网络设备也是网络边界很重要的设备，是整个数据中心的主干道，不能有任何闪失，这两天对Nexus网络设备进行了简单的安全加固，对主要的操作进行了下总结。
1、 企业级DDoS防火墙：用过不少厂家的DDoS防火墙，金盾、绿盟、傲盾等，这些防火墙原理上都类似，基本上都有强大的计数计时器，然后结合TCP/IP协议族的特点来进行防御，比如：每秒产生多少SYN半开连接算是攻击，每IP每秒产生多少ICMP流量算是攻击，还有某些协议中从那些位开始携带了某些特殊的字节算是攻击等等。对于一些流量不算大的攻击防御效果还是比较明显的。 2、 运营商级DDoS防护：对于流量较大的攻击，也只有运营商来防护了，运营商拥有较大的网络资源优势。运营商一般会提供两种防御方法，一种是直接进行封IP处理，比如使用RTBH技术等；还有就是对IP进行流量清洗，比如上海提供在四核心下的流量清洗服务，很多银行、互联网企业所喜好选择的服务。
防火墙分类有软件、硬件防火墙，有桌面防火墙，也有网络防火墙，还有针对具体应用的web/mail防火墙，也有DDoS防火墙等等；本篇就讲述下IDC机房常用的一类防火墙，比如cisco ASA、Juniper ISG/SRX、Checkpoint、Watchguard等此类防火墙进行说明。。防火墙经过多年的发展，也经历的很多变化，从一开始的包过滤防火墙，到状态化包过滤防火墙，再到集成UTM/IDP的应用识别过滤的防火墙；越来越智能和强大的同时，性能也越来越强。
随着技术的发展，网络边界变得也越来越复杂，比如web应用、无线接入、DCI、VPN等技术的应用，导致网络边界变的好像很庞杂，无从下手；但是无论是对边界进行分层加固，还是加强对各个网络入口的安全审计，亦或是对使用人员进行安全培训；都必须对各自网络心中有数。
前一阵子NTP放大攻击挺活跃的，现在来简单分析一下。攻击原理：1、 利用UDP协议的天然脆弱点，即不需要前期建立连接，直接就可以向client发送数据；2、 Internet上存在大量开放分布式的NTPServer，进行对同步请求的响应。3、 比DNS反射放大攻击威力更大的区别是NTP特有的一个Monlist功能，(Monlist指令，可以获取与目标NTP Se
Copyright © 2005-2025 51CTO.COM 版权所有 京ICP证060544号
