS防御技术相比，这种方法能够准确识别出流向关键任务主机及应用程序的合法流量和恶意流量，准确阻挡恶意流量，同时让合法流量通过，保证业务、服务运作正常。

随着DDoS攻击的不断演变，抗DDoS攻击技术也在迅速发展。从1Gbps抵御容量，到之后的3Gbps抵御容量，而多个模块更是可以提供10+ Gbps的防御保护。鉴于云计算网络环境的复杂性与攻击变化的多样性，通过集成路由与安全技术实现异常流量（主要是DDoS）“云”清洗系统。借助SaaS（安全即服务）的方式实现“云”清洗将成为最有效的解决方案。

当Netflow应用于Anti-DDoS“云”清洗系统时，NetFlow常常被部署在SP或者企业网络的边缘，监控边缘以及对等接口的带内流量，因为对于大部分攻击，这些是典型的入口点。路由器会保留在线NetFlow缓存区跟踪当下流量。IP流量信息从NetFlow缓冲区中输出，然后进入外部采集器做进一步分析。

网御星云针对未来网络发展的状况，提供单机清洗处理能力达20G的LeadSec-Guard9000产品，并在此基础上形成全网异地清洗的解决方案，设计了两级负载分担，包括BGP路由等值多路径负载分担和Port-Channel链路聚合负载分担。

1、一级负载分担由四台LeadSec-Guard9000设备组成一个集群组，分别与骨干网络的路由设备配置BGP邻居，带有攻击的混合流量将从骨干路由器牵引到异常流量过滤系统。交换机根据链路聚合的负载分担功能进一步将流量分担到每一个集群组中的LeadSec-Guard设备上。这样，有效保证每台异常流量过滤设备都处于较均衡的工作状态，保障了对攻击流量的准确分析和过滤，同时也避免了单台设备过载导致误判或漏处理。一个集群组可以处理清洗80G的攻击流量。

2、二级负载分担经过IBGP或EBGP动态路由协议等值多路径进行第二级分担到达交换机，当路由的目的地址相同，而下一跳不同，且管理距离相同，则动态路由协议可以实行不同链路负载均衡运行，这样在整个骨干网上架设八个集群组清洗中心，形成一个全网感知的“云”，任何一个集群清洗中心出现攻击，可以由IBGP或者EBGP路由协议负载分担到八个集群进行并行处理，或者根据就近原则由其中几个集群清洗中心处理，这样就形成了一个“云”清洗系统。

网御星云针对“云”清洗有成熟的解决方案和完整的运行环境，将在未来云计算的框架下稳定运行，做“云”攻击的“都江堰工程”。