DDOS-技术白皮书-北信源.docxVIP

[键入文字][键入文字 Opzoon公司有限公司 客服热线：400-706-8366 北信源科技有限公司 北信源DDOS系统产品技术白皮书 (BXY-4100-DDOS系列) 内部公开 内部公开 北信源科技有限公司 - PAGE \* ROMAN - PAGE \* ROMAN II - 目录 TOC \h \z \t "附录1（绿盟科技）,1,附录2（绿盟科技）,2,附录3（绿盟科技）,3,附录4（绿盟科技）,4,标题 1（绿盟科技）,1,标题 2（绿盟科技）,2,标题 3（绿盟科技）,3" 一. 产品概述 3 二. 关键能力 3 2.1 产品部署 3 2.2 优化的向导系统 4 2.3 快捷的配置体系 5 2.4 领先的DDoS防护能力 6 2.5 智能补丁应急响应 6 2.6 高可用性 7 三. 硬件性能说明 8 产品概述 北信源抗DDOS攻击系统（简称BXY-4100-DDOS），站在“资产”的视角，用完整的防护体系将多种网络安全检测方法连结成一套完整的解决方案，保卫您的网络应用免遭当前和未来的安全威胁。专注于保护网络应用和网络服务，并将成熟的DDoS攻击抵御机制整合在一起，北信源DDOS提供针对OWASP Top 10、LOIC、HOIC的全面防御，通过事前防御、事中防护、事后补偿的整体解决方案，为网络安全保驾护航。 关键能力 产品部署 BXY-4100-DDOS产品支持透明部署、旁路回注、旁路下注、主备、负载、集群等,具有在线串接、旁路检测和旁路清洗三种工作模式，既可以单台设备在线串接方式部署，也可以两台设备分别进行检测和清洗工作。支持NTP协议的防护，包括NTP REQUEST FLOOD、NTP REPLY FLOOD攻击等。能够检测与防御流量型 DDOS 攻击（如UDPFlood、TCP SYN Flood 等）、应用型 DDOS 攻击（如 CC、DNS Flood、慢速连接耗尽等）、DOS 攻击（如Land、Teardrop、Smurf等）、非法协议攻击（如 IP 流、TCP无标记、无确认FIN、圣诞树等）四大类拒绝服务攻击。 BXY-4100-DDOS产品还具有流量牵引和回注、数据包过滤、攻击报文取证等功能，支持双机热备和集群，并提供了详尽的攻击事件记录、各种统计报表，并以可视化方式动态展示，实现实时的全网威胁监控，是适用于政企网、电商、网游、电信骨干网、IDC网络和云计算中心的理想的抵御拒绝服务攻击的安全产品。DDOS产品全系列采用多核处理器硬件平台，基于先进的新一代SmartAMP并行处理技术架构，全 64 位原生 ipv4/ipv6 双栈处理。采用业界领先的源信誉机制，通过流量业务预警、比例抽样分析、源认证、源限速、步进式协议分析、模式过滤、业务应用防护、强制保护等多种技术手段，精准、快速地阻断攻击流量，保障用户业务网络通畅。DDOS产品具备在 10GE 万兆链路上线速清洗攻击流量的高性能。 同时，针对资产分层的特性，北信源BXY-4100-DDOS将防护层级也进行了细分：默认防护层作用于站点对象，自定义防护层则作用于详细资产，即具体的URL。 图表SEQ 图表 \* ARABIC1资产分层及其防护层级 优化的向导系统 基于客户资产视角，北信源BXY-4100-DDOS提供了一套优化的向导系统，在配置客户信息的过程中询问操作系统、数据库、网络服务器及使用的编程语言信息，同时引入站点组概念，支持将OS、网络 Server和应用程序相同或者类似的站点（IP地址 + 端口号）纳入一个站点组，在构建站点资产的同时也完成了针对客户环境的规则过滤，实现了客户环境对规则体系中黑名单规则的精准利用，减少了误报，同时大大简化了配置操作。 图表SEQ 图表 \* ARABIC2向导体系过滤站点规则 快捷的配置体系 基于多年积累的最佳安全实践，北信源BXY-4100-DDOS能为各种类型的站点组提供缺省规则，实现了设备上线后的零配置防护，大大简化了设备上线后的配置操作。 误报一直是困扰网络应用防火墙用户最常见的问题之一，用户通常需要重新考虑策略逻辑、重新配置和下发策略来减少误报，操作过程繁琐。为解决这一操作困扰，北信源DDOS在误报日志对应的策略处提供了的一键生成例外策略功能，能迅速将引发误报的策略实例从策略体系中剔除，被例外的策略及其包含的规则就不再对当前站点生效。此功能大大减少了发现设备误报后从规则体系中去除相应规则的操作，达到了方便快捷的减少了设备误报的目的。 在一些较难理解的配置页面上，通过在线帮助对关键配置的说明，客户可以更轻松了解配置的含义、掌握配置思路和方法。 领先的DDo