華為Anti-DDoS方案助力荷蘭ISP聯(lián)盟打造安全運(yùn)營環(huán)境

DDoS攻擊危害嚴(yán)重，可導(dǎo)致“人財(cái)兩空”

近年來，越來越頻繁的DDoS攻擊，給運(yùn)營商和企業(yè)業(yè)務(wù)帶來了巨大的安全挑戰(zhàn)。最嚴(yán)重的一次在2013年3月，歐洲遭遇了史上最大的DDoS攻擊，攻擊流量峰值已經(jīng)高達(dá)300Gbps，超大的攻擊流量匯聚到歐洲幾個(gè)一級(jí)運(yùn)營商網(wǎng)絡(luò)內(nèi)部，造成整個(gè)歐洲地區(qū)的網(wǎng)絡(luò)擁塞。在荷蘭，DDoS攻擊也已經(jīng)影響到了大量數(shù)據(jù)中心的正常運(yùn)營，如果沒有必備的防護(hù)方案，不但對(duì)一家公司的業(yè)務(wù)造成影響，甚至?xí)�擁塞整個(gè)國家網(wǎng)絡(luò)的帶寬，影響所有ISP的業(yè)務(wù)連續(xù)性。

nbip是荷蘭上百家ISP企業(yè)成立的鏈路與運(yùn)營服務(wù)聯(lián)盟企業(yè)，幫助ISP提供統(tǒng)一的鏈路與運(yùn)營管理服務(wù)。該聯(lián)盟成立于2002年，是荷蘭唯一一家國家級(jí)的ISP聯(lián)盟企業(yè)。由于nbip的服務(wù)對(duì)象均是ISP，所有的業(yè)務(wù)都是互聯(lián)網(wǎng)在線服務(wù)業(yè)務(wù)，業(yè)務(wù)連續(xù)性高，但也是黑客最常攻擊的目標(biāo)。一旦業(yè)務(wù)遭受攻擊，就會(huì)帶來巨大的經(jīng)濟(jì)損失，NBIP的主席Ludo介紹到：“DDoS攻擊帶來的損失是每小時(shí)數(shù)萬歐，甚至更高。”，此外，由于DDoS攻擊導(dǎo)致業(yè)務(wù)不在線，還會(huì)對(duì)企業(yè)的信譽(yù)和形象帶來巨大損失，影響更是不可估量。

瘋狂的DDoS攻擊過后，ISP的客戶均在尋求有效的DDoS防護(hù)解決方案。但作為一個(gè)個(gè)獨(dú)立的ISP單獨(dú)部署專業(yè)的DDoS防護(hù)方案，不但會(huì)帶來巨大的部署和維護(hù)成本，而且鏈路擁塞型DDoS攻擊根本無法得到有效防護(hù)。

“臨淵羨魚” 不如“退而結(jié)網(wǎng)”

作為ISP聯(lián)盟的NBIP，面對(duì)日益猖獗的DDoS攻擊，在被多輪ISP客戶屢次求助后，從2013年6月起，便開始尋求有效的DDoS防護(hù)與安全運(yùn)營解決方案，以應(yīng)對(duì)DDoS攻擊，提升業(yè)務(wù)運(yùn)營的連續(xù)性，改善客戶業(yè)務(wù)安全服務(wù)水平。nbip于2013年年中起開始計(jì)劃部署DDoS安全增值服務(wù)，一方面保護(hù)客戶業(yè)務(wù)安全，另一方面提升自身的競(jìng)爭力增加業(yè)務(wù)范圍。

其實(shí)在NBIP計(jì)劃之前，NBIP研究了業(yè)界知名的安全服務(wù)提供商的業(yè)務(wù)范圍和市場(chǎng)空間，覺得安全服務(wù)市場(chǎng)是未來的趨勢(shì)。在ICT不斷融合、云安全如火如荼的今天，運(yùn)營商面臨嚴(yán)重的運(yùn)營成本與收益下滑的運(yùn)營壓力，均轉(zhuǎn)而做安全增值服務(wù)，如知名AT&T、BT等運(yùn)營商。在安全增值服務(wù)中，DDoS安全服務(wù)是運(yùn)營商必選業(yè)務(wù)之一，因?yàn)檫\(yùn)營商有先天的帶寬資源優(yōu)勢(shì)，能夠?qū)崿F(xiàn)從上層防護(hù)，可以實(shí)現(xiàn)在單個(gè)ISP鏈路擁塞前做清洗防護(hù)。而NBIP相對(duì)于ISP聯(lián)盟中獨(dú)立的ISP企業(yè)來說，具有同運(yùn)營商一樣的天然優(yōu)勢(shì)。NBIP也意識(shí)到了DDoS防護(hù)市場(chǎng)需求巨大，從2013年年中開始計(jì)劃和設(shè)計(jì)“國家級(jí)DDoS流量清洗中心“項(xiàng)目，并與年底邀請(qǐng)了業(yè)界知名的DDoS防護(hù)解決方案廠商進(jìn)行方案和設(shè)備測(cè)試。

“消防員”式的防護(hù)方案：

NBIP要建造的是整個(gè)荷蘭國家級(jí)的清洗中心，服務(wù)對(duì)象超過100多家，未來隨著業(yè)務(wù)和客戶的增加，這個(gè)防護(hù)性能也要能夠持續(xù)的擴(kuò)展，因此對(duì)方案防護(hù)性和擴(kuò)展性能均有嚴(yán)苛的要求，至少有100G的擴(kuò)展防護(hù)性能。而且NBIP的主要客戶是ISP企業(yè)的在線業(yè)務(wù)系統(tǒng)，不但對(duì)DDoS攻擊的防護(hù)的精準(zhǔn)度有要求而且對(duì)攻擊的響應(yīng)實(shí)時(shí)性要求比較高。這就要求NBIP要建造的DDoS防護(hù)方案要具備旁路實(shí)時(shí)監(jiān)控的，實(shí)現(xiàn)快速攻擊響應(yīng)，就像“消防員”一樣，處于隨時(shí)待命狀態(tài)，一旦發(fā)生“DDoS火情”要能快速的進(jìn)行處理。

在測(cè)試階段，NBIP重點(diǎn)對(duì)其關(guān)注的幾個(gè)點(diǎn)做了詳見的測(cè)試，綜合比較起來，華為的Anti-DDoS方案，采用逐包的深度檢測(cè)技術(shù)，旁路的部署模式，能夠?qū)崿F(xiàn)秒級(jí)的攻擊響應(yīng)和單臺(tái)設(shè)備200Gbps的防護(hù)性能，在方案上完全契合NBIP的方案需求，此外，在測(cè)試過程中，華為Anti-DDoS方案所表現(xiàn)出的簡單便捷的GUI管理方式和詳盡的報(bào)表功能，深深的吸引了NBIP的興趣， NBIP最終選擇了華為方案。

NBIP主席Ludo在測(cè)試結(jié)束后這樣評(píng)價(jià)華為的方案：“華為的Anti-DDoS解決方案對(duì)攻擊的響應(yīng)速度快、具有優(yōu)秀管理能力的界面，事實(shí)證明華為的解決方案正是我們所需要的。”

NBIP的數(shù)據(jù)中心出口80Gbps的帶寬，采用全流量分光逐包做攻擊檢測(cè)，一旦發(fā)現(xiàn)攻擊，管理中心下發(fā)攻擊流量清洗策略，并由清洗板發(fā)送BGP引流清洗策略，將受攻擊對(duì)象的流量引入清洗中心做清洗。具體方案的處理流程，如下圖所示：

方案中的檢測(cè)中心和清洗中心有AntiDDoS8160的檢測(cè)板卡和清洗板卡分別完成，集中混插在一臺(tái)AntiDDoS8160設(shè)備機(jī)框上，可大大的節(jié)約了客戶空間和部署成本，還可通過板卡擴(kuò)展進(jìn)行性能線性提升，滿足NBIP持續(xù)運(yùn)營性能擴(kuò)展需求。