高防服务器: 企业级服务器; BGP服务器; 多线服务器; 大带宽服务器

云服务器: 黑石裸金属服务器; 高防云; 华为云BGP; 阿里云BGP; 腾讯云BGP

业务安全: 高防IP; 高防CDN; 游戏盾（高防版）; 游戏盾（SDK版）; 云加速(应用加速); 快快盾(PC端游戏安全)

云安全: 快卫士(主机安全); Web应用防火墙(WAF); DDoS安全防护; 数据库审计; 堡垒机; 云防火墙

数据中心: 济南三枢纽数据中心; 厦门海峡通信枢纽数据中心; 安溪EC数据中心

定制场景化企业级服务器

主流服务器配置，可根据客户行业和业务特点，需求及预算，个性化定制服务器租用方案。其中，云服务器可根据客户业务需求，提供各种环境的基础架构资源，从计算资源、存储资源网络资源到跨数据中心的访问。

一线主流BGP服务器产品

BGP服务器实现单IP全网优质访问，快快网络严选优质BGP数据中心，主流服务器配置，可根据客户行业和业务特点，需求及预算，个性化定制服务器租用方案。

多线IP搭载全新安全产品

多线多IP高防级服务器配置，可根据客户行业和业务特点，需求及预算，个性化定制服务器租用方案。其中，云服务器可根据客户业务需求，提供各种环境的基础架构资源，从计算资源、存储资源网络资源到跨数据中心的访问。

量身定制场景化的服务器租用方案

黑石裸金属服务器

裸金属服务器（Bare Metal Server）是一种可弹性伸缩的高性能计算服务，具有与物理服务器无差异的计算性能和安全隔离的特点。满足企业在电商、直播、游戏等业务场景对高性能、安全性和稳定性的需求痛点。分钟级交付，实时售后服务响应，助力您的核心业务飞速成长。

高防云解决方案

高防云是快快云推出的一款专注网络安全的高性能安全云服务器，针对当今网络攻击形式越来越严峻提供高防场景下上云部署的最佳实践与贴身技术支持，满足企业云计算时代的安全需求。

一站式服务·华为云合作

华为云是华为公有云品牌，致力于提供世界一流的公有云服务，联接企业现在与未来快快云与华为云达成合作关系，结合用户痛点和华为云服务，为客户提供合适的产品及解决方案。

托管式私有云·阿里云集成

快快网络专家架构师团队结合用户痛点和阿里云服务，为用户提供云安全防护、云战略咨询、云架构规划、云运维管控、云上部署等专业服务及行业解决方案。将阿里云合适的产品和服务推荐给用户，解决企业的痛点。一站式服务，快速响应，让您的业务轻松无忧。

混合云·腾讯云集成

快快网络云计算架构师团队结合用户痛点和服务，与全国TOP5的超大云厂商互为战略伙伴，为用户提供架构梳理，企业解决方案，云上部署等专业服务。解决企业的痛点。为企业用户交付最佳混合云解决方案。

轻松应对大量DDoS攻击

专注于解决云外业务遭受大流量DDoS攻击的防护服务。支持网站和非网站类业务的DDoS、CC防护，用户通过配置转发规则，将攻击流量引至高防 IP 并清洗，保障业务稳定可用。

高防CDN

具备防护超大带宽DDoS的分布式防御及高安全立体式防CC系统，通过智能调度系统对攻击流量进行分流和清洗，避免受攻击时更换业务IP和繁琐的接入过程，简便高效，为您的业务提供安全保障。

网络安全管理解决方案

针对游戏行业所推出的高度可定制的网络安全管理解决方案，除了能针对大型DDoS攻击（T级别）进行有效防御外，还能彻底解决游戏行业特有的TCP协议的CC攻击问题，防护成本更低，效果更好。

全新的SDK接入模块

提供内含Windows、Android、iOS版本的加密SDK下载接入，防护DDoS和CC攻击，为游戏提供断线重连、智能加速、灵活调度的支持。

游戏安全加速

快快-云加速打造新高防模式，加速游戏软件。智能规划连接及加速网络，增强DDOS以及CC防御，游戏极速畅通无阻。

传奇类游戏智能保护

快快盾是一款针对PC端传奇类PC游戏为主的DDOS和高并发CC的安全加速软件，为用户提供独享防护资源，支持全业务抗D场景，致力于完美无损解决大规模DDOS攻击。

主机安全平台

快卫士主机安全采用自适应安全架构，将预测、防御、监控和响应能力融为一体，构建基于主机端的安全态势感知平台，为用户提供持续的安全监控、分析和快速响应能力，帮助用户在公有云、私有云等多样化的业务环境下，全方位保护企业数字资产安全。

Web应用防火墙(WAF)

快快网络Web应用防火墙WAF自动防护Web漏洞，对网站业务流量进行多维度检测和防护，将正常、安全的流量回源到服务器，避免黑客及病毒入侵。全面应对恶意弹窗、挂马中毒、数据泄露、CC攻击等问题。

DDoS安全防护

以持续扩张的安全网络为基础，结合自研ADS系统，加持机器学习及特征处置联动能力，扩大攻击可能性的捕捉范围，实时检测阻断各类DDoS攻击（如SYN Flood、UDP Flood、CC等），确保源站稳定可靠，以行业最高SLA标准99.999%确保业务永续无忧。

数据库审计

智能解析数据库通信流量，细粒度审计数据库访问行为，通过对数据库全量行为的审计溯源、危险攻击的实时告警、风险语句的智能预警，为您最敏感的数据库资产做好最安全的监控保障。

堡垒机

堡垒机，云上统一、高效、安全运维通道。用于集中管理资产权限，全程监控操作行为，实时还原运维场景，保障云端运维身份可鉴别、权限可管控、风险可阻断、操作可审计，助力等保合规

云防火墙

云防火墙服务是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括：实时入侵检测与防御，全局统一访问控制，全流量分析可视化，日志审计与溯源分析等，是您的网络边界防护与等保合规利器。

独家签约济南联通核心资源

济南联通核心资源已由快快网络独家签约，是济南联通山东省核心总出口，直连省份最多达到22个省，出省宽带最高达到1.9个T，设置2套高压系统，配备了水冷冷水机组/高效热交换器+冷却塔+冷冻水空调室内机等设施。

全力重点打造的核心项目

快快网络全力重点打造的核心项目，是福建省规模最大的IDC基地，拥有近4000个机柜和多条海底光缆出口，最大出口带宽达到2T级，配套了三个回路供电系统以及福建省首个液态冷却系统等设施。

东南沿海地区辐射的重要战略基地

快快网络向东南沿海地区辐射的重要战略基地，拥有近4500个机柜，是华东南规模最大的高可用、高安全的数据中心，项目一期480G直连CHINANET骨干节点，一季度出口带宽达1T，拥有高设计等级的IDC产品服务，极具市场竞争力。

技术文档 > DDoS拒绝服务攻击和安全防范技术 2015-05-25 15:13:38

DDoS拒绝服务攻击和安全防范技术

文章编辑于 2015-05-25 15:13:38

一、DDOS拒绝服务攻击简介

“拒绝服务（Denial-Of-Service）攻击就是消耗目标主机或者网络的资源，从而干扰或者瘫痪其为合法用户提供的服务。”国际权威机构“Security FAQ”给出的定义。

DDOS则是利用多台计算机机，采用了分布式对单个或者多个目标同时发起DoS攻击。其特点是：目标是“瘫痪敌人”，而不是传统的破坏和窃密;利用国际互联网遍布全球的计算机发起攻击，难于追踪。

目前DDOS攻击方式已经发展成为一个非常严峻的公共安全问题，被称为“黑客终极武器”。但是不幸的是，目前对付拒绝服务攻击的技术却没有以相同的速度发展，TCP/IP互联网协议的缺陷和无国界性，导致目前的国家机制和法律都很难追查和惩罚DDOS攻击者。DDOS攻击也逐渐与蠕虫、 Botnet相结合，发展成为自动化播、集中受控、分布式攻击的网络讹诈工具。据方正信息安全技术有限公司的有关专家介绍，DOS从防御到追踪，已经有了非常多的办法和理论。比如SynCookie，HIP（History-based IP filtering）、ACC控制等，另外在追踪方面也提出许多理论方法，比如IP Traceback、ICMP Traceback、Hash-Based IP traceback、Marking等。但目前这些技术仅能起到缓解攻击、保护主机的作用，要彻底杜绝DDOS攻击将是一个浩大的工程技术问题。

二、攻击原理

目前DDOS攻击主要分为两类：带宽耗尽型和资源耗尽型。

带宽耗尽型主要是堵塞目标网络的出口，导致带宽消耗不能提供正常的上网服务。例如常见的Smurf攻击、UDP Flood攻击、MStream Flood攻击等。针对此类攻击一般采取的措施就是QoS，在路由器或防火墙上针对此类数据流限制流量，从而保证正常带宽的使用。单纯带宽耗尽型攻击较易被识别，并被丢弃。

资源耗尽型是攻击者利用服务器处理缺陷，消耗目标服务器的关键资源，例如CPU、内存等，导致无法提供正常服务。例如常见的Syn Flood攻击、NAPTHA攻击等。资源耗尽型攻击利用系统对正常网络协议处理的缺陷，使系统难于分辨正常流和攻击流，导致防范难度较大，是目前业界最关注的焦点问题，例如方正SynGate产品就是专门防范此类的产品。

针对DDOS的攻击原理，对DDOS攻击的防范主要分为三层：Source-end攻击源端防范、Router-based路由器防范、 Target-end目标端防范。其中攻击端防护技术有DDOS工具分析和清除、基于攻击源的防范技术;骨干网防护技术有会推技术、IP追踪技术;目标端防护措施有DDOS攻击探测、路由器防范、网关防范、主机设置等方法。

据方正安全工程师的多次实践分析，目标端防护技术得到最广泛应用。由于目标端使被攻击者，愿意为防护付出相应代价，并且实施难度也较低。而骨干网防范、攻击端防范都难于实施，合作意愿和难度上都有一定程度的问题

三、综合防范方法综述

目前基于目标计算机系统的防范方法主要三类：网关防范、路由器防范、主机防范。

1.网关防范

网关防范就是利用专门技术和设备在网关上防范DDOS攻击，例如用透明桥接入网络的方正防火墙或方正黑鲨等硬件产品。网关防范主要采用的技术有SynCookie方法、基于IP访问记录的HIP方法、客户计算瓶颈方法等。

SynCookie方法是在建立TCP连接时，要求客户端响应一个数字回执，来证明自己的真实性。SynCookie方法解决了目标计算机系统的半开连接队列的有限资源问题，从而成为目前被最广泛采用的DDOS防范方法，新的SCTP协议和DCCP协议也采用了类似的技术。SynCookie 方法的局限性在于，对于建立连接的每一个握手包，都要回应一个响应包，即该方法会产生1:1的响应流，会将攻击流倍增，极大的浪费带宽资源;此外，当分布式拒绝服务攻击的发起者采用随机源地址时，SynCookie方法产生的回应流的目标地址非常发散，从而会导致目标计算机系统及其周边的路由设备的路由缓冲资源被耗尽，从而形成新的被攻击点，在实际的网络对抗中也产生了真实的路由雪崩事件。

HIP方法采用行为统计方法区分攻击包和正常包，对所有访问IP建立信任级别。当发生DDOS攻击时，信任级别高的IP有优先访问权，从而解决了识别问题。

客户计算瓶颈方法则将访问时的资源瓶颈从服务器端转移到客户端，从而大大提升分布式拒绝服务攻击的代价，例如资源访问定价方法。客户计算瓶颈方法协议复杂，需要对现有操作系统和网络结构进行很大的变动，这也在很大程度上影响了该方法的可操作性。

综上所述，网关防范DDOS技术能够有效缓解攻击压力，适合被攻击者的自身防护。

2.路由器防范

基于骨干路由的防范方法主要有pushback和SIFF方法。但由于骨干路由器一般都有电信运营商管理，较难按照用户要求进行调整;另外，由于骨干路由的负载过大，其上的认证和授权问题难以解决，很难成为有效的独立解决方案。因此，基于骨干路由的方法一般都作为辅助性的追踪方案，配合其他方法进行防范。

基于路由器的ACL和限流是比较有效的防范措施，例如对特征攻击包进行访问限制，发现攻击者IP的包就丢弃;或者对异常流量进行限制等。也可以打开Intercept模式，由路由器代替服务器响应Syn包，并代表客户机建立与服务器的连接。类似一种SynProxy技术，当两个连接都成功实现后，路由器再将两个连接透明合并。

四、防范技术发展和趋势

DDOS攻击的发展非常快，为增加攻击威力，目前已经采用了许多新攻击技术：伪造数据，消除攻击包特征;综合利用协议缺陷和系统处理缺陷;使用多种攻击包混合攻击;采用攻击包预产生法，提高攻击速率。目前已经出现的攻击工具在单点情况下能发起6-7万个/秒攻击包，足以堵塞一个百兆带宽的大中型网站。

DDOS防范技术主要向攻击追踪、网关防范发展。利用ICMP数据包追踪、或是Burch 和 Cheswick提出的通过标志数据包来追踪的方法，都是目前研究的热点。在骨干网上攻击追踪研究的目标就是，在攻击者刚开始发起攻击时就能定位攻击源，从而阻挡攻击扩散和减轻目标损失。而网关DDOS防范技术将是未来产品发展的重点，将成为各类网站的DDOS防护盾牌，目前研究热点的也是利用行为统计等方法区分攻击包，例如方正黑鲨采用的CIP技术等。随着技术的发展，网关DDOS防范产品将得到广泛的应用。