whitepaper.doc(53K)-冰盾防火墙.docVIP

冰盾抗DDOS防火墙 技术白皮书 冰盾（中国）科技  冰盾防火墙技术白皮书 一、开发背景 随着Internet互联网络带宽的增加和多种DDOS黑客工具的不断发布，DDOS拒绝服务攻击的实施越来越容易，DDOS攻击事件正在成上升趋势。出于商业竞争、打击报复和网络敲诈等多种因素，导致很多IDC托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被DDOS攻击所困扰，随之而来的是客户投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题，因此，解决DDOS攻击问题成为网络服务商必须考虑的头等大事。 冰盾防火墙是由美国硅谷留学博士Mr.Bingle Wang和Mr.Buick Zhang领导研发而成，两人在国内外专业安全公司从事信息安全行业有8年之久，拥有丰富的反黑客安全实践经验，紧密结合国内的形势，设计出了国内第一款具备入侵检测功能的专业级抗DDOS防火墙，不仅可有效防范绝大多数DDOS攻击，而且可防护主机系统不被黑客入侵，是当前解决DDOS和黑客入侵问题最具竞争力的产品。 二、设计原理 1、DDOS攻击分析 DDOS是英文Distributed Denial of Service的缩写，意即“分布式拒绝服务”，那么什么又是拒绝服务（Denial of Service）呢？可以这么理解，凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确，就是要阻止合法用户对正常网络资源的访问，从而达成攻击者不可告人的目的。虽然同样是拒绝服务攻击，但是DDOS和DOS还是有所不同，DDOS的攻击策略侧重于通过很多“僵尸主机”（被攻击者入侵过或可间接利用的主机）向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务，分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源，因此，拒绝服务攻击又被称之为“洪水式攻击”，常见的DDOS攻击手段有SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script Flood、Proxy Flood等；而DOS则侧重于通过对主机特定漏洞的利用攻击导致网络栈失效、系统崩溃、主机死机而无法提供正常的网络服务功能，从而造成拒绝服务，常见的DOS攻击手段有TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、OOB等。就这两种拒绝服务攻击而言，危害较大的主要是DDOS攻击，原因是很难防范，至于DOS攻击，通过给主机服务器打补丁或安装防火墙软件就可以很好地防范。 2、冰盾安全防护原理 作为冰盾防火墙的开发者，Mr.Bingle Wang和Mr.Buick Zhang先生在防火墙Firewall和入侵检测技术IDS方面是有着是具有深厚的技术储备和研究，冰盾防火墙采用的ActiveDefense主动防御技术属于冰盾科技多年研究的专有技术，通过生物基因原理实现，可智能辨识多种DDoS攻击，并启用MicroKernel微内核处理技术，能够在系统的底层高效地完成对DDoS攻击的过滤和防护，任何虚假的Syn包文都可以被有效的识别并阻止，从而确保服务器可以正常提供服务。主要关键技术有： ★ SYNCookies机制 通过实施SYNCookie的包认证机制，可实现对SYNFlood、ACKFlood等攻击的防护，对于攻击量较小的情况下非常有效。 ★ 3Second秒重传机制 当检测到每秒的SYN包大于正常数值时候，采用丢弃SYN的办法来降低一半的攻击，正常的用户会在3秒后再次发送SYN，从而建立有效的连接。 ★ ActiveDefense机制 通过生物基因原理，对所有进出的包进行分析统计，识别有害的攻击包并启动处理引擎进行防护，从而提高系统的防御能力。 ★ MicroKernel微内核机制 在网卡和系统之间设计一层高效的处理内核程序，以最快的速度抓取网卡上的网络包并进行适当的分析处理，由智能控制决定放行还是阻止，大大提高系统的处理效能。 ★ Connections连接跟踪机制 对TCP和UDP的连接进行智能跟踪，及时发现并阻止可能的攻击，从而最大程度保护应用服务程序的安全。 三、功能特点 冰盾抗防火墙做为一款全新技术的产品，远不同于一般的包过滤类防火墙技术，其独特的抗DDOS设计，使得其在防止DOS拒绝服务和DDOS分布式拒绝服务方面远胜其他防火墙产品，主要特色功能如下： ★ 阻止DOS攻击 TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、BigPing、OOB等数