保障主机安全无忧 抗拒绝服务设备介绍

   另外一个方法就是采用 有抗DoS能力的防火墙。现在有很多防火墙产品集成了反DDoS功能，进一步提高了对常见DDoS攻击包的识别能力。这样的产品可以在很大程度上增强DDoS防御能力，并且可以做到不对数据包进行完全检查就可以发现“恶意行为”。这是非常有帮助的能力，因为如果判断DDoS攻击所耗费的处理越少，就越不容易被耗尽处理能力，从而极大的增加攻击者的成本。包括很多路由器产品在内的网络设备都具备一些防火墙功能，我们应该尽可能充分的利用。 如下图，防DDOS攻击防火墙处于Internet与内部网之间。

    采用 有抗DoS能力的防火墙，能够防护一些低规模的拒绝服务攻击，配置和操作相当简单 。但也有一些局限性，防火墙作为通用网络安全产品，在防DoS方面不可能达到专业产品的性能和效率，对大规模的DoS攻击是无能为力的，甚至会成为攻击目标。

Quidway® SecEngine D200 入侵检测系统

    Quidway SecEngine D200 （以下简称D200）是华为3Com公司面向企业用户开发的新一代专业入侵检测设备，可以作为中小企业的网络出口或者内部关键子网的入侵检测设备。D200是华为3Com安全渗透网络解决方案中的重要设备之一。

    D200提供三个固定的10/100M自适应以太网口，一个10/100/1000M自适应的以太网口；D200采用华为3Com专门针对安全领域应用度身定做的安全操作系统SecNOS，SecNOS可以根据不同的应用进行扩展和裁减，并与上层的应用紧密结合，从而很好地保证了设备自身的安全性。

对于网络中可能存在的安全风险，例如黑客入侵、网络病毒和网络资源滥用等行为，D200可以进行有效检测并做出报警或与其他网络设备联动实现实时阻止。D200可以对流经被保护网络的流量进行基于三种技术的综合检测，包括：

• 基于状态的内容特征匹配：采用了高精度的智能模式识别算法，对协议交互特定阶段的报文进行检测，可以识别隐藏在正常业务流量中的网络攻击的特征。

• 协议分析：以网络层、传输层和应用层的常用协议为对象，记录和分析协议交互的过程，为基于状态的内容特征匹配提供了状态依据，并且可以有效的探测那些利用协议漏洞的网络攻击。

• 流量分析：通过对网络流量规律的数学建模和智能统计分析，可以有效地抵御DoS/DDoS攻击和扫描攻击。

    对于大规模的部署和应用，D200也支持安全管理平台的集中式管理。通过安全的传输通道，管理员可以对全网的SecEngine系列设备进行统一的配置管理、策略部署和安全事件监控。对于收集到的网络安全事件，管理员可以通过安全管理平台提供的多种智能分析和管理手段对这些信息进行处理，并依据处理结果调整安全策略和防护手段，从而提高网络安全的整体水平

绿盟科技 COLLAPSAR-100黑洞百兆产品

    绿盟科技从2001年5月开始进行针对DoS攻击的产品研发，次年，该公司完成了抗拒绝服务攻击的克星—“黑洞Collapasar”的全部研发工作，并申请了国家发明专利。

　　COLLAPSAR-100属于百兆产品，产品即插即用，无需配置即可实现全面防护，能够对SYN Flood、UDP Flood、ICMP Flood和(M)Stream Flood等各类DoS攻击进行防护。可以有效防止连接耗尽，主动清除服务器上的残余连接，提高网络服务的品质；可以抑制网络蠕虫的扩散。可以防护DNS Query Flood，保护DNS服务器正常运行。可以给各种端口扫描软件反馈迷惑性信息，因此也可以对其它类型的攻击起到防护作用。

　　这款黑洞百兆黑洞主要用于保护子网和服务器。核心算法由汇编实现，针对Intel IA32体系结构进行了指令集优化。对标准TCP状态进行了精简和优化，效率远高于目前流行的SYN Cookie和Random Drop等算法。使用多种算法识别攻击和正常流量，能在高攻击流量环境下保证95%以上的连接保持率和95%以上的新连接发起成功率。

• 看本文的网友还看了：
• P2P技术：资源分享 网络安全需关注 2008年8月25日
• 安全：飞鱼星安全联动交换机全新上市 2008年8月25日
• WatchGuard 公布可扩展网络安全构想 2008年8月18日
• 防范：慎用没有免疫安全功能的路由器 2008年8月8日
• 应用：巡路免疫墙护航廉江新城网吧 2008年8月8日