Anti-DDoS防御体系介绍
七层防御体系
第一步，畸形报文过滤：可以针对协议栈漏洞的畸形报文、特殊控制报文等进行过滤
第二步，特征过滤：全局静态过滤。首先基于报文内容特征的静态匹配过滤，主要针对没有连接状态的攻击进行防范，如UDP Flood、DNS Flood、ICMP Flood；然后基于黑名单静态过滤；最后提供对僵尸，木马，蠕虫病毒及协议漏洞的过滤。
第三步，基于传输协议层的源认证：用于防范虚假源发起的SYN Flood、ACK Flood、SYN-ACK Flood、TCP Fragment Flood。
第四步，基于应用层的源认证：用于防范虚假源或僵尸工具的DNS query Flood、DNS reply Flood、HTTP Flood、HTTPS Flood、SIP Flood。
第五步，基于会话检查的防范技术：基于会话检查可防范FIN/RST Flood、TCP连接耗尽攻击、TCP异常会话攻击。
第六步，行为分析技术：僵尸网络发起的攻击流量和用户访问业务流量行为上存在很大差异，僵尸网络攻击因属于僵尸工具攻击，流量最大特征是访问频率恒定，访问资源固定；而用户访问业务流量具有突发性，访问资源比较分散。可基于行为分析防范CC攻击、TCP慢速攻击、真实源发起的TCP Flood。
第七步：智能限速，流量整形：经过上述层层过滤后，如果流量还很大，超过服务器的实际带宽，则采用流量整形使到达服务器的流量处于服务器的安全带宽范围内。
七层防御技术是通过在Anti-DDoS设备上配置防御策略来实现的。可从基于接口防御、基于全局、和基于防护对象的防御维度来工作
Anti-DDoS系统的组成：
检测中心
对镜像或者分光过来的流量进行DDoS攻击流量的检测和分析，将分析数据提供给管理中心进行判断。
管理中心
由服务器系统组成，也称之为ATIC管理系统。主要完成对攻击事件的处理、控制清洗中心的引流策略和清洗策略，并对各种攻击流量分类查看，产生报表。
清洗中心
由执行清洗任务的硬件系统组成，主要是根据安全管理中心的控制策略进行攻击流量牵引并清洗，把清洗后的正常流量注回到客户网络，发送到真正的目的地
DDoS通用攻击防范技术
1、首包丢弃
有些攻击采用不断变换源IP地址或者源端口号的方式发送攻击报文，通过首包丢弃，可以有效拦截这部分流量，首包丢弃与源认证结合使用，防止虚假源攻击。
正常情况下，TCP、DNS、ICMP报文都具有重传功能；UDP协议虽然不具备重传机制，如果有应用层协议来协助实现重传。如果在交互过程中报文被丢弃，则都会重传。首包丢弃利用了报文的重传机制，将收到的第一个报文丢弃，以判断后续是否有重传报文。
Anti-DDoS设备根据三元组（源IP、源端口、协议）以及时间间隔来判断是否属于重传报文。
2、阻断和断流
通过服务器学习或管理员经验判断，发现网络中根本没有某种服务或某种服务流量很小，则可以分别采用阻断和限流方法来防御攻击
阻断：在自定义服务策略中，阻断表示将匹配自定义的报文全部丢弃。
限流：在自定义服务策略中，限流表示将匹配的自定义服务报文限制在阈值内，丢弃超过阈值的部分报文。
3、过滤器
通过配置过滤器，对匹配特征的报文执行相应的操作。
4、黑名单和白名单
Anti-DDoS防御系统支持将一些不可信任的源IP地址加入黑名单，对此源发出的报文禁止通过，将信任的源IP地址加入到白名单，对此源发出的报文允许通过。
总结：
静态名单：需要管理员手动添加各种匹配项到静态名单中，后续收到匹配到的报文执行默认操作，匹配不到的直接丢弃。静态名单配置后，一致生效，除非管理员手动删除。
动态名单：无需管理员手动配置，自动生成。匹配到合适项直接加入到相应的名单中，后续执行匹配到的操作。动态黑名单生效模式：自动生效、手动生效和关闭三种；为避免正常用户误加入黑名单中，缺省情况下，默认关闭。动态白名单有老化时间，老化时间内运行通过，时间结束后白名单不在生效，系统需要重新对报文检测。
流量型攻击防范技术：
一、TCP类报文攻击防御：
1.SYN Flood攻击
攻击者伪造一个源地址的SYN包，发送给受害主机，伪造报文一般为源IP地址不存在或不可达，大量的半连接消耗服务器资源，使服务器无法处理正常连接请求。
SYN Flood攻击是虚假源攻击的典型代表，此类攻击的最显著特点就是发送海量变源或 变源端口的报文到受害主机，耗尽受害主机资源或网络资源。Anti-DDoS设备通过对报文源的真实性检查来防御SYN Flood攻击。
SYN Flood的攻击防御——源认证（虚假源）
Anti-DDoS设备基于目的地址对SYN报文速率进行统计，当SYN报文速率超过阈值时，启动源认证防御。此方法针对虚假源的攻击者进行防御。
对于极高速率的变源变端口SYN报文攻击，同时开启首包检测功能，可以提高Anti-DDoS设备的处理效率。
当Anti-DDoS收到SYN报文时，发送SYN-ACK探测报文到SYN报文中的源IP地址。Anti-DDoS设备通过校验探测报文的的响应报文的真实性来确定IP地址的真实性，防止虚假源攻击。
SYN Flood的攻击防御——源认证（真实源）
源IP加入白名单之后将继续对真实源进行统计分析，对异常的源IP进行限速，以防止真实源发起攻击。
配置真实源IP限速前需要开启SYN Flood源认证功能，anti-DDoS设备对SYN报文进行统计，当SYN报文速率达到告警阈值时，启动真实源限速。
2、SYN-ACK Flood攻击与防御原理
攻击原理：SYN-ACK Flood攻击源会假冒服务器发送大量SYN-ACK报文，到攻击攻击目标网络，如果网络出口有依靠会话转发的网络设备，比如防火墙、IPS等设备，大量的SYN-ACK报文会导致这类网络设备处理性能降低，甚至会话耗尽。
防御原理：anti-DDoS设备基于目的地址对SYN-ACK报文速率进行统计，当SYN-ACK报文速率超过阈值时，启动源认证防御。
Anti-DDoS设备接收到SYN-ACK报文，发送SYN探测报文到SYN-ACK报文中的源IP地址。Anti-DDoS设备通过源IP地址对探测报文的响应报文校验源是否真实存在，以防止虚假源攻击。如果没有响应报文，则表示之前的SYN-ACK报文为攻击报文；如果有响应报文，anti-DDoS设备会验证响应报文是否为探测报文的响应报文，如果是，则Anti-DDoS设备会将该IP地址加入白名单。
3、ACK Flood攻击与防御
攻击者利用僵尸网络发送大量ACK报文，通常会造成以下危害：
如果是带有超大载荷的ACK Flood攻击，会导致链路拥堵。
如果是极高速率的变源变端口ACK Flood攻击，很容易导致依靠会话转发的设备性能降低，甚至会话耗尽造成网络瘫痪。
如果攻击报文到达服务器，则导致服务器处理性能耗尽，从而拒绝正常服务。
防御原理：会话检查和载荷检查结合来防御ACK Flood攻击。
会话检查：
通常当ACK报文速率超过阈值时，anti-DDoS设备启动对ACK报文的会话检查。检查成功的源加入白名单。
会话检查有两种模式：
严格模式：直路部署组网中建议采用“严格模式”。如果ACK报文没有命中会话表，则Anti-DDoS设备直接丢弃ACK报文。如果ACK命中会话表，则允许报文通过。
基本模式：旁路部署动态引流时，由于报文来回路径不一致，对于引流前已经建立的会话，Anti-DDoS设备上查不到会话，此时建议使用“基本模式”。如果ACK报文没有命中会话表，DDoS设备会允许第一个ACK报文通过，并建立会话，然后对后续ACK报文进行会话检查，以确定是否允许后续同源IP发送的ACK报文通过。如果ACK报文命中会话表，则继续检查报文序列号，序列号正确的报文视为合法。
载荷检查：
载荷检查是Anti-DDoS设备对会话检查通过后的报文进行进一步的验证，如果ACK报文载荷内容完全一致，则丢弃，正常报文载荷内容不会完全一致。
只有启用了“会话检查”，才能启用“载荷检查”。
4、FIN/RST Flood攻击与防御
攻击原理：攻击者利用僵尸网络发送大量的变源变端口FIN/RST报文攻击，这些攻击到达依靠会话转发的设备上，很容易造成设备瘫痪
防御原理：
当FIN/RST报文超过阈值时，启动会话检查。
如果Anti-DDoS设备检查到FIN/RST报文没有命中会话，直接丢弃报文。如果Anti-DDoS设备检查到FIN/RST报文命中会话，则根据创建原因和会话检查结果来判断该报文是否通过。如果会话由SYN或SYN-ACK创建，则允许该FIN/RST报文通过；如果由其他报文（如ACK报文），则进一步检查报文序列号是否正确。序列号的报文允许通过，不正确的报文则被丢弃。
二、UDP类报文攻击防御
1、UDP Flood攻击
攻击原理：攻击者通过僵尸网络向目标发起大量的UDP报文，这种UDP报文通常为大包，且速率非常快。消耗网络带宽，造成链路拥塞；攻击报文到达服务器开放的UDP业务端口，服务器检查报文的正确性需要消耗计算资源，影响正常业务
UDP的攻击中报文的源IP和源端口变化频繁，但报文负载一般保持不变或有规律变化。有效防御这类攻击的方法是关联防御和指纹学习。
UDP Flood关联TCP服务防范：
当UDP流量与TCP类服务有关联时，通过防御TCP类服务来防御UDP Flood。
UDP是无连接的协议，无法通过源认证的方法防御UDP Flood攻击。如果UDP业务流量需要通过TCP业务流量认证或控制，当UDP业务受到攻击时，对关联的TCP业务强制启动防御，用次TCP防御产生的白名单决定同意原的UDP报文是丢弃还是转发。
载荷检查和指纹学习：防御具有规律的UDP Flood攻击
当攻击报文负载有显著特征时，可采用动态指纹学习或特征过滤防御
载荷检查：当流量超过阈值时，会触发载荷检查。如果UDP报文数据段内容完全一样，则会被认为是攻击而丢弃。
指纹学习：UDP流量超过阈值时，触发指纹学习。指纹由Anti-DDoS设备动态学习生成，将攻击报文的显著特征学习为指纹后，匹配指纹的报文被丢弃。
2、UDP分片攻击
攻击者向攻击目标发送大量的UDP分片报文，通常造成以下危害：
一般攻击效果是消耗网络带宽资源，严重时造成链路拥塞。
大量UDP分片报文会导致具有会话重组功能的网络设备性能降低。
大量变源变端口的UDP分片报文会导致具有会话重组功能的网络设备性能降低，甚至会话耗尽，从而导致网络瘫痪。
攻击报文到达服务器开放的UDP业务端口，服务器检查报文的正确性需要消耗计算资源，造成服务器响应缓慢，无法正常工作。
UDP分片攻击防御原理
UDP分片分为首分片和后续分片，Anti-DDoS设备只对首分片执行防御动作，如果首分片异常，后续分片因找不到首分片的会话会直接被转发流程丢弃。UDP首分片防御方法和UDP Flood防御方法一致
载荷学习和指纹学习两种方法防御。
三、DNS类报文攻击防御
DNS的工作工程：当用户上网访问某个网站时，会向DNS缓存服务器发出该网站的域名，以请求其IP地址 。当DNS缓存服务器查找不到该域名与IP地址的对应关系时，它会向授权DNS服务器发 出域名查询请求。为了减少Internet上DNS的通信量，DNS缓存服务器会将查询到的域名 和IP地址的对应关系存储在自己的本地缓存中。后续再有主机请求该域名时，DNS缓存 服务器会直接用缓存区中的记录信息回应。直到该记录信息老化，DNS缓存服务器才会 向授权DNS服务器重新发送域名查询请求。
比较常见的针对缓存服务器的攻击包括：DNS Request Flood攻击、DNS Reply Flood攻击、未知域名攻击、DNS缓存投毒攻击、异常DNS报文攻击
比较常见的针对授权服务器的攻击包括：DNS Request Flood攻击、未知域名攻击 、异常DNS报文攻击
1、DNS Request Flood攻击
攻击原理
针对缓存服务器的攻击：攻击者直接或间接向DNS缓存服务器发送大量不存在的域名解析请求，导致DNS缓存服务器不停向授权服务器发送解析请求，最终导致DNS缓存服务器超载，影响正常业务。
针对授权服务器的攻击：直接或间接向DNS服务器发送大量不存在的子域名请求，致使DNS授权服务器严重超载，无法继续响应正常用户的DNS请求，从而达到攻击目。
DNS Request Flood攻击源可能是虚假源，也可能是真实源。针对不同类型的攻击源，采取的防御方式也不同。
DNS Request Flood防御原理
针对虚假源攻击缓存服务器：
源认证方式可以有效防御DNS request Flood虚假源攻击。Anti-DDoS基于目的地址对于DNS request报文的速率继续统计，当速率超过阈值时，启动源认证防御.源认证只针对受攻击的域名的源IP地址实施,以减少对正常业务的影响.
源认证包括三种模式:
基本模式：在认证过程中Anti-DDoS设备会触发客户端以TCP报文发送DNS请求，来验证源IP的合法性，但会消耗DNS缓存服务器的TCP连接资源。
增强模式：原理和基本模式相同，但是Anti-DDOS设备会使用一个代理IP地址，将客户端的TCP请求转化为UDP格式发送到DNS缓存服务器，从而减少了DNS缓存服务器的TCP连接资源。
被动模式：被动模式是将每个源IP地址发送的首包丢弃，触发重新请求，然后对DNS重传报文进行域名检查，对首包和重传请求域名相同的源IP地址加入白名单（首选）
针对虚假源攻击授权服务器：
授权服务器认证（即重定向方式），可以有效防御DNS request Flood虚假源攻击。重定向只针对受攻击域名的源IP地址实施，以减少误判。
Anti-DDoS基于目的地址对DNS request报文的速率进行统计，当DNS request报文的速率超过阈值时，启动重定向。
Anti-DDoS设备会返回给请求源一个别名地址，如果请求源是虚假的，则不会回应重定向报文。如果是真实源，则重新请求Anti-DDoS设备发送的重定向地址，认证通过，设备会将真实源加入白名单。Anti-DDoS设备再次重定向正确的地址，请求源重新请求正确的地址，报文命中白名单，直接通过Anti-DDoS设备，到达授权服务器，完成报文交互。
针对真实源攻击:
如果是真实源攻击,经过以上防御过程后,通过DNS报文还很大,则可以采用DNS请求报文限速.分别是指定域名限速和源IP限速.
指定域名限速:对匹配了指定域名的DNS request报文进行限速，Anti-DDoS设备将直接丢弃超出阈值的报文。
源IP限速：针对源IP地址限速，一般为IP地址发送攻击后访问频率最高的几个域名的源IP，可以从“请求TOP N趋势”分析中获取访问频率最高的TOP N源IP地址及其访问流量。此源IP地址一般在攻击前不在TOP N访问中，受到攻击后才出现在TOP N访问中（TOP N为访问频率最高的域名）。
四、HTTP和HTTPS类报文攻击防御
客户端向服务器发出连接请求，HTTP是基于TCP之上的客户端与服务器之间首先建立三次握手。客户端向服务器发送Get请求，在服务器回应之前可多次发送请求报文。服务器进行应答200 OK，在应答中添加应答长度，并传输数据。传输结束，客户端与服务器之间拆除TCP连接。
1、HTTP Flood攻击与防御原理
攻击原理：攻击者通过代理服务器或者僵尸主机向目标服务器发送大量的HTTP报文，请求涉及数据库操作的URI或其他消耗系统资源的URI，造成服务器资源耗尽，无法响应正请求。
防御原理：HTTP Flood源认证、HTTP源统计、URI监测、URI源指纹学习功能。
HTTP Flood源认证
源认证防御是防御HTTP Flood最常用的手段。这种方式适用于客户端为浏览器的HTTP服务器场景，因为浏览器支持完整的HTTP协议栈，可以正常回应重定向报文或者是验证码。Anti-DDoS设备基于目的IP地址对HTTP报文进行统计，当HTTP报文达到设定的阈值时，将启动源认证防御。源认证有三种方式：
1.基本模式：如果僵尸网络没有实现完整的HTTP协议栈，不支持自动重定向，无法通过认证，而浏览器支持自动重定向，可以通过认证，该模式不会影响用户体验，但防御效果低于增强模式。
当网络中有HTTP代理服务器时，只要有一次源认证通过，Anti-DDoS设备就会将代理服务器IP地址加入白名单，后续僵尸主机通过是由代理服务器就会绕开源认证，导致防御失效。在这种有代理服务器的情况下，建议开启代理检测功能，检测HTTP请求是否为通过代理发出的请求。如果是，则Anti-DDoS设备会从HTTP报文中获取请真实请求者的实际IP地址，将通过认证的真实IP地址和代理服务器器地址加入白名单，后续只有此实际源IP地址发送的报文才能通过。
2、增强模式：有些僵尸工具实现了重定向功能，或者攻击过程中使用的免费代理支持重定向功能，导致基本模式防御失效；通过推送验证码的方式可以避免此类防御失效。此时通过让用户输入验证码，可以判断HTTP访问是否由真实的用户发起。而不是僵尸工具发起的访问。僵尸网络通过自动植入PC的僵尸工具发起，无法自动响应随机变化的验证码，故可以有效的防御攻击。为避免影响正常用户，此方法仅针对超过源访问阈值的异常源实施。
3、302重定向模式：基本模式中的重定向功能只能对整个网页进行重定向，不能针对网页中的内嵌资源（比如：图片）进行重定向。当用户请求的页面与页面中的内嵌资源不再同一个服务器上时，内嵌资源所在服务器发生异常时，可以对嵌套资源服务器启动302重定向防御，探测访问员是否为真实浏览器，真实浏览器支持重定向功能，可以自动完成重定向过程，不会影响用户体验。
HTTP源统计
在基于目的的P流量异常的基础上，再启动针对源IP流量进行统计。Anti-DDoS设备对到达目的IP地址的流量进行统计，当目的IP流量触发阈值时，启动到达这个目的IP的每个源的流量进行统计，判定具体哪个源异常，并对源IP的流量进行防御。
URI监测
URI监测时HTTP源认证防御的补充功能。当通过HTTP源认证的流量还是超过阈值时，可以启用URI监测。Anti-DDoS设备对HTTP源认证过程中加入白名单的源IP也会进行URI监测。
在指定时间内，某个URI的访问流量超过阈值时，将启动针对源IP的URI行为监测。当这个源IP地址对某个URI的访问数与总访问数的比例超过阈值时，则将该源IP地址作为攻击源并加入动态黑名单。在配置URI监测时，可将消耗内存或占用计算资源多、容易受攻击的URI加入“重点监测URI”列表。
URI源指纹学习功能
此方法适用于攻击源访问的URI比较固定的场景。如果要形成攻击效果，攻击者一般都事先进行探测，找到容易消耗系统资源的URI作为攻击目标，然后一个攻击源的一个会话上会有多个针对该URI的请求，最终效果为该源对选定的URI发送大量的请求报文。动态指纹学习正是基于这个原理，Anti-DDoS设备对源访问的URI进行指纹学习，找到攻击目标URI指纹，如果对该URI指纹的命中次数高于设置阈值就将该源加入黑名单。
2、HTTP慢速攻击与防御原理
攻击原理
HTTP慢速攻击利用HTTP现男友合法机制，在与HTTP服务器建立连接后，尽量保持长时间连接，不释放，以达到对HTTP服务器的攻击。常见的有两种：
Slow POST：攻击者发送POST报文向服务器请求提交数据，将总报文长度设置为一个很大的数值，但是在随后的数据发送中，每次只发送很小的报文，这样服务器会一直等待攻击者的数据。
Slow headers：攻击者通过GET或者POST向服务器建立连接，但是HTTP头字段不发送结束符，之后发送其他字段进行保活。服务器会一直等待头信息中的结束符而导致连接始终被占用。
防御原理：针对HTTP慢速攻击的特点，Anti-DDoS设备对每秒钟HTTP并发连接数进行检查，当每秒HTTP并发连接数超过设定值时，会触发HTTP报文检查，检查出异常，都认定受到HTTP慢速连接攻击，则将该IP地址判定为攻击源，加入动态黑名单，同时断开此IP地址与HTTP服务器的连接。
异常情况：连续多个HTTP POST报文总长度很大，但是HTTP载荷长度都很小。连续多个HTTP GET/POST报文的报头都没有结束标识。
