DDoS攻击防御方案

近期DDoS攻击事件较多(2014年DDoS攻击事件分析),大家都在思考一个问题,在面临DDoS攻击的时候,如何防御ddos攻击?绿盟科技安全+技术刊物特别邀请到绿盟科技在运营商方面的DDoS专家,给大家讲讲DDoS攻击防御方案。 


DDoS攻击威胁现状

对于DDoS攻击,有多种分类方式,例如流量型DDoS攻击(如SYN Flood、UDP Flood、ICMP Flood、ACK Flood等)、应用层的DDoS攻击(如Http Get Flood、连接耗尽、CC等)、慢速DDoS攻击以及基于漏洞的DDoS攻击。其中,最难应对的是分布式放大型DDoS攻击,对于此类攻击,从被攻击者的角度看,所有数据包都是正常的,但数量是海量的,一般可以达到300G—2T,且随着宽带网络时代的来临,发生的几率越来越高。

对于企业用户的服务器,其通常部署在电信运营商的IDC中心,并租用电信运营商的100/1000M、10G链路接入互联网。类似的,对于电信运营商的自有系统,一般也是采用100/1000Mbps链路接入互联网的。总之,相对于流量超过300G的DDoS攻击来说,用户网络接入带宽是非常小的。

更多的DDoS攻击态势,请参考 2014H1 DDoS报告:政府网站依然是最主要的攻击对象 


现有异常流量清洗方案及其不足

传统方案不足以支持40GDDoS攻击流量

DDoS攻击的对象是客户的业务服务器,这些业务服务器通常位于运营商的IDC中心,或者企业自建网络中。传统的异常流量清洗设备是近业务主机部署的,由于建设主体不同,通常由异常流量监测设备、异常流量清洗设备组成,那么方案不足:

1、 异常流量清洗设备的清洗能力一般在20G或者40G(采用异常流量清洗设备集群方式实现)以下,对于高出清洗能力的DDoS攻击,仍将使服务中断或服务水平下降;

2、 即使攻击流量在20G以下,由于攻击流量占用了大量带宽,仍将使服务水平下降,用户体验降低;

3、 无法防御来自内部(从下至上流量,在异常流量清洗设备防护范围之外)的DDoS攻击。


一味的追求高性能方案,又导致服务能力下降

对于传统的异常流量清洗方案,其最大的短板在设备的清洗能力不足,于是最先想到的是提高攻击流量清洗能力。又由于业务服务器的网络接入链路带宽及接入路由器处理能力有限,所以异常流量清洗系统的部署位置需要往上移动,通常在省干出口路由器上部署流量清洗设备(当然,也可以将异常流量清洗设备部署在城域网路由器上,但这种方案在同等防护能力的情况下,将使用更多的设备,投资更高)。方案不足:

1、 无法处理200G之上流量的DDoS攻击;

2、 无法防护来自城域网(自下向上,在异常流量清洗设备防护范围之外)的DDoS攻击;

3、 在电信运营商的骨干网上具有大量的无用的DDoS攻击流量,浪费了宝贵的骨干网带宽和设备处理能力,造成网络服务水平下降;

4、 防护设备价格高,方案性价比低。


大流量DDoS攻击清洗方案

从DDoS攻击的趋势看,未来DDoS攻击的流量约来越大,如果仅仅采用近业务主机的异常流量清洗方案,即使防护设备能力再高,也无法赶上DDoS攻击流量的增长,无法满足防护要求。而采用近源清洗的方式,将异常流量清洗设备分散部署在靠近攻击源的位置,每个清洗设备只清洗一部分,综合起来,就具有了巨量的异常流量清洗能力,且其防护能力具有非常好的弹性,不仅可以满足现在的需要,还可以满足抵御更高的大流量DDoS攻击的需要。

实现异常流量清洗需要检测和清洗能力的结合,如果只采用近源流量清洗的方式,由于攻击流量小,告警阀值低,容易产生误判和漏判的问题。因此我们的总体设计思路如下:


  • 采用检测和清洗能力分离的方式。从提高检测灵敏度和经济性的角度考虑,尽可能将检测设备靠近业务主机部署,或者在核心网进行检测。而对于清洗设备来说,尽量多的靠近攻击源进行部署。

  • 近源和近业务主机清洗方式相结合。通过近源部署清洗设备的方式,可以获得非常大的异常流量清洗能力和弹性,同时也可以降低成本。但是,如果每个异常流量清洗点漏洗一部分攻击流量,比如说开启流量清洗动作阀值下的流量,这些流量汇聚到业务主机,也就形成了DDoS攻击,因此还需要近业务主机部署清洗设备,以处理这种情况。

  • 双向异常流量清洗。对于某些网络接入点或网络区域的业务主机来说,其可能会受到外部的DDoS攻击,同时其也会向外发送DDoS攻击数据,且这两种情况可能同时发生,因此需要进行双向异常流量清洗。

  • 统一管理和协同。对于一次具体的大流量DDoS攻击来说,一旦检测设备检测到攻击,就需要按需调动相应的清洗设备按照统一的策略进行异常流量清洗,因此需要对所有清洗设备进行统一管理,做好动作协同。


另外,为了减少误判、漏判的发生,需要将异常流量检测设备的检测数据汇聚起来,进行筛选、比对和分析,提高检测准确率,减少漏报率,并能够根据攻击来源,明确需要调动的清洗设备。

关键技术实现分析

本方案主要包括攻击流量检测部分、异常流量清洗部分和管理平台三部分。对于攻击流量检测部分,相比于前面的方案区别不大,这里重点说明其他两部分。


  • 管理平台部分。管理平台收到流量检测数据后,需要进行汇总、筛选和分析,一旦判断出异常流量攻击,就可以启动异常流量清洗策略生成和调度动作,此时需要明确1)攻击来源区域,以确定需要调动的清洗设备;对此,可以采用相应的攻击溯源系统实现,或者基于IP地址库通过分析攻击数据源IP地址实现;2)具体设备的清洗策略。从实现角度讲,主要分为近源清洗策略和近业务主机清洗策略,需要根据具体清洗设备的部署位置分配不同的清洗策略。

  • 异常流量清洗部分。不同于前面的异常流量清洗设备,本方案中的的清洗设备需要具备双向流量清洗能力。从实现原理上讲,一旦流量清洗设备接收到相应的清洗请求,就可以根据策略进行流量牵引,经过清洗后,近源清洗设备可以把干净的流量向上(向核心网)进行回注,而近业务主机清洗设备可以把干净的流量向下(向业务主机)进行回注。



部署方案

对于电信运营商来说,其DDoS攻击来源主要包括:


  • 本地城域网家庭终端

  • 本地移动互联网智能手机终端

  • IDC中心的业务主机

  • 本地网内的自有业务主机

  • 国内互联网络入口

  • 国际互联网络入口

对于异常流量检测设备,可以部署在可以各省干出口路由器、IDC中心出口路由器、本地网内自有业务主机出口路由器的位置,实现对全网攻击流量的检测。

对于异常流量清洗设备,可以旁挂在靠近攻击源的路由器上,比如IDC出口路由器、城域网出口路由器、分组核心网出口路由器、自有业务网络出口路由器、国内或国际互联接口路由器等等。具体部署位置可以根据网络的不同情况进行调整。

另外,在网内部署一台安全管理平台,实现和所有攻击流量检测设备、攻击流量清洗设备互连即可,部署位置不限。


攻击防护过程说明

为了简化,我们以北京、上海、广州三地IDC中心进行协同防护为例进行说明。系统防护方案简要示意图如下。

图3 系统防护简要示意图

现在,假设上海IDC中心的服务器受到了大流量DDoS攻击,其防护过程如下。

1、 攻击检测   当发生DDoS攻击时,在核心网内部、IDC中心出口部署的攻击流量监测设备将实时采集的Netflow数据送到安全管理平台,安全管理平台通过汇聚分析,判断发生了DDoS攻击后,将根据攻击源IP地址信息,明确攻击来源的省份和接入点,这里假设包括来自北京、广州的IDC中心。

明确了攻击来源省份和接入点的信息后,安全管理平台将向北京、广州IDC中心的流量清洗设备下发近源流量清洗策略,同时向上海IDC中心的流量清洗设备下发近业务主机流量清洗策略。

2、 攻击防护   北京、广州IDC中心部署的流量清洗设备收到启动清洗策略的命令后,将基于被攻击的上海IDC中心业务主机IP地址进行流量牵引,将所有目的地址为受攻击IP的流量牵引到流量清洗设备上,进行清洗后,回注到IDC中心出口路由器上,并向上进行转发。

当包含剩余部分攻击流量的数据包到达上海IDC时,此处的异常流量清洗设备将根据收到的流量清洗策略,将所有目的地址为攻击IP的流量牵引到流量清洗设备上,进行清洗后,把干净的流量回注到IDC中心的接入路由器上,向下转发给业务主机,从而实现对攻击流量的彻底清洗。


绿盟科技DDoS攻击防御方案

 采用本文讨论的大流量DDoS攻击防护方案,将使电信运营商获得弹性的、大流量DDoS攻击防护的能力,且可以充分利用已采购的安全防护设备,节省投资。另外,还大幅减少了骨干网上的异常流量,降低无谓的带宽损耗。

随着大流量DDoS攻击的流行,IDC中心租户自建的DDoS防护设备已不能满足防护要求,电信运营商可以依赖这一弹性的、大流量DDoS攻击防护能力为IDC中心租户提供抗DDoS攻击防护增值服务,从而获得额外的经济收益。


本文节选自绿盟科技安全+技术刊物第27期《大流量DDoS攻击防护方案探讨》


DDoS攻击防御方案的相关文章请参看

ddos流量清洗方案 

2014年DDoS攻击事件分析 

DDoS攻击态势 

DDoS攻击工具HOIC分析