黑洞那些事儿：谈抗拒绝服务攻击防范

　　但是这类攻击却被称为CC攻击——Challenge Collapsar，挑战黑洞，在DDoS攻击领域，Collapsar黑洞就是绿盟科技的抗拒绝服务产品。事实上，CC也是黑客在利用新的攻击向抗DDoS厂商发起挑战：你能战胜我们吗？

　　早期绿盟科技黑洞的防护算法大多集中在抗四层攻击上，如著名的SYN Flood攻击，以及其他一些类型如UDP Flood、ICMP Flood等，对于应用层攻击，特别是不再伪造IP地址的真实主机访问，很难区分每个报文的真伪，而且随着CC攻击工具的发展，报文的特征字段几乎不再存在，传统的特征库的作用也越来越小。直到今天，对于防火墙、IPS等一般安全产品，CC等应用级别的DDoS依旧是一个很难解决的难题，因此 CC以及其变形攻击也至今是黑客的重要DDoS攻击手段。

　　还好，经历过前期一段艰苦的研究后，黑洞很快找到了应对CC攻击的算法，而且随着CC攻击手法的变化，黑洞自身的防护算法不断改进，到今天为止，绿盟科技黑洞的抗CC防护算法已经有6种，用户可以根据自己实际的情况，选择任何一种方便的方式进行防护，CC对于黑洞来说，已经不再是挑战了，只有CC的名字，依旧记录了那段攻防双方的博弈经历。

　　当然，挑战也不都全是来自黑客攻击者，也有来自同行业产品的竞争、技术对比测试。最让黑洞产品难忘的一次是在2006年，东南某省电信的产品对比测试，除了绿盟科技的黑洞，竞争对手全部来自美国，都是著名的抗DDoS公司：IPS厂商R公司、IPS厂商T公司、网络厂商C公司、以及病毒厂商M公司。特别是R公司，更是由亚太区技术总监亲自从香港赶来压阵，但最终看到的却是黑洞的完胜。当然，那位技术总监也没有白来，在黑洞测试ICMP Flooding等几个防护的过程中，他用手机悄悄地拍下了黑洞的测试界面，因为对于这些攻击的防护，R公司只顶住了其标称值的20%流量。黑洞的开发人员也终于发现，原来，在网络高科技领域，也有很多美国公司需要努力赶超中国厂商的时候，只是，那些是内置的防护算法的功效，如何能用手机照片获取到？

　　时间一天天过去，绿盟科技的黑洞也继续用自己的防护效果去赢得用户的信任，并且在业内传递着黑洞的口碑。黑洞在电信运营商、银行、证券、互联网、政务办公网，都有着国内最广泛的应用，在北京奥运会、六十周年国庆、在国家级领导人同网友对话等重大事件中，都有绿盟科技的黑洞产品在默默看护着网络的安全。很多用户，在黑洞防护住攻击后，给绿盟科技技术人员致以感谢和赞赏。其实，依我看来，黑洞产品的防护效果应该首先感谢这些使用黑洞的用户，正是由于这些分布全国、遍布各个行业的广泛的应用和复杂的网络环境，使得黑洞每天都在面对各种各样的新型DDoS攻击，遍布全国的黑洞部署也成了绿盟科技发现、收集新型DDoS攻击的巨大平台，几乎任何一种新出现的DDoS攻击，都会很快反映到全国的某些黑洞上，为黑洞研发人员提供算法研究的素材，并督促黑洞研发人员快速改进算法，提高防护效果。

　　抗DDoS防护算法成了绿盟科技黑洞的最宝贵的资本，这不同于做路由器和应用服务，可以根据RFC规定做路由协议，或者根据用户的需求分析可完成应用的开发。对于黑客攻防产品、特别是DDoS攻防的算法，有时候，防护算法的小小一个字节的不同，对于整个防护效果则是差之千里，而对攻防的算法的效果提升，是没有什么文档可以依赖的，只能立足于广泛的攻防积累，没有时间、没有大量的客户群，黑洞无法达到其现在的防护能力，从这点来说，黑洞是应该真心感谢那些使用黑洞的客户的。

　　有了DDoS防护算法的核心技术，绿盟科技的黑洞产品线也在不断的壮大，在抗DDoS领域，黑洞传统的抗DDoS清洗设备拥有了最全的产品系列——从最低端百兆级别的企业级清洗设备，到电信级数十G清洗能力的高端集群设备；流量检测分析领域，推出了专业的NTA流量分析产品；在僵尸网络发现领域，推出了蜜罐系统，自动捕获那些恶意攻击者和被感染的僵尸主机。全面的产品能力，让绿盟科技可以进一步为行业客户提供完善的抗DDoS流量清洗解决方案，在运营商，借助旁路算法技术、借助流量牵引技术、借助流量回注技术，形成了安全岛解决方案在骨干网络中，建立一个以黑洞为核心的安全岛屿，任何的异常流量都要进入这个安全岛内部去审核一遍，清除异常，让正常访问畅通无阻……

　　绿盟科技始终相信，过硬的技术、良好的服务才应该是最终极、最好的营销宣传手段，而绿盟科技黑洞团队也在持续不断地进行着攻防研究，凭借这些抗DDoS技术及经验积累，未来的一段时间里，黑洞将继续做中国最好的抗DDoS产品，让绿盟科技再多几件黑洞那些事儿。