防范混合攻击　把网络作为安全第一道防线

随着各种类型的网络攻击变得愈加频繁和复杂，全球企业网络面临的威胁也随之攀升。对任何用户来说，其所需要的应用安全解决方案必须能够精确解除潜在的网络宕机以及应用滥用等威胁。日前笔者就相关问题采访了Radware DefensePro产品经理Ziv Ichilov先生。

专访嘉宾介绍

Ziv Ichilov先生现为Radware安全部门产品经理，负责Radware安全解决方案的未来规划与设计，利用他在不同领域的知识，不断改善Radware DefensePro产品。加入Radware之前，Ziv曾在数据技术公司从事支持与售前工作，从数据安全，到存储，到移动多媒体，再到智能解决方案均有所涉及。从他不同的工作中，Ziv获得了智能安全解决方案产品管理与市场及不同地区的销售生命周期的丰富经验。另外，Ziv拥有特拉维夫大学哲学文学学士与教育学硕士学位。

2009年7月，一起大规模、有针对性的DDoS攻击浪潮将矛头对准美、韩两国的商务网站和军事网站，网络层和应用层遭遇混合的、高密度、高量攻击。将近5万-6.5万台计算机成为僵尸网络的傀儡机，这些傀儡机又进一步造成了更大范围的扩散，对美国联邦贸易委员会、纽约证券交易所、Yahoo!网站、美国财政部以及韩国的新韩银行、Naver.com网站、韩国国防部等网站的大量访问造成了网站系统的延迟甚至崩溃。

DDoS攻击也在国内不断兴风作浪，2009年5月18、19日，我国多个省市网络出现瘫痪、堵塞的现象。事故的起因就是大量“肉鸡”组成的“僵尸网络”对国内最大的免费域名服务提供商 DNSPod进行DDoS(分布式拒绝服务)攻击，攻击集中在6台服务器。导致包括国内诸多知名网站在内的大量网站开始间歇性无法访问，最终引发暴风影音域名解析请求超出正常水平，导致网络服务大面积中断。

为什么安全设备会失效？这里需要看下这些攻击的特点：(1)来源多，超过5万个肉鸡发送正常的请求和DoS请求，而且二者混合在了一起；(2)高量，每秒200万个请求，造成IPS和抗DoS设备承受不了，最终崩溃而无法继续提高安全防护。从这些事件中可以发现，没有任何一个单一的防护手法可以防范上述安全威胁，只有涵盖了IPS、网络行为分析、DoS防护，才能对系统进行完整的防护。

当前许多组织机构都仅仅部署了单一的保护方案，如入侵防御系统（IPS）、网络行为分析（NBA）和拒绝服务攻击（DoS）保护等。然而，新兴的网络攻击将目标对准了数据中心，这表明没有任何一款单一的工具能够解决当前的网络威胁。然而多个单一安全工具的部署不仅增加了成本和复杂性，而且使网络及服务无法防御混合攻击。

Radware推出的DefensePro应用安全解决方案，兼具多项安全功能，可有效保护应用基础设施免受各种网络安全攻击和新型的零时攻击、非漏洞攻击等，充分满足用户对网络威胁不断变化而产生的安全需求。

近日，Radware公司还发布了业界第一款APSolute攻击防御解决方案，这也是业界唯一一款将IPS、NBA及DoS防护等有机结合在一起并协同工作的安全解决方案。在全面保护网络及数据中心基础设施免受日益增长的混合威胁攻击的同时，还有效保证了用户成本的降低。

云计算给安全带来很大挑战，最重要的是，所有服务都被放在了云里面，云相当于整个数据中心的综合。如果客户端无法连接云，整个服务就没有了，所以一定要保障服务的连续性。要保证服务的连续性，就要了解服务。Radware的目的就是保障服务，不影响服务的运行。

与传统单一数据中心相比，对于云计算中的众多数据中心，不能把安全防御放到某个防护体系，需要从整体进行安全防护。目前的网络威胁已经无法仅仅依靠单一处理方案就得以解决，只有将多个安全解决方案有机结合在一起并协同工作，才能全面保护网络及数据中心基础设施免受日益增长的混合威胁攻击。Radware日前推出的APSolute 攻击防御解决方案能够防范应用漏洞、信息窃取、验证失败、恶意软件传播、网络异常、应用宕机、网络宕机等安全威胁。

那么云计算的重点在哪里呢？看问题的角度不同，重点也不同，Ziv先生认为，作为云计算核心部分的数据中心就是云计算的安全重点。对于Radware而言从自身优势出发，把云计算的基础——网络作为第一道安全防线，将针对云计算网络的安全威胁：入侵防御系统（IPS）、网络行为分析（NBA）和拒绝服务攻击（DoS）保护等拒之门外。

对于企业用户来说，是选择融合性统一安全产品，还是选择多款安全产品组成整体安全防护系统呢？仅就理论而言，二者的安全防护效果并无太大差别，都能起到相同的安全防护作用。区别其实在成本上，成本问题才是融合与否的关键，因为有些中小企业所能承受的成本仅仅是一台机器的价格，两台机器的购买价格、两台机器的看管、维护所需要耗费的人力、物力，这些加在一起就会使成本上升，使得企业无法承受。另外，两台设备之间的信息共享与一台机器内部的信息共享明显是不同的，后者的信息共享更快捷、方便。前者如果是同一厂商的两台设备还好说些，如果是不同厂商的产品，那么设备间的信息共享就十分困难，甚至无法进行信息共享。