黑洞抗DoS/DDoS防火墙所带来的防护

　　本文向大家介绍黑洞抗DoS/DDoS防火墙，可能好多人还不了解黑洞抗DoS/DDoS防火墙，没有关系，看完本文你肯定有不少收获，希望本文能教会你更多东西。

　　什么是DDOS：

　　DDoS(分布式拒绝服务)攻击是利用TCP/IP协议漏洞进行的一种简单而致命的网络攻击，由于TCP/IP协议的这种会话机制漏洞无法修改，因此缺少直接有效的防御手段。大量实例证明利用传统设备被动防御基本是徒劳的，而且现有防火墙设备还会因为有限的处理能力陷入瘫痪，成为网络运行瓶颈;另外，攻击过程中目标主机也必然陷入瘫痪。

　　DoS/DDoS主要采用的是SYN FLOOD及其变种的攻击，现在新的比如CC的攻击也属于这个范畴但是CC更智能一些，它用的是多次读取同一个服务器存在的文件的方式，现有的DoS/DDoS防火墙和防火墙软件都是采用的防止SYN以及FLOOD的攻击没有做重复包的检测，所以导致了大多数防火墙对CC造成的DoS/DDoS攻击没效果;防火墙是基于内核的网桥式重复包检测、SYN FLOOD过滤、ARP过滤，这样即便你是伪造的包，但是因为防火墙没这个存在的ARP地址而导致这个是一个不合法的包从而被防火墙过滤掉，如果一个数据包想通过这个防火墙就必须符合以下的特点，一是已经存在的ARP这个可以被验证是正确的ARP，二是这个数据包不是重复的包(200NS以内)，三是这个连接地址是存在的，四这个数据包的状态是持续的连接，如果不是持续的连接一样被过滤掉。

　　DoS/DDoS现在比较流行的一种方式是CC攻击及CC变种攻击，攻击7000.7100端口，这往往发生在网络游戏服务器上，导致玩家进入游戏界面选择和建立不了人物。其基本原理是：攻击发起主机(attacker host) 多次通过网络中的HTTP代理服务器(HTTP proxy) 向目标主机(target host) 上开销比较大的CGI页面发起HTTP请求造成目标主机拒绝服务( Denial of Service ) 。这是一种很聪明的分布式拒绝服务攻击( Distributed Denial of Service ) 与典型的分布式拒绝服务攻击不同，攻击者不需要去寻找大量的傀儡机，代理服务器充当了这个角色。

　　那么，机房采用的硬件防火墙能不能很好的防御DoS/DDoS攻击呢?

　　要研究这个问题，还是先来看看国内的机房都采用哪些硬件防火墙：其实目前国内抗DoS/DDoS防火墙比较知名的，同时信誉度和使用效果也比较好的应该是黑洞、金盾和Dosnipe的产品。一些其他的所谓“XX盾DoS/DDoS防火墙”多半是抄袭篡改或者完全就是没有实际效果只是用来骗钱的东西。

　　黑洞抗DoS/DDoS防火墙

　　黑洞抗DoS/DDoS防火墙是国内IDC中应用比较广泛的一款抗DoS/DDoS攻击产品，其技术比较成熟，而且防护效果显著，黑洞抗DoS/DDoS防火墙已经得到各大IDC机构的共同认可。黑洞目前分百兆、千兆两款产品，分别可以在相应网络环境下实现对高强度攻击的有效防护，黑洞性能远远超过同类防护产品。千兆黑洞主要用于保护骨干线路上的网络设备如防火墙、路由器，百兆黑洞主要用于保护子网和服务器，使用多种算法识别攻击和正常流量，能在高攻击流量环境下保证95%以上的连接保持率和95%以上的新连接发起成功率，核心算法由汇编实现，针对Intel IA32体系结构进行了指令集优化。对标准TCP状态进行了精简和优化，效率远高于目前流行的SYN Cookie和Random Drop等算法。

　　黑洞所带来的防护：

　　◆自身安全:无IP地址，网络隐身。

　　◆能够对SYN Flood、UDP Flood、ICMP Flood和(M)Stream Flood等各类DoS/DDoS攻击进行防护。

　　◆可以有效防止连接耗尽，主动清除服务器上的残余连接，提高网络服务的品质、抑制网络蠕虫扩散。

　　◆可以防护DNS Query Flood，保护DNS服务器正常运行。

　　◆可以给各种端口扫描软件反馈迷惑性信息，因此也可以对其它类型的攻击起到防护作用。