文档介绍：精品资料
金盾抗拒绝服务系统
技术白皮书
―――――――――――――――――――――――――――――
安徽中新软件有限公司
ANHUI ZXSOFT CO. LTD.
©版权所有 2002-2006
版权声明
© 版权所有2002-2006,安徽中新软件有限公司
本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明,版权均属安徽中新软件有限公司所有,受到有关产权及版权法保护。任何个人、机构未经安徽中新软件有限公司的书面授权许可,不得以任何方式复制或引用本文件的任何片断。
商标信息
中新软件、JDFW、金盾抗拒绝服务系统是安徽中新软件有限公司的商标。
目录
版权声明 2
商标信息 2
一、 概述 4
二、 形势及趋势 6
1. 受到攻击的现象 6
2. DOS/DDOS实例分析 6
3. 发展趋势 7
三、 防护手段 8
1. 普通防护措施 8
2. 网络安全设备 9
四、 金盾抗拒绝服务系统 11
1. 产品功能 11
2. 防护原理 12
3. 产品系列 14
4. 部署方式 14
五、 结论 15
概述
拒绝服务攻击(DOS/DDOS)是近年来愈演愈烈的一种攻击手段,其主要目的是造成目标主机的TCP/IP协议层拥塞、或者导致应用层异常终止而形成拒绝服务现象。目前,DOS/DDOS攻击方式主要有以下几种:
利用TCP/IP协议的漏洞,消耗目标主机的系统资源,使其过度负载。此种攻击也是目前最普遍存在的一种攻击形式,攻击者动辄发起几十兆甚至上百兆的攻击流量,造成目标的彻底瘫痪。常见的有SYN Flood,UDP Flood,ICMP Flood等等;
利用某些基于TCP/IP协议的软件漏洞,造成应用异常。此种攻击比较单一,通常是针对某个软件的特定版本的攻击,影响范围较小,且具有时限性。但通常此种攻击较难防治,漏洞查找较困难;
不断尝试,频繁连接的野蛮型攻击。此种攻击早期危害有限,但随着代理型攻击的加入,已渐有成为主流之势。常见的有web Proxy Flood等。
随着网络上各种业务的普遍展开,DOS/DDOS攻击所带来的损失也愈益严重。当前运营商、企业及政府机构的各种用户时刻都面临着攻击的威胁,而可预期的更加强大的攻击工具也会成批出现,此种攻击只会数量更多、破坏力更强大,更加难以防御。
正是DOS/DDOS攻击难于防御,危害严重,所以如何有效的应对DOS攻击就成为对网络安全工作者的严峻挑战。传统网络设备或者边界安全设备,诸如防火墙、入侵检测系统,作为整体安全策略中不可缺少的重要模块,都不能有效的提供针对DOS攻击完善的防御能力。因此必须采用专门的机制,对攻击进行检测、防护、进而遏制这类不断增长的、复杂的且极具隐蔽性的攻击形为。
本文内容将包含如下部分:
DOS/DDOS当前的攻击形势及发展趋势;
常见的DOS/DDOS防护方法及其局限性;
金盾抗拒绝服务系统解决方案。
形势及趋势
DOS/DDOS攻击者一般采用大量傀儡机发动攻击。普通个人电脑用户安全意识薄弱,防护措施较少,所以极易被黑客攻破并利用,通过植入某些***程序,使得这些个人电脑为攻击者所用,形成傀儡机。随后,只要向这些傀儡机发送控制命令,就可以由这些机器完成攻击。此种攻击形式又叫“”,由此造成的攻击规模可以非常惊人,会给应用系统或是网络本身带来非常大的负载消耗。
受到攻击的现象
当服务器主机被DOS/DDOS攻击时,主要有如下现象:
被攻击主机上有大量等待的TCP连接
CPU占用率达到100%,严重时会死机
网络中充斥着大量的无用的数据包,源地址为伪造
高流量无用数据,网络拥塞,受害主机无法正常和外界通讯
成功的DOS攻击将造成网络服务商的巨大损失,客户访问失败,服务质量受损。同时,公司的信誉也会受到影响。而这种危害又常常是长期性的,形成恶性循环。
DOS/DDOS实例分析
下面以一次SYN Flood攻击为例,分析DOS攻击的流程。SYN-Flood是目前最流行的DOS/DDOS攻击手段,其利用了TCP/IP协议固有的漏洞,形成大量虚假连接,造成服务器拒绝服务。
众所周知,TCP是面向连接的协议类型,其建立连接的过程成为三次握手过程。在第一步握手时,客户端向服务端提出连接请求,此时SYN标志置位;随后服务端在第二步回应该报文,此时SYN-ACK标志置位;在第三步中,客户端发送确认报文,此时ACK标志置位。至此,完整的TCP连接建立完成,数据传输过程开始。
假设服务器在发出SYN-ACK应答报文后一段时间内没有收到客户端的ACK报文,则服务器一般会重试若干次,完全失败后才会彻底丢掉这个请求。这段时间称为SYN Timeout,一般来说这