抗DDoS（分布式拒絕服務攻擊）攻擊系統是針對業務系統的穩定、持續運行以及網絡帶寬的高可用率提供防護能力進行維護。然而，自1999年Yahoo、eBay等電子商務網站遭到拒絕服務攻擊之後，DDoS就成為Internet上一種新興的安全威脅，其危害巨大且防護極為困難。 尤其是隨著黑客技術的不斷發展，DDoS攻擊更是出現了一些新的動向和趨勢： 高負載—DDoS攻擊通過和蠕蟲、Botnet相結合，具有了一定的自動傳播、集中受控、分布式攻擊的特征，由於感染主機數量眾多，所以DDoS攻擊可以制造出高達1G的攻擊流量，對於目前的網絡設備或應用服務都會造成巨大的負載。 復雜度—DDoS攻擊的本身也從原來利用三層/四層協議，轉變為利用應用層協議進行攻擊，如DNS UDP Flood、CC攻擊等。某些攻擊可能流量很小，但是由於協議相對復雜，所以效果非常明顯，而防護難度也很高，如針對網游服務器的CC攻擊，，就是利用了網游本身的一些應用協議漏洞。 損失大—DDoS攻擊的危害也發生了一些變化，以往DDoS主要針對門戶網站進行攻擊，如今攻擊對象已經發生了變化。如DNS服務器、VoIP的驗證服務器或網游服務器，互聯網或業務網的關鍵應用都已經成為攻擊的對象，針對這些服務的攻擊，相對於以往會給客戶帶來更大的損失。 疏與堵的博弈 近幾年來，蠕蟲病毒是Internet上最大的安全問題，某些蠕蟲病毒除了具有傳統的特征之外，還嵌入了DDoS攻擊代碼，加之Botnet的出現，黑客可以掌握大量的傀儡主機發動DDoS攻擊，從而導致其流量巨大。在2004年唐山黑客針對北京某知名音樂網站發動的DoS攻擊中，其攻擊流量竟然高達700M，對整個業務系統造成了極大的損失。 目前絕大部分的抗拒絕服務攻擊系統雖然都號稱是硬件產品，但實際上都是架構在X86平台的服務器或是工控機之上，其關鍵部件都是采用Intel或AMD的通用CPU，運行在經過裁剪的操作系統（通常是Linux或BSD）上，所有數據包解析和防護工作都由軟件完成。由於CPU處理能力以及PCI總線速度的制約，這類產品的處理能力受到了很大的限制，通常這類抗拒絕服務攻擊產品的處理能力最高不會超過80萬pps。 然而，面對DDoS攻擊，傳統X86架構下的DDoS防護設備在性能及穩定性上都很難滿足防護要求，更何況在傳統抗DDoS攻擊方案中，基本上都采用了串聯部署（即：接在防火牆、路由器或交換機與被保護網絡之間）的模式，這種模式存在較多的缺陷：一方面增加了網絡中的單點故障，同時可能造成性能方面的瓶頸，尤其在攻擊流量和背景流量同時存在的情況下，可能導致設備負載過高，從而影響正常業務的運行；另一方面，以往的DDoS防護設備和防火牆系統都有著千絲萬縷的聯系，所以其防護功能主要在協議棧的三層/四層實現，這類設備針對目前承載在應用層協議之上的DDoS攻擊防護乏力。 正是因為如此，我們應該從架構上對整個抗拒絕服務攻擊設備進行重新設計，以達到從性能、功能以及穩定性上滿足目前DDoS防護的進一步需要。 抗海量拒絕服務攻擊，可謂疏與堵的一場博弈。 決勝的棋子 日前，綠盟科技新推出的黑洞2000產品，具備了應對海量DDoS攻擊的能力。它不僅支持傳統的串聯模式，同時還基於流量牽引的技術，實現了旁路工作模式。一方面，旁路模式消除了網絡中的單點故障，避免了由於設備本身故障或負載過高對網絡造成的影響；同時，通過流量牽引，黑洞2000可以只針對已經分流後的攻擊流進行重點防護，從而提高了應對海量DDoS攻擊的承付能力。 除了穩定性和性能，黑洞2000相對於原有型號的產品有了質的飛躍，更為重要的是，旁路模式支持多種復雜網絡環境的部署。例如，針對城域網的核心層網絡的DDoS攻擊，黑洞2000就提供了基於MPLS的遠程流量牽引；針對城域網匯聚層之下的DDoS攻擊防護，黑洞2000產品實現了L3->L2的流量牽引和注入機制。而在大型IDC或電子商務網站入口，一般都是冗余網絡環境，如果采用黑洞2000就能夠對這類應用提供良好的支持，在保證網絡可靠性要求的同時，也節省了大量的設備投資成本。 黑洞2000的推出，從真正意義上實現了對復雜網絡環境下的海量DDoS攻擊的防護。其64字節下的千兆線速的處理能力、復雜網絡環境下的旁路工作模式、針對應用協議的優異的防護算法，不僅是其鮮明的特征，也是評價下一代抗拒絕服務攻擊系統優劣的重要指標。黑洞2000作為抗拒絕服務攻擊的網關型設備，旁路模式的支持，標志著綠盟科技對於大型網絡和復雜網絡下的抗拒絕服務攻擊防護達到了國際水平。黑洞2000目前已經在運營商、金融行業的多家用戶的關鍵項目上得到了應用，保證了其關鍵業務免受DDoS攻擊的影響。
