華為Anti-DDoS技術漫談

目 錄
1 方案篇 1
1．1 什么是DDoS？ 2
1．1．1 什么是DDoS攻擊 2
1．1．2 DDoS攻擊兩大特點 3
1．1．3 DDoS攻擊三大動機 3
1．1．4 DDoS攻擊分類 4
1．1．5 DDoS攻擊分析 6
1．2 華為Anti-DDoS方案 9
1．2．1 初識華為Anti-DDoS方案 9
1．2．2 動態(tài)流量基線技術 10
1．2．3 逐流與逐包檢測技術 10
1．2．4 多層過濾防御技術 11
1．2．5 大數(shù)據(jù)信譽體系 15
1．2．6 Anti-DDoS方案運營 16
1．3 華為云清洗方案與云清洗聯(lián)盟 17
1．3．1 Anti-DDoS的煩惱 17
1．3．2 傳統(tǒng)MSSP面臨的問題 18
1．3．3 華為云清洗方案 18
1．3．4 云清聯(lián)盟 19
1．4 華為Anti-DDoS產(chǎn)品集 21
1．4．1 解決方案組成 21
1．4．2 設備型號 22
1．4．3 方案部署位置 23
1．4．4 方案部署模式 24
1．4．5 方案亮點 26
2 DNS篇 27
2．1 熱點事件解密之：視頻軟件斷網(wǎng)事件 28
2．1．1 事件回顧 28
2．1．2 事件中涉及的幾個關鍵角色 29
2．1．3 DNS服務器在網(wǎng)絡中充當什么角色？ 30
2．1．4 針對關鍵環(huán)節(jié)解決方案思路： 31
2．1．5 華為專業(yè)Anti-DDoS解決方案怎么做？ 32
2．2 DNS協(xié)議解析 36
2．2．1 DNS協(xié)議基礎 36
2．2．2 DNS報文格式 36
2．2．3 DNS交互 39
2．3 DNS Request Flood 41
2．3．1 DNS Request Flood 攻擊原理 41
2．3．2 華為Anti-DDoS系統(tǒng)如何防御？ 41
2．4 DNS Reply Flood 56
2．4．1 DNS Reply Flood攻擊原理 56
2．4．2 華為Anti-DDoS系統(tǒng)如何防御？ 56
2．4．3 DNS反射攻擊 58
2．5 DNS緩存投毒 61
2．5．1 事件回顧 61
2．5．2 路由器DNS劫持 61
2．5．3 修改shou權服務器 62
2．5．4 修改緩存服務器 62
3 HTTP篇 66
3．1 熱點事件解密之：跨站腳本攻擊事件 67
3．1．1 事件回顧 67
3．1．2 HTTP協(xié)議基本知識 68
3．1．3 華為Anti-DDoS解決方案怎么做？ 69
3．2 HTTP協(xié)議解析 74
3．2．1 HTTP請求報文 74
3．2．2 HTTP響應報文 75
3．3 HTTP GET Flood 78
3．3．1 302重定向認證 78
3．3．2 驗證碼認證 82
3．3．3 URI動態(tài)指紋學習 84
3．3．4 URI行為監(jiān)測 85
3．4 HTTP POST Flood 86
3．4．1 重定向認證 86
3．4．2 驗證碼認證 89
3．4．3 URI動態(tài)指紋學習和URI行為監(jiān)測 89
3．4．4 HTTP慢速攻擊與防御 89
4 TCP篇 95
4．1 熱點事件解密之： SYN Flood攻擊事件 96
4．1．1 事件回顧 96
4．1．2 什么是SYN flood攻擊？ 96
4．1．3 華為Anti-DDoS解決方案怎么做？ 98
4．2 TCP協(xié)議解析 102
4．2．2 三次握手建立連接 102
4．2．3 四次握手斷開連接 104
4．3 SYN Flood 107
4．3．1 基本源認證 107
4．3．2 gao級源認證 108
4．3．3 首包丟棄 110
4．4 SYN-ACK&ACK&FIN&RST Flood 112
4．4．1 SYN-ACK Flood攻擊與防御 112
4．4．2 ACK Flood攻擊與防御 114
4．4．3 FIN/RST Flood攻擊與防御 116
4．5 TCP連接耗盡攻擊&異常報文攻擊 118
4．5．1 TCP連接耗盡攻擊與防御 118
4．5．2 TCP異常報文攻擊與防御 119
5 UDP篇 122
5．1 熱點事件解密之：“網(wǎng)游大戰(zhàn)”攻擊事件 123
5．1．1 事件回顧 123
5．1．2 什么是NTP反射放大攻擊？ 123
5．1．3 華為專業(yè)Anti-DDoS解決方案怎么做？ 125
5．2 UDP協(xié)議解析 128
5．3 UDP Flood 130
5．3．1 UDP Flood攻擊原理 130
5．3．2 華為Anti-DDoS系統(tǒng)如何防御？ 130
6 配置篇 133
6．1 引流 134
6．1．1 概念 134
6．1．2 分光和鏡像 134
6．1．3 引流方法 138
6．1．4 策略路由引流 139
6．1．5 BGP引流 140
6．2 回注 144
6．2．1 常用回注方法 144
6．2．2 二層回注 145
6．2．3 UNR路由回注 147
6．2．4 靜態(tài)路由回注 150
6．2．5 策略路由回注 150
6．2．6 GRE回注 154
6．2．7 MPLS LSP回注 158
6．2．8 MPLS VPN回注 163
6．2．9 使用場景對比 168
6．3 引流回注的成敗之謎 170
6．3．1 前期準備 170
6．3．2 測試思路 170
6．3．3 測試步驟 171
6．3．4 期望的測試結果 177
6．4 策略配置的那些事兒 180
6．4．1 什么是防護對象？ 180
6．4．2 什么是服務？ 180
6．4．3 命令行配置還是ATIC配置？ 181
6．4．4 防御策略該怎么配？ 181
6．4．5 閾值調(diào)整 205
6．4．6 怎么看報表？ 207
7 實戰(zhàn)篇 211
7．1 城域網(wǎng)防護 212
7．1．2 規(guī)劃思路 212
7．1．3 典型組網(wǎng) 215
7．1．4 數(shù)據(jù)規(guī)劃 215
7．1．5 配置思路 217
7．1．6 配置過程 218
7．2 小型數(shù)據(jù)中心防護 239
7．2．2 規(guī)劃思路 239
7．2．3 典型組網(wǎng) 242
7．2．4 數(shù)據(jù)規(guī)劃 243
7．2．5 配置思路 245
7．2．6 配置過程 246
7．3 大型數(shù)據(jù)中心防護 261
7．3．2 規(guī)劃思路 261
7．3．3 典型組網(wǎng) 264
7．3．4 數(shù)據(jù)規(guī)劃 265
7．3．5 配置思路 268
7．3．6 配置過程 269
7．4 企業(yè)園區(qū)防護 287
7．4．2 規(guī)劃思路 287
7．4．3 典型組網(wǎng) 289
7．4．4 數(shù)據(jù)規(guī)劃 291
7．4．5 配置思路 293
7．4．6 配置過程 294