CTI論壇(ctiforum)7月30日消息（記者 李文杰):如今，公司和組織機構(gòu)需要對網(wǎng)絡(luò)上許多不同類型的DDoS攻擊有所準(zhǔn)備。近日，瞻博網(wǎng)絡(luò)正式發(fā)布數(shù)項全新的增強功能，這些增強功能將路由器作為執(zhí)行點，使DDoS Secure解決方案能夠幫助網(wǎng)絡(luò)更好地防御攻擊。
DDoS 攻擊呈上升趨勢
在容量攻擊潛在地淹沒管道容量和攻陷邊緣設(shè)備并竊取背后受保護的資源情況下，在更靠近攻擊源的路由器化解容量攻擊便顯得非常重要。如果在邊緣準(zhǔn)確地檢測到攻擊，然后傳達給上游路由基礎(chǔ)設(shè)施，公司便可以在靠近攻擊源的位置有效地阻止惡意流量，而且不會中斷正常的服務(wù)，從而達到理想的防御效果。這種策略不但對緩減分布式拒絕服務(wù)（DDoS）攻擊非常有效，而且對于確保DNS可用性也成效顯著。
但是，容量攻擊僅僅是問題的一部分。 基于DNS的針對性攻擊對于企業(yè)和服務(wù)提供商同樣是一大問題。現(xiàn)在，攻擊者可以通過多種方法，借助 DNS 摧毀網(wǎng)絡(luò)。考慮到服務(wù)提供商的核心DNS基礎(chǔ)設(shè)施，DNS 放大/反射攻擊（DNS基礎(chǔ)設(shè)施參與攻擊）或消耗攻擊（DNS基礎(chǔ)設(shè)施自身遭受攻擊）可能會導(dǎo)致網(wǎng)絡(luò)運營停止，并對收入帶來嚴重的影響。例如，正如我們今年早些時候看到的Spamhaus和NTP攻擊一樣，當(dāng)攻擊放大到100倍量級的GB時，唯一的補救措施是在上游阻止攻擊流量。
網(wǎng)絡(luò)自身防御 DDoS
緩解DNS攻擊需要采取整體策略。在網(wǎng)絡(luò)邊緣本地檢測攻擊的同時，還必須在路由器的上游更有效地緩解攻擊。離網(wǎng)絡(luò)邊界越遠，效果越好。這種組合拳可以最有效地防御DNS放大和反射攻擊。
但這是如何做到的呢？邊界網(wǎng)關(guān)協(xié)議（Border Gateway Protocol, BGP）Flowspec是一種標(biāo)準(zhǔn)路由協(xié)議，該協(xié)議提供的機制可以在路由基礎(chǔ)設(shè)施正確地與本地DDoS解決方案相集成的情況下緩解DDoS攻擊。BGP Flowspec的粒度功能不但可以向下游的企業(yè)或數(shù)據(jù)中心提供干凈的管道，而且還可以盡可能靠近攻擊源阻止惡意流量。Flowspec的粒度使運營商能夠在上游的惡意流量攻擊鏈接之前，只清除這些惡意流量，不需要將所有流量轉(zhuǎn)移到數(shù)據(jù)清理中心。
瞻博網(wǎng)絡(luò)之路
瞻博網(wǎng)絡(luò)的MX路由器具備BGP功能，為DDoS Secure提供了理想的補充。通過 BGP Flowspec集成DDoS Secure和MX擴展了本地的應(yīng)用程序?qū)颖Ｗo，使之包括從上游緩解更大規(guī)模的攻擊。基于啟發(fā)法的智能和針對MX上游執(zhí)行的粒度攻擊過濾規(guī)則的這種組合效應(yīng)，可以保證網(wǎng)絡(luò)不存在攻擊流量，而且不中斷正常的服務(wù)，同時使運營干預(yù)保持在最低水平。
瞻博網(wǎng)絡(luò)DDoS Secure是利用基于啟發(fā)法的DNS攻擊檢測方法并將緩解功能與上游MX路由器相結(jié)合的唯一解決方案，實現(xiàn)了靠近攻擊源進行粒度、高效和分布式保護。將過濾器擴展到網(wǎng)絡(luò)邊界，使運營商能夠處理威脅網(wǎng)絡(luò)重要服務(wù)（例如DNS）可用性的大規(guī)模DDoS攻擊。使用這種組合式的本地和網(wǎng)絡(luò)檢測與緩解攻擊策略，可以化解所DDoS攻擊--無論是基于DNS的攻擊還是其他攻擊。
