一、简介

　　绿盟科技从2001年5月开始进行针对DoS攻击的产品研发，次年，公司完成了抗拒绝服务攻击的克星—“黑洞Collapasar”的全部研发工作，并申请了国家发明专利。
　　
　　2002年9月黑洞正式推向市场，面世后屡建奇功：国内著名虚拟主机提供商的网络环境曾每天遭受几如暴风骤雨的DoS/DDoS攻击，是黑洞助其风雨无阻；某省高考查询站点曾被人用DoS攻击造成瘫痪，直接影响高考查分，是黑洞帮助抵御攻击并协助抓住黑手；某游戏网站受到竞争对手的DoS暗算，是绿盟科技用黑洞助其迅速恢复营业......两年来黑洞已经多次在客户面临困境时挺身而出，每每化解攻击于无形，成为名副其实消融DoS/DDoS的“黑洞”。黑洞的特性功能已经达到国际一流水平，备受用户的欢迎和推崇。

二、DoS攻击简述

　　DoS攻击（拒绝服务攻击)，通常是以消耗服务器端资源、迫使服务停止响应为目标，通过伪造超过服务器处理能力的请求数据造成服务器响应阻塞，从而使正常的用户请求得不到应答，以实现其攻击目的。

　　由于一些网络通讯协议本身固有的缺陷，拒绝服务攻击通常能够以较小的资源耗费代价导致目标主机付出很大的资源开销，因此攻击方往往可以通过一台或有限几台主机给被攻击方造成很大的破坏。特别是DDoS攻击(分布式拒绝服务攻击)，通过控制多台傀儡主机策划进攻，更加强了攻击的破坏性，甚至可以造成一些包括防火墙、路由器在内的网络设备瘫痪。可以假想一个公用电话呼叫服务系统(如119报警台)，如果遭遇恶意地不间断拨打骚扰电话，就可能造成电话系统繁忙，从而阻塞正常的电话请求，造成呼叫中心无法为正常的用户请求服务。DoS攻击就是类似形式的恶意网络行为。

 DoS攻击特点

　　难于防范：最严重的拒绝服务攻击大都基于协议层缺陷，无法用系统升级和打补丁的方式预防。


　　破坏力强：全球诸多大型网络服务商都曾饱受其害，包括Yahoo(雅虎)、Amazon(亚马逊)、Microsoft(微软)、Ebay、美国白宫等等，国内受害单位也不在少数。

　　易于发动：攻击门槛低，攻击工具已经泛滥，具有初级安全知识的人就可以很容易策动和实施危害很大的攻击。

　　追查困难：多数DoS攻击很难追查。

　　危害面广：除了导致主机宕机外，还可能导致整个网络瘫痪。

三、目前的防护手段及局限性

四、黑洞所带来的防护

 
　　即插即用：无需配置即可实现全面防护（也可通过配置实现特殊防护策略）。
　　
　　自身安全：无IP地址，网络隐身。

 　　
　　能够对SYN Flood、UDP Flood、ICMP Flood和(M)Stream Flood等各类DoS攻击进行防护。

　　可以有效防止连接耗尽，主动清除服务器上的残余连接，提高网络服务的品质；可以抑制网络蠕虫的扩散。

　　可以防护DNS Query Flood，保护DNS服务器正常运行。

　　可以给各种端口扫描软件反馈迷惑性信息，因此也可以对其它类型的攻击起到防护作用。


 　
　　黑洞目前分百兆、千兆两款产品，分别可以在相应网络环境下实现对高强度攻击的有效防护，性能远远超过同类防护产品。千兆黑洞主要用于保护骨干线路上的网络设备如防火墙、路由器，百兆黑洞主要用于保护子网和服务器。

　　核心算法由汇编实现，针对Intel IA32体系结构进行了指令集优化。对标准TCP状态进行了精简和优化，效率远高于目前流行的SYN Cookie和Random Drop等算法。

　　使用多种算法识别攻击和正常流量，能在高攻击流量环境下保证95%以上的连接保持率和95%以上的新连接发起成功率。
 

　　能够保护网络主机、路由器、防火墙等网络设备，以及整个子网。

　　能够通过主机识别技术保护指定的主机和子网。

　　基于Web的纯中文操作界面，方便操作。

　　强大的日志审计功能(图二)，可以清晰查询攻击类型和攻击来源，可以监控到整个网络的流量动态(图三)，并进行分析。

　　自动提醒机制：在对攻击行为进行防御的同时,也可以通过电子邮件的方式向网络管理员进行报警。

五、性能指标

　　以下测试环境为：局域网、100M交换环境、黑洞百兆产品，测试所用报文皆为64字节大小的SYN报文。

　第三次测试为发包器直接连接到黑洞。

六、典型实施方法


下图1是没有接入黑洞的网络拓扑，图2是接入黑洞的网络拓扑。

　　可以把黑洞想象成一段网线，放在第三方Firewall的前面，便可提供Anti-DDoS功能，保护防火墙和服务器，如图3所示。

七、应用

　　中国银河证券 海通证券 华泰证券 安联大众 中国联通 上海电信 湖北电信 重庆网通 中外运 万网科技

　　新网 光通通信