分类： 网络与安全
2008-03-22 20:18:06
DDoS 分布式停止服务攻击作为黑客、政治黑客行为和国际计算机恐怖分子可选择的一种武器而出现。 DDoS 攻击目标并不仅仅是个人网站或其他网络边缘的服务器，他们征服的是网络本身。攻击明确地指向网络的基础设施，例如提供商网络中的集中或核心路由器、 DNS 服务器等。 2002 年 10 月，一次拙劣的 DDoS 攻击影响了 13 个根 DNS(Domain Name Sevice) 服务器中的 8 个，作为整个 Inte rnet 通信路标的关键系统遭到严重的破坏，无法提供有效服务，业务的永继性无法得到保证。
服务提供商、企业和政府机关对因特网依赖的加剧，使得成功的 DDoS 攻击（经济和其它方面）能造成更加严重的破坏。新近以来，出现了更多功能更为强大的 DDoS 工具，使得将来的攻击破坏性更大。
由于 DDoS 攻击往往采取合法的数据请求技术，再加上一些傀儡机器，造成 DDoS 攻击是目前最难防御的互联网攻击之一，如何用最合适的、有效的方法来响应它们，给依赖于因特网的组织和机构提出了一个巨大的挑战。传统的网络设备和周边安全技术，例如防火墙和 IDSs(Intrusion Detection Systems) ， 速率限制，接入限制等均无法提供非常有效的针对 DDoS 攻击的保护。面对当前 DDoS 的冲击，要保护因特网持续有效性，需要一个能检测和阻止日益狡猾、复杂、欺骗性攻击的下一代体系结构和技术。
本文将详细描述：
DDoS 攻击指挥成百上千的傀儡主机攻击某一个目标。这些傀儡主机是从数以百万计未受保护的计算机中被不知情地征用，这些计算机往往是通过高带宽（ ADSL, Cable ）访问因特网并总是与网络保持连接。通过在这些机器中植入“沉睡”代码，黑客可快速的建立一支傀儡军团，等待适当的时机命令发动 DDoS 停止服务攻击。如果有足够傀儡主机的加入，攻击的规模令人惊骇。
DDoS 攻击的影响
成功的 DDos 攻击影响是很广泛的。网络站点的表现尤其受影响，可以造成客户和其它使用者访问失败，运营商无法实施 SLAs （服务水平承诺），服务信用损失惨重，用户投诉增加，公司名誉受损，有时甚至是永久的影响。以及收益下滑、生产率降低、 IT 开销增加、诉讼花销等等——这些损失在不断的增加。
损失的数目令人难以置信。来自 Forrester 、 IDC 和 Yankee Group 的评测估计一个象思科公司这样的公司网络中断 24 小时的损失大约是三千万美元。据 Yankee Group 估计， 2000 年 2 月， DDoS 洪流攻击了 Amazon 、 Yahoo 、 eBay 和其它门户网站，造成的损失累计达到 12 亿美元。 2001 年 1 月，对 Microsoft 网站几天的 DDoS 攻击，损失大约为五千万。显然，商业公司必须采取措施来保护自己免遭恶意攻击。
DDoS 攻击揭秘
DDoS 攻击是如何进行的？主要是利用了 internet 协议和 internet 基本优点——无偏差地从任何的源头传送数据包到任意目的地。
实质上，以下数据报包行为描述了 DDoS 攻击：要么大数据，大流量以至压垮网络设备和服务器，要么有意制造大量无法完成的不完全请求来快速消耗服务器资源。防止 DDoS 攻击的关键困难是无法将攻击包从合法包中区分出来，造成检测困难； IDS 进行的典型“签名”模式匹配起不到有效的作用。许多这样的攻击也使用源 IP 地址欺骗来逃脱源识别，这种识别由基于反常事件的，很难搜寻特定的攻击源头。
有两类最基本的 DDoS 攻击：
图一说明 ：
DDoS 威胁日益致命
DDoS 攻击的一个致命趋势是使用复杂的欺骗技术和基本协议，如 HTTP ， Email 等协议，而不是采用可被阻断的非基本协议或高端口协议，使得 DDoS 攻击更加隐蔽和致命。这种使用合法应用协议和服务的攻击非常难识别和防御； 通常采用的包过滤或限制速率的措施只是通过停止服务来简单停止攻击任务，但同时合法用户的请求也被拒绝，造成业务的中断或服务质量的下降。
现在的 DDoS 防御手段不够完善不管哪种 DDoS 攻击，，当前的技术都不足以很好的缓解和确保商务持续进行。不幸的是，现在流行的 DDoS 防御手段——例如黑洞技术和路由器过滤，限速——均无法处理复杂性日益增加的攻击。这些防御手段不仅慢，消耗大，而且也阻断有效业务。 IDSs 可以提供一些检测性能但并不能缓解 DDoS 攻击，防火墙提供的保护也受到其技术弱点的限制。还有其它策略，例如大量部署服务器，冗余设备，保证足够的响应能力来提供攻击防护，但这样作为阻止 DDoS 攻击的手段代价过于高昂。
黑洞技术
黑洞技术描述了一个服务提供商将指向某一目标企业的包尽量阻截在上游的过程，将改向的包引进“黑洞”并丢弃，以保全运营商的基础网络和其它的客户业务。但是合法数据包和恶意攻击业务一起被丢弃，所以黑洞技术不能算是一种解决方案。被攻击者失去了所有的业务，攻击者因而获得胜利。
路由器
许多人运用路由器的过滤功能提供对 DDoS 攻击的防御。事实是，因为路由器主要防御是基于 ACLs （ access control list ）接入控制列表，对于现在复杂的 DDoS 攻击不能提供完善的防御。以下将详细介绍。
路由器只能通过过滤非基本的不需要的协议来停止一些简单的 DDoS 攻击，例如 ping 攻击。这依然需要一个手动的反应措施，并且往往是在攻击致使服务失败之后。另外，现在的 DDoS 攻击使用互联网必要的有效协议，很难有效的滤除。路由器也能防止无效的或私有的 IP 地址空间，但 DDoS 攻击可以很容易的伪造成有效 IP 地址。
另一种建议基于路由器的 DDoS 预防策略——在出口侧使用 uRPF 来停止 IP 地址欺骗攻击——这同样不能有效防御现在的 DDoS 攻击，因为 uRPF 的基本原理是如果 IP 地址不属于应该来自的子网网络阻断出口业务。然而， DDoS 攻击能很容易伪造来自同一子网的 IP 地址，致使这种解决法案无效。更重要的是，为使 uRPF 有效，它不得不在每一个潜在的攻击源之前配置——而不是当前的或可能发生的。
本质上，对于种类繁多的使用有效协议的欺骗攻击，路由器 ACLs 是无效的。包括：
ACLs 在防御应用层（客户端）攻击时也是无效的，无论欺骗与否， ACLs 理论上能阻断客户端攻击——例如 HTTP 错误和 HTTP 半开连接攻击，假如攻击和单独的非欺骗源能被精确的监测——将要求用户对每一受害者配置数百甚至数千 ACLs ，这其实是无法实际实施的。
防火墙
由于防火墙不是专门的 DDoS 防御装置，受到其内在限制，妨碍防御现有复杂攻击的能力。
首先是位置限制，防火墙的位置处于数据路径下游远端，不能为从提供商到企业边缘路由器的访问链路提供足够的保护，从而将那些易受攻击的组件留给了 DDoS 攻击。此外，因为防火墙总是串联的而成为潜在性能瓶颈，因为可以通过消耗它们的会话处理能力来对它们自身进行 DDoS 攻击。
其次是反常事件检测缺乏的限制，防火墙首要任务是要控制私有网络的访问。一种实现的方法是通过追踪从内侧（“干净”的一侧）向外侧服务发起的会话，然后只接收“不干净”一侧期望源头发来的特定响应。然而，这对于一些开放给公众来接收请求的服务是不起作用的，比如 Web 、 DNS 和其它服务。在这些情况下，防火墙将打开一个管道——例如将 HTTP 业务传送到 Web 服务器的 IP 地址。虽然这种方法通过只接收到特定地址的特定协议来提供一些保护，但对于 DDoS 攻击的防御还是无效的，因为黑客可以使用“被认可的”协议（如 HTTP ）。任何反常事件检测性能的缺陷意味防火墙不能识别被用作攻击媒介的有效协议。
第三种限制，虽然防火墙能检测反常行为，但几乎没有反欺骗能力——其结构仍然是攻击者达到其目的。当一个 DDoS 攻击被检测到，防火墙能停止与攻击相联系的某一特定数据流，但它们无法逐个包检测，将好的或合法业务从恶意业务中分出，使得它们在事实上对 IP 地址欺骗攻击无效。
IDS
基于签名的 IDS 解决方案无法检测以合法数据包作为途径的 DDoS 攻击。 IDS 解决方案将不得不提供领先的行为或基于反常事务的算法来检测现在的 DDoS 攻击。但是一些基于反常事务的性能要求有专家进行手动的调整，而且经常误报，并且不能识别特定的攻击流。同时 IDS 本身也很容易成为 DDoS 攻击的牺牲者。
也许作为 DDoS 防御平台的 IDS 最大的缺点是它只能检测到攻击，但对于缓和攻击的影响却毫无作为。 IDS 解决方案也许能托付给路由器和防火墙的过滤器，但正如前面叙述的，这对于缓解 DDoS 攻击效率很低，即便是用类似于静态过滤串联部署的 IDS 也做不到。 IDS 需要的是一个补充的防御解决方案，提供更高水平的特定攻击识别并与立即执行能力结合。
DDoS 攻击的手动响应
作为 DDoS 防御一部份的手动处理太微小并且太缓慢。受害者对 DDoS 攻击的典型第一反应是询问最近的上游连接提供者—— ISP 、宿主提供商或骨干网承载商——尝试识别该消息来源。对于地址欺骗的情况，尝试识别消息来源是一个长期和冗长的过程，需要许多提供商合作和追踪的过程。即使来源可被识别，但阻断它也意味同时阻断所有业务——好的和坏的。
其他策略
为了忍受 DDoS 攻击，企业操作者可能考虑了这样的策略，例如过量供应，就是购买超量带宽或超量的网络设备来处理任何请求。这种方法成本效益比较低，尤其是因为它要求附加冗余接口和设备。不考虑最初的作用，攻击者仅仅通过增加攻击容量就可击败额外的硬件，互联网上上千万台的机器是他们取之不净的攻击容量资源。
安全有效性
任何在线的商务都有在 DDoS 保护上投资的许多理由——经济和其它方面。大企业、政府组织、服务提供商——都需要保护它们的基础设施（ Web 服务器、 DNS 服务器、 e-mail 和聊天服务器、防火墙、交换机、路由器）等部件，维持商业操作的公平性和更有效地利用技术资源。
DDoS 防御的 ROI 模型
当然，实施完整 DDoS 保护需要成本。部署这样一个系统的 ROI(reture on investment) 投资汇报率是令人感兴趣的。
缓和 DDoS 威胁
从事于 DDoS 攻击防御需要一种全新的方法，不仅能检测复杂性和欺骗性日益增加的攻击，而且要缓和攻击的影响，以确保商务持续进行和资源持续有效。
完整的 DDoS 保护围绕四个关键主题建立：
基于检测、转移、验证和转发的基础上实施一个完整 DDoS 保护解决方案来提供完全保护，通过下列措施维持业务不间断进行：
完整 DDoS 防护解决方案套件
完整 DDoS 防护解决方案提供完整保护来防御各种 DDoS 攻击，甚至那些还未出现过的。以积极缓解性能为特色，快速检测攻击，从合法业务中分离出恶意数据包，提供以秒计而不是以小时计的快速 DDoS 响应。该方案容易布署在关键路由器和交换机附近，有可升级的选项来消除任何单个故障点，并且不影响任何现存的网络部件的性能和可靠性。
完整 DDoS 防护解决方案套件需要两个独立的组件—— Detector 攻击探测器和攻击防护卫士，两部分系统协同工作，能为任何环境提供 DDoS 保护。
当攻击保护卫士被通知有一个目标处于被攻击状态时，指向目标的业务将被转移到与该目标设备相连的防护卫士。然后，业务将通过五个阶段的分析和过滤，以除去所有恶意业务使得好的数据包能不间断的继续传送。
攻击保护卫士位于一个单独网络接口处的路由器或交换机附近，在不影响其他系统的数据业务流情况下实现按需保护。由于它的位置，攻击保护卫士可同时保护多个可能的目标，包括路由器、 Web 服务器、 DNS 服务器、 LAN 和 WAN 带宽。
MVP 多级验证体系结构
攻击保护卫士的下一代 DDoS 防御解决方案是基于一个独特的、申请专利的多验证过程 (MVP) 结构，就是将各种验证、分析和实施技术结合在一起用来从合法业务中识别和分离恶意业务。这个净化的过程由五个模块（步骤）组成：
在攻击间隙，攻击保护卫士处于“学习”模式，被动监测不同来源的业务模型和数据流，了解正常行为，建立基准配置文件。该信息被用来调整策略，用以在实时网络活动中识别和过滤已知、未知和以前从未见过的攻击。
图二说明：
完善 DDoS 攻击防御布署
完善的 DDoS 保护提供灵活的、可升级的布署来保护数据中心（服务器和网络设备）、 ISP 链接或骨干网（路由器和 DNS 服务器）。
提供商
攻击保护卫士可布署在服务提供商的基础设施上有战略意义的节点上，例如在每个对等点，来保护核心路由器、下游边缘设备、链接以及客户。也可以布署在边缘路由器来提供特定的客户保护。攻击探测器可以靠近提供商的边缘或在客户内部。
图四说明：
企业和数据中心
在企业数据中心，攻击保护卫士被布署在数据中心的分发层，保护下游的低速链接和服务器。攻击保护卫士能连接到分发交换机并且支持冗余配置（见图 5 ）。
图五说明：
思科公司的创新技术和体系结构提供了这种全新的防护 DDoS 攻击的方法，对业务进行现有的最详细的审查，不仅能检测最复杂的 DDoS 攻击，也能提供阻断日益复杂和难于检测的攻击业务的能力，同时不影响合法业务处理，确保 DDoS 攻击意图停止业务操作的目的失败。此技术解决方案超越了简单过滤，它能检测数据并去除恶意业务，允许好的数据包通过，确保了业务的持续进行和完整性。
DDoS 分布式停止服务攻击作为黑客、政治黑客行为和国际计算机恐怖分子可选择的一种武器而出现。 DDoS 攻击目标并不仅仅是个人网站或其他网络边缘的服务器，他们征服的是网络本身。攻击明确地指向网络的基础设施，例如提供商网络中的集中或核心路由器、 DNS 服务器等。 2002 年 10 月，一次拙劣的 DDoS 攻击影响了 13 个根 DNS(Domain Name Sevice) 服务器中的 8 个，作为整个 Inte rnet 通信路标的关键系统遭到严重的破坏，无法提供有效服务，业务的永继性无法得到保证。
服务提供商、企业和政府机关对因特网依赖的加剧，使得成功的 DDoS 攻击（经济和其它方面）能造成更加严重的破坏。新近以来，出现了更多功能更为强大的 DDoS 工具，使得将来的攻击破坏性更大。
由于 DDoS 攻击往往采取合法的数据请求技术，再加上一些傀儡机器，造成 DDoS 攻击是目前最难防御的互联网攻击之一，如何用最合适的、有效的方法来响应它们，给依赖于因特网的组织和机构提出了一个巨大的挑战。传统的网络设备和周边安全技术，例如防火墙和 IDSs(Intrusion Detection Systems) ， 速率限制，接入限制等均无法提供非常有效的针对 DDoS 攻击的保护。面对当前 DDoS 的冲击，要保护因特网持续有效性，需要一个能检测和阻止日益狡猾、复杂、欺骗性攻击的下一代体系结构和技术。
本文将详细描述：
DDoS 攻击指挥成百上千的傀儡主机攻击某一个目标。这些傀儡主机是从数以百万计未受保护的计算机中被不知情地征用，这些计算机往往是通过高带宽（ ADSL, Cable ）访问因特网并总是与网络保持连接。通过在这些机器中植入“沉睡”代码，黑客可快速的建立一支傀儡军团，等待适当的时机命令发动 DDoS 停止服务攻击。如果有足够傀儡主机的加入，攻击的规模令人惊骇。
DDoS 攻击的影响
成功的 DDos 攻击影响是很广泛的。网络站点的表现尤其受影响，可以造成客户和其它使用者访问失败，运营商无法实施 SLAs （服务水平承诺），服务信用损失惨重，用户投诉增加，公司名誉受损，有时甚至是永久的影响。以及收益下滑、生产率降低、 IT 开销增加、诉讼花销等等——这些损失在不断的增加。
损失的数目令人难以置信。来自 Forrester 、 IDC 和 Yankee Group 的评测估计一个象思科公司这样的公司网络中断 24 小时的损失大约是三千万美元。据 Yankee Group 估计， 2000 年 2 月， DDoS 洪流攻击了 Amazon 、 Yahoo 、 eBay 和其它门户网站，造成的损失累计达到 12 亿美元。 2001 年 1 月，对 Microsoft 网站几天的 DDoS 攻击，损失大约为五千万。显然，商业公司必须采取措施来保护自己免遭恶意攻击。
DDoS 攻击揭秘
DDoS 攻击是如何进行的？主要是利用了 internet 协议和 internet 基本优点——无偏差地从任何的源头传送数据包到任意目的地。
实质上，以下数据报包行为描述了 DDoS 攻击：要么大数据，大流量以至压垮网络设备和服务器，要么有意制造大量无法完成的不完全请求来快速消耗服务器资源。防止 DDoS 攻击的关键困难是无法将攻击包从合法包中区分出来，造成检测困难； IDS 进行的典型“签名”模式匹配起不到有效的作用。许多这样的攻击也使用源 IP 地址欺骗来逃脱源识别，这种识别由基于反常事件的，很难搜寻特定的攻击源头。
有两类最基本的 DDoS 攻击：
图一说明 ：
DDoS 威胁日益致命
DDoS 攻击的一个致命趋势是使用复杂的欺骗技术和基本协议，如 HTTP ， Email 等协议，而不是采用可被阻断的非基本协议或高端口协议，使得 DDoS 攻击更加隐蔽和致命。这种使用合法应用协议和服务的攻击非常难识别和防御； 通常采用的包过滤或限制速率的措施只是通过停止服务来简单停止攻击任务，但同时合法用户的请求也被拒绝，造成业务的中断或服务质量的下降。
现在的 DDoS 防御手段不够完善不管哪种 DDoS 攻击，，当前的技术都不足以很好的缓解和确保商务持续进行。不幸的是，现在流行的 DDoS 防御手段——例如黑洞技术和路由器过滤，限速——均无法处理复杂性日益增加的攻击。这些防御手段不仅慢，消耗大，而且也阻断有效业务。 IDSs 可以提供一些检测性能但并不能缓解 DDoS 攻击，防火墙提供的保护也受到其技术弱点的限制。还有其它策略，例如大量部署服务器，冗余设备，保证足够的响应能力来提供攻击防护，但这样作为阻止 DDoS 攻击的手段代价过于高昂。
黑洞技术
黑洞技术描述了一个服务提供商将指向某一目标企业的包尽量阻截在上游的过程，将改向的包引进“黑洞”并丢弃，以保全运营商的基础网络和其它的客户业务。但是合法数据包和恶意攻击业务一起被丢弃，所以黑洞技术不能算是一种解决方案。被攻击者失去了所有的业务，攻击者因而获得胜利。
路由器
许多人运用路由器的过滤功能提供对 DDoS 攻击的防御。事实是，因为路由器主要防御是基于 ACLs （ access control list ）接入控制列表，对于现在复杂的 DDoS 攻击不能提供完善的防御。以下将详细介绍。
路由器只能通过过滤非基本的不需要的协议来停止一些简单的 DDoS 攻击，例如 ping 攻击。这依然需要一个手动的反应措施，并且往往是在攻击致使服务失败之后。另外，现在的 DDoS 攻击使用互联网必要的有效协议，很难有效的滤除。路由器也能防止无效的或私有的 IP 地址空间，但 DDoS 攻击可以很容易的伪造成有效 IP 地址。
另一种建议基于路由器的 DDoS 预防策略——在出口侧使用 uRPF 来停止 IP 地址欺骗攻击——这同样不能有效防御现在的 DDoS 攻击，因为 uRPF 的基本原理是如果 IP 地址不属于应该来自的子网网络阻断出口业务。然而， DDoS 攻击能很容易伪造来自同一子网的 IP 地址，致使这种解决法案无效。更重要的是，为使 uRPF 有效，它不得不在每一个潜在的攻击源之前配置——而不是当前的或可能发生的。
本质上，对于种类繁多的使用有效协议的欺骗攻击，路由器 ACLs 是无效的。包括：
ACLs 在防御应用层（客户端）攻击时也是无效的，无论欺骗与否， ACLs 理论上能阻断客户端攻击——例如 HTTP 错误和 HTTP 半开连接攻击，假如攻击和单独的非欺骗源能被精确的监测——将要求用户对每一受害者配置数百甚至数千 ACLs ，这其实是无法实际实施的。
防火墙
由于防火墙不是专门的 DDoS 防御装置，受到其内在限制，妨碍防御现有复杂攻击的能力。
首先是位置限制，防火墙的位置处于数据路径下游远端，不能为从提供商到企业边缘路由器的访问链路提供足够的保护，从而将那些易受攻击的组件留给了 DDoS 攻击。此外，因为防火墙总是串联的而成为潜在性能瓶颈，因为可以通过消耗它们的会话处理能力来对它们自身进行 DDoS 攻击。
其次是反常事件检测缺乏的限制，防火墙首要任务是要控制私有网络的访问。一种实现的方法是通过追踪从内侧（“干净”的一侧）向外侧服务发起的会话，然后只接收“不干净”一侧期望源头发来的特定响应。然而，这对于一些开放给公众来接收请求的服务是不起作用的，比如 Web 、 DNS 和其它服务。在这些情况下，防火墙将打开一个管道——例如将 HTTP 业务传送到 Web 服务器的 IP 地址。虽然这种方法通过只接收到特定地址的特定协议来提供一些保护，但对于 DDoS 攻击的防御还是无效的，因为黑客可以使用“被认可的”协议（如 HTTP ）。任何反常事件检测性能的缺陷意味防火墙不能识别被用作攻击媒介的有效协议。
第三种限制，虽然防火墙能检测反常行为，但几乎没有反欺骗能力——其结构仍然是攻击者达到其目的。当一个 DDoS 攻击被检测到，防火墙能停止与攻击相联系的某一特定数据流，但它们无法逐个包检测，将好的或合法业务从恶意业务中分出，使得它们在事实上对 IP 地址欺骗攻击无效。
IDS
基于签名的 IDS 解决方案无法检测以合法数据包作为途径的 DDoS 攻击。 IDS 解决方案将不得不提供领先的行为或基于反常事务的算法来检测现在的 DDoS 攻击。但是一些基于反常事务的性能要求有专家进行手动的调整，而且经常误报，并且不能识别特定的攻击流。同时 IDS 本身也很容易成为 DDoS 攻击的牺牲者。
也许作为 DDoS 防御平台的 IDS 最大的缺点是它只能检测到攻击，但对于缓和攻击的影响却毫无作为。 IDS 解决方案也许能托付给路由器和防火墙的过滤器，但正如前面叙述的，这对于缓解 DDoS 攻击效率很低，即便是用类似于静态过滤串联部署的 IDS 也做不到。 IDS 需要的是一个补充的防御解决方案，提供更高水平的特定攻击识别并与立即执行能力结合。
DDoS 攻击的手动响应
作为 DDoS 防御一部份的手动处理太微小并且太缓慢。受害者对 DDoS 攻击的典型第一反应是询问最近的上游连接提供者—— ISP 、宿主提供商或骨干网承载商——尝试识别该消息来源。对于地址欺骗的情况，尝试识别消息来源是一个长期和冗长的过程，需要许多提供商合作和追踪的过程。即使来源可被识别，但阻断它也意味同时阻断所有业务——好的和坏的。
其他策略
为了忍受 DDoS 攻击，企业操作者可能考虑了这样的策略，例如过量供应，就是购买超量带宽或超量的网络设备来处理任何请求。这种方法成本效益比较低，尤其是因为它要求附加冗余接口和设备。不考虑最初的作用，攻击者仅仅通过增加攻击容量就可击败额外的硬件，互联网上上千万台的机器是他们取之不净的攻击容量资源。
安全有效性
任何在线的商务都有在 DDoS 保护上投资的许多理由——经济和其它方面。大企业、政府组织、服务提供商——都需要保护它们的基础设施（ Web 服务器、 DNS 服务器、 e-mail 和聊天服务器、防火墙、交换机、路由器）等部件，维持商业操作的公平性和更有效地利用技术资源。
DDoS 防御的 ROI 模型
当然，实施完整 DDoS 保护需要成本。部署这样一个系统的 ROI(reture on investment) 投资汇报率是令人感兴趣的。
缓和 DDoS 威胁
从事于 DDoS 攻击防御需要一种全新的方法，不仅能检测复杂性和欺骗性日益增加的攻击，而且要缓和攻击的影响，以确保商务持续进行和资源持续有效。
完整的 DDoS 保护围绕四个关键主题建立：
基于检测、转移、验证和转发的基础上实施一个完整 DDoS 保护解决方案来提供完全保护，通过下列措施维持业务不间断进行：
完整 DDoS 防护解决方案套件
完整 DDoS 防护解决方案提供完整保护来防御各种 DDoS 攻击，甚至那些还未出现过的。以积极缓解性能为特色，快速检测攻击，从合法业务中分离出恶意数据包，提供以秒计而不是以小时计的快速 DDoS 响应。该方案容易布署在关键路由器和交换机附近，有可升级的选项来消除任何单个故障点，并且不影响任何现存的网络部件的性能和可靠性。
完整 DDoS 防护解决方案套件需要两个独立的组件—— Detector 攻击探测器和攻击防护卫士，两部分系统协同工作，能为任何环境提供 DDoS 保护。
当攻击保护卫士被通知有一个目标处于被攻击状态时，指向目标的业务将被转移到与该目标设备相连的防护卫士。然后，业务将通过五个阶段的分析和过滤，以除去所有恶意业务使得好的数据包能不间断的继续传送。
攻击保护卫士位于一个单独网络接口处的路由器或交换机附近，在不影响其他系统的数据业务流情况下实现按需保护。由于它的位置，攻击保护卫士可同时保护多个可能的目标，包括路由器、 Web 服务器、 DNS 服务器、 LAN 和 WAN 带宽。
MVP 多级验证体系结构
攻击保护卫士的下一代 DDoS 防御解决方案是基于一个独特的、申请专利的多验证过程 (MVP) 结构，就是将各种验证、分析和实施技术结合在一起用来从合法业务中识别和分离恶意业务。这个净化的过程由五个模块（步骤）组成：
在攻击间隙，攻击保护卫士处于“学习”模式，被动监测不同来源的业务模型和数据流，了解正常行为，建立基准配置文件。该信息被用来调整策略，用以在实时网络活动中识别和过滤已知、未知和以前从未见过的攻击。
图二说明：
完善 DDoS 攻击防御布署
完善的 DDoS 保护提供灵活的、可升级的布署来保护数据中心（服务器和网络设备）、 ISP 链接或骨干网（路由器和 DNS 服务器）。
提供商
攻击保护卫士可布署在服务提供商的基础设施上有战略意义的节点上，例如在每个对等点，来保护核心路由器、下游边缘设备、链接以及客户。也可以布署在边缘路由器来提供特定的客户保护。攻击探测器可以靠近提供商的边缘或在客户内部。
图四说明：
企业和数据中心
在企业数据中心，攻击保护卫士被布署在数据中心的分发层，保护下游的低速链接和服务器。攻击保护卫士能连接到分发交换机并且支持冗余配置（见图 5 ）。
图五说明：
思科公司的创新技术和体系结构提供了这种全新的防护 DDoS 攻击的方法，对业务进行现有的最详细的审查，不仅能检测最复杂的 DDoS 攻击，也能提供阻断日益复杂和难于检测的攻击业务的能力，同时不影响合法业务处理，确保 DDoS 攻击意图停止业务操作的目的失败。此技术解决方案超越了简单过滤，它能检测数据并去除恶意业务，允许好的数据包通过，确保了业务的持续进行和完整性。
