360技术总监唐会军解析云服务DDoS防御策略

“唐会军：云服务防DDOS攻击策略” 在2013年中国互联网安全大会上，360公司系统部总监唐会军详细阐述了云服务如何防范DDoS（分布式拒绝服务）攻击的策略。DDoS攻击是互联网安全领域的一大威胁，它通过大量恶意流量淹没目标网络或服务器，导致正常服务无法进行。唐会军的演讲内容涵盖了多种DDoS攻击类型及360云服务的防御措施。 首先，唐会军提到了几种常见的DDoS攻击类型，包括： 1. Syn Flood：攻击者发送大量的SYN请求，但不完成三次握手过程，导致服务器资源耗尽。 2. ACK Flood：攻击者发送大量的ACK包，干扰正常的TCP连接。 3. UDP & ICMP Flood：利用UDP和ICMP协议发送大量数据包，使网络拥塞。 4. Connection Flood：创建大量半开连接，占用服务器资源。 5. Challenge Collapsar：一种更高级的DDoS攻击手段，通过伪装的HTTP请求对目标造成压力。 360云服务的防DDoS攻击策略主要包括以下几个层面的防护体系： 1. 接入网络：设计合理的网络架构，通过多层路由和交换设备来分散和过滤异常流量。 2. 负载均衡：通过负载均衡技术将流量分发到多个服务器，避免单点过载。 3. WEB服务器：优化服务器配置，提高处理能力，并对异常请求进行检测和拦截。 在具体技术实现上，唐会军强调了以下几点： 1. UDP & ICMP Flood防护：在路由器上设置丢弃或过滤策略，阻止无效的UDP和ICMP流量。 2. SYN Flood防护：利用LVS（Linux Virtual Server）实现Syn Proxy功能，通过Syn Cookie原理降低握手阶段的内存消耗，有效防止SYN洪泛攻击。 3. Connection Flood防护：LVS在接受到合法的GET请求后再与后端服务器建立连接，防止大量无用连接占用资源。 4. ACK Flood防护：LVS直接丢弃ACK Flood攻击产生的异常ACK包，确保万兆线速下的正常通信。 这些策略和技术结合，构建了360云服务的DDoS防御体系，能够在不影响正常服务的情况下，有效抵御各种DDoS攻击，保护云服务的安全稳定运行。唐会军的分享揭示了在云计算时代，如何通过技术创新和精细化管理来应对日益复杂的网络安全挑战。