金盾8个cpu新漏洞

中新金盾抗拒绝服务系统GFW系列技术白皮书版本号:20140425版权信息安徽中新软件有限公司,版权所有2002-2014本文件所有内容受版权保护并且归中新软件所有,未经中新软件明确书面许可,不得以任何形式复制、传播本文件(全部或部分).
中新软件、JDFW、JDIS、金盾抗拒绝服务系统及其它中新商标均是安徽中新软件有限公司注册商标,本文中涉及到的其它产品名称和品牌为其相关公司或组织的商标或注册商标,特此鸣谢.
中新金盾抗拒绝服务系统-GFW系列技术白皮书2014中新金盾目录1概述.
11.
1DDoS对当前网络提出的挑战.
11.
2常规网络安全产品的不足12攻击分析22.
1常见的DDoS原理简介22.
2DDoS分类22.
3DDoS攻击发展趋势32.
3.
1攻击目的产业化32.
3.
2攻击手段趋于复杂化-32.
3.
3攻击目标趋于多样化-32.
3.
4攻击流量趋于海量化-33功能原理43.
1金盾抗拒绝服务系统功能简介43.
1.
1精确智能的攻击检测及防护43.
1.
2简洁丰富的WEB管理-43.
1.
3专业健全的连接跟踪机制43.
1.
4通用方便的报文规则过滤53.
1.
5便捷快速的抓包取证功能53.
1.
6完善强大的模块防护功能53.
2金盾抗拒绝服务系统防护原理54产品优势74.
1技术优势74.
1.
1独特的连接代理防护算法74.
1.
2高效的连接数据转发算法74.
1.
3模块化的内核防护算法-74.
1.
4基于页面插入式的WEB防护算法84.
1.
5基于数据挖掘的通用防护算法-84.
1.
6可扩展的集群模式84.
1.
7灵活多样的部署方式-84.
1.
8丰富的日志、报表输出-84.
2服务优势9中新金盾抗拒绝服务系统-GFW系列技术白皮书2014中新金盾4.
2.
1广泛的行业解决方案-94.
2.
2全面系统的专业培训服务94.
2.
3优质的售后服务体系-94.
2.
4量身的模块定制服务-95关于我们10附录.
11中新金盾抗拒绝服务系统-GFW系列技术白皮书12014中新金盾1概述DDoS(DistributedDenialofService),即"分布式拒绝服务",攻击者通过控制多个傀儡主机向服务器发送大量请求,消耗网络带宽、占用服务资源,使服务器无法处理其他正常请求.
1.
1DDoS对当前网络提出的挑战随着互联网技术的快速发展,与其相关的网络信息技术的应用涉及到许多大型、关键的业务系统,如党政部门信息系统、金融业务系统和企业生产管理系统等.
但在世界各国对互联网高度依赖的同时,针对大规模网络以拒绝服务攻击为主的恶意行为已经成为互联网上的一个首要安全威胁,几乎每次该类攻击事件都给整个社会造成了巨大的经济损失.
2009年5月19日,我国多地互联网运营商DNS服务器遭受拒绝服务攻击,造成数以万计用户在数小时内无法正常上网.
2010年国内某知名游戏公司验证服务器遭受恶意DDoS攻击,造成游戏服务器中断12小时.
类似事件屡见不鲜,拒绝服务攻击对当前网络的安全性已经提出了严峻的挑战.
保证网络环境有效运行是互联网业务提供商亟需解决的重要安全问题.
而金盾抗拒绝服务产品以此为目标,为您提供强有力的安全保障.
1.
2常规网络安全产品的不足传统的网络安全产品的种类非常多,但对DDoS攻击防护却表现得非常薄弱.
传统防火墙、入侵检测系统、路由器和交换机等,因其设计之初并未考虑对DDoS的防护,而不能全面的对DDoS攻击进行有效检测和防护.
路由器的一些安全策略,如ACL(访问控制列表)、QoS(服务质量)等,可以对非法的流量进行过滤和对优先服务提供保证.
对于利用合法网络访问发动的拒绝服务攻击,却显得无所适从.
防火墙是我们比较常用的网络安全设备,它通过NAT隐藏内部网络结构,通过设置DMZ区(非军事化区)保护内部网络,通过三层数据包过滤非法数据.
但防火墙的性能将成为瓶颈,若防火墙遭受海量拒绝服务攻击,整个网络必将陷入瘫痪.
IPS/IDS作为当前网络攻击防御和检测的有力工具,主要基于特征规则库检测阻断攻击.
但是常见的DDoS攻击多以合法的数据包进行流量攻击,这样IPS/IDS就很难通过规则对这些攻击进行检测.
中新金盾抗拒绝服务系统-GFW系列技术白皮书22014中新金盾2攻击分析2.
1常见的DDoS原理简介对现有攻击分析总结,可知常见的DDoS攻击有SYNFlood、ACKFlood、ICMPFlood、UDPFlood、DRDoS、LandFlood、FragmentsFlood、Fatboy、DNSQueryFlood和CC攻击.
本节将为您简要介绍其中几种攻击的原理.
SYNFlood攻击:利用TCP协议缺陷,发送海量伪造的TCP连接请求,从而使得被攻击方资源耗尽(CPU满负荷或内存不足)的攻击方式.
ICMPFlood攻击:利用海量ICMP报文给服务器带来较大的负载,影响服务器的正常服务.
由于目前很多抗拒绝服务产品直接过滤ICMP报文,因此ICMPFlood出现的频度较低,但变种伪造IP的Flood,Smurf洪水攻击(反射攻击)却愈发猛烈.
Land攻击:向服务器发送具有IP源和目的地址甚至TCP源和目的端口完全一样的伪造的SYN包,使服务器创建大量空连接而无法承受这么多流量瘫痪或重启.
CC攻击:CC其前身名为Fatboy攻击,攻击者借助代理服务器生成指向受害主机的合法请求,实现对服务器资源的恶意消耗.
DNSQueryFlood攻击:利用向被攻击的DNS服务器发送海量伪造域名的解析请求,以达到消耗服务器系统资源的目的.
IGMPFlood攻击:利用IGMP协议漏洞(无需认证),发送大量伪造的IGMP数据包造成路由器、防火墙等网关设备内存耗尽,CPU过载.
以上是最为常见的拒绝服务攻击,随着时间的推移新的攻击类型及其变种层出不穷.
作为专业的DDoS解决方案提供商,中新软件时刻关注此类攻击动向,快速制定相应的解决方案,为您的网络安全提供实时的全方位服务.
2.
2DDoS分类拒绝服务攻击手段繁多,基于网络协议类型可划分为TCP攻击、UDP攻击、ICMP攻击、IP攻击等.
其中针对TCP的拒绝服务攻击主要有SYNFlood攻击、ACKFlood攻击、CC攻击、Land攻击等.
针对UDP的拒绝服务攻击主要有UDPFlood、DNSQueryFlood攻击等.
针对ICMP的攻击主要有ICMPFlood.
针对IP的攻击主要有FragmentsFlood攻击、IGMPFlood攻击等.
为了便于更好的理解中新软件金盾抗拒绝服务系统的工作原理.
中新金盾对拒绝服务分为流量型攻击中新金盾抗拒绝服务系统-GFW系列技术白皮书32014中新金盾和连接型攻击.
流量型攻击:使用大量的包含伪造信息的数据包,耗尽服务器资源.
主要包括SYNFlood、ACKFlood、UDPFlood、ICMPFlood、FragmentFlood和NonIPFlood等.
连接型攻击:使用大量的傀儡机,频繁的连接服务器,形成虚假的客户请求,耗尽服务器资源.
主要包括CC攻击、HTTPGetFlood、IDDB攻击(又称Logindrv攻击)、假人攻击等.
2.
3DDoS攻击发展趋势中新软件自2002年以来扎根抗拒绝服务攻击领域,多年来通过对国内外拒绝服务攻击情况实时跟踪分析,总结拒绝服务攻击发展趋势如下:2.
3.
1攻击目的产业化DDoS攻击逐渐从偶然攻击动机转变为追求经济利益的谋利手段,如产业竞争、经济敲诈等,并逐渐形成一个成熟的DDoS攻击市场及与之相对应的地下产业链.
2.
3.
2攻击手段趋于复杂化攻击者通过组合多种攻击方式,随机伪造各种正常报文.
如攻击包有时随机、有时固定、有时分片;攻击报文长度有时超长、有时超短;宽带型攻击夹带应用型混合攻击.
2.
3.
3攻击目标趋于多样化从早前攻击针对网络层,消耗链路带宽和被攻击服务器系统资源,演变为针对不同业务特点进行攻击.
如慢速向Web服务器发送数据查询请求、向游戏服务器发送虚假人物登录请求.
2.
3.
4攻击流量趋于海量化进入21世纪国内互联网运营商加速宽带网络建设,此后DDoS攻击逐渐活跃,单次攻击规模逐年增大.
如2002年中新软件监测到大规模攻击流量不过千兆,而2011年监测到单次攻击最高已达到70G.
十年间攻击规模的不断递增,攻击流量海量化已成事实.
中新金盾抗拒绝服务系统-GFW系列技术白皮书42014中新金盾3功能原理中新软件通过近十年的发展以及在抗拒绝服务产品研发、生产和部署中,形成了具有自主知识产权、性能优越、品质优秀的金盾抗拒绝服务系统,可为您的信息系统提供完善的安全保护.
一流的核心模块,高效的防护算法使得本系列产品成为抗拒绝服务的防护金盾.
本章将介绍金盾抗拒绝服务系统产品实现的功能和工作原理.
使您对本系列产品的性能优势有一个深入的了解.
3.
1金盾抗拒绝服务系统功能简介中新软件金盾抗拒绝服务系统GFW系列产品,功能丰富,界面简洁,便于管理.
概括起来有以下主要功能和技术优势.
3.
1.
1精确智能的攻击检测及防护金盾抗拒绝服务系统系列产品,应用了自主研发的抗拒绝服务攻击算法,拥有智能参数阀值,对SYNFlood、UDPFlood、ICMPFlood、IGMPFlood、ACKFlood、DNSQueryFlood、PingSweep等流量型攻击,HTTPProxyFlood、HTTPGetFlood、CCProxyFlood、ConnectionExhausted等连接型攻击和Smurf、Land-based、Teardrop、FragmentFlood、RedCode等漏洞型攻击及其他各种常见的攻击行为均可有效识别,并通过集成的机制实时对这些攻击流量进行阻断处理,保障业务系统正常运行.
内置的各种针对网站、网络游戏、音视频聊天室等专门的Web防护插件及游戏防护插件,彻底解决针对此类应用的DoS攻击.
3.
1.
2简洁丰富的WEB管理金盾抗拒绝服务系统系列产品具有丰富的设备管理功能,基于简洁的Web管理方式,支持本地或远程升级.
同时,丰富的日志和审计功能也极大地增强了设备的可用性,不仅能够针对攻击进行实时监测,还能对攻击的历史日志进行方便的查询和统计分析,便于对攻击事件进行有效的跟踪和追查.
整个Web界面主要有状态监控、攻击防御、日志分析、系统配置和服务支持五个模块.
3.
1.
3专业健全的连接跟踪机制金盾抗拒绝服务系统系列产品,内部实现了完整的TCP/IP协议族,具有强大的连接跟踪能力.
每个进出的连接,防火墙都会根据其源地址进行分类,并显示出来给用户,方便用户对受保护主机状态的监控.
同时还提供连接超时,重置连接等辅助功能,弥补了TCP/IP协议族本身的不足,使您的服务器在面对拒中新金盾抗拒绝服务系统-GFW系列技术白皮书52014中新金盾绝服务攻击中游刃有余.
3.
1.
4通用方便的报文规则过滤金盾抗拒绝服务系统系列产品,除了提供专业的DoS/DDoS攻击检测及防护外,还提供了面向报文的通用规则匹配功能,可设置的域,包括IP地址、端口、TCP标志位、关键字、协议等,极大的提高了通用性及防护力度.
同时内置了若干预定义规则,涉及局域网防护、漏洞检测等多项功能,易于使用.
3.
1.
5便捷快速的抓包取证功能金盾抗拒绝服务系统,内置抓包工具,具有数据包捕获功能,依据自行设置的条件启动抓包任务,针对DoS/DDoS攻击,获取符合抓包条件的网络数据包,为电子取证提供依据.
3.
1.
6完善强大的模块防护功能金盾抗拒绝服务系统具有完善的连接跟踪机制,准确的应用层协议过滤.
应用层协议高级防护,如对FTP、SMTP、POP3、HTTP等应用服务的保护.
数据包规则过滤可对端口和TCP的SYN、FIN、PSH、ACK等标志位过滤.
数据包内容细致过滤可对数据包内关键字过滤并支持明文和十六进制格式.
同时金盾抗拒绝服务系统还可以实现数据包捕获功能、单IP流量限制、SNMP管理、支持查询CPU内存利用率和接口流量及系统健康状态等.
详细的实时日志记录方便下载查看,同时支持Syslog远程记录和专用管理器日志服务,详细的日志分析报告,实时的查看主机流量,实时的连接控制,实时的主机状态监控,清晰的全局和单IP流量图显示,对单IP的特殊防护设置包括流量限制、应用规则、应用端口保护等,完善的TCP、UDP端口特殊防护,智能的WebHTTP协议保护功能,灵活的语音视频聊天室防护模块,账号分级管理功能,方便使用的域名管理功能,智能的参数阀值保护,内网外出攻击流量防护,进出口、管理口的灵活选择,在线远程升级的服务.
3.
1.
7金盾抗拒绝服务系统防护原理金盾抗拒绝服务系统系列产品是基于嵌入式系统设计的,其在系统核心实现了防御拒绝服务攻击的算法,创造性地将算法实现在协议栈的最底层,避开了IP/TCP/UDP等高层系统网络堆栈的处理,使整个运算代价大大降低.
并采用自主研发的高效防护算法,效率极高.
方案的核心技术架构即金盾抗拒绝服务系统的工作原理如图3-1所示.
中新金盾抗拒绝服务系统-GFW系列技术白皮书62014中新金盾图3-1金盾抗拒绝服务系统的工作原理从上图可以看到金盾抗拒绝服务系统主要采用了攻击检测、主机识别、指纹识别、协议分析、攻击过滤、流量控制、端口保护、连接控制、连接跟踪和日志审计来达到拒绝服务攻击的防护.
攻击检测:利用了多种技术手段对DoS/DDoS攻击进行有效的检测,在针对不同的流量触发不同的保护机制,提高效率的同时确保准确度.
主机识别:金盾抗拒绝服务系统可自动识别其保护的各个主机及其地址,某些主机受到攻击不会影响其它主机的正常服务.
指纹识别:用来识别整个连接过程,其中包括:源、目的、协议、端口等情况的识别.
协议分析:金盾抗拒绝服务系统采用了协议独立的处理方法,对于TCP协议报文,通过连接跟踪模块来防护攻击;而对于UDP及ICMP协议报文,主要采用流量控制模块来防护攻击.
攻击过滤:攻击过滤为GFW的默认模式,此模式下,GFW运行完整的攻击过滤流程,过滤攻击保证正常流量到达主机.
流量控制:主要是针对一些攻击流量做限制.
紧急触发状态,针对攻击频率较高的攻击防护模式,此模式将更为严格过滤攻击.
简单过滤流量限制,是针对某些显见的攻击报文做的一种过滤模式,目前可以过滤内容完全相同的报文,及使用真实地址进行攻击的报文.
忽略主机流量限制,用于限制忽略主机的流量,当某个忽略主机的流量超过设置值,超过的流量将被丢弃.
伪造源流量限制,用于限制中新金盾抗拒绝服务系统-GFW系列技术白皮书72014中新金盾内网攻击.
当某数据包的源MAC地址不同于GFW记录到的MAC地址,该数据包将被认为是伪造源流量,超过设置值的伪造源流量将被丢弃.
连接控制:根据攻击的流量和连接数阀值来设置触发防护选项,连接数阀值可以根据不同情况来灵活控制.
连接跟踪:金盾抗拒绝服务系统针对进出的连接均进行连接跟踪,并在跟踪的同时进行防护,彻底解决针对TCP协议的各种攻击.
日志审计:GFW日志记录可全面记录产品系统运行及防护状态,并对不同操作权限的操作进行记录.
4产品优势通过多年市场发展,中新金盾抗拒绝服务系统拥有独立自主的技术专利,具有优秀的技术和系统的服务优势.
为您的网络提供系统的安全服务.
4.
1技术优势4.
1.
1独特的连接代理防护算法金盾抗拒绝服务系统系列产品中应用了自主研发的抗拒绝服务攻击算法.
针对SYN攻击,采用SYNProxy连接代理防护模式,以代理模式处理客户端与服务器之间的连接,同时完成攻击报文的过滤.
即使在海量攻击下仍然可以保证100%的新建连接的连接成功率.
4.
1.
2高效的连接数据转发算法金盾抗拒绝服务系统系列产品,采用自主研发的TCPFastRechecksum技术,高效的处理来自TCP的连接数据及其校验和,并进行快速转发,而无需重新统计报文数据.
4.
1.
3模块化的内核防护算法金盾抗拒绝服务系统系列产品,采用了KernelProtectionPluginForLinux&Windows技术,将特定的防护算法以模块的形式实现,简化了核心代码,优化了系统构架,并具有良好的扩展性.
中新金盾抗拒绝服务系统-GFW系列技术白皮书82014中新金盾4.
1.
4基于页面插入式的WEB防护算法金盾抗拒绝服务系统系列产品,采用WebProtectionBasedOnPageInjection即基于页面插入式Web防护算法.
对于开启防护的Web服务器,防护模块会主动插入Web页面,客户端可无察觉的自动完成验证过程,已达到高效的防御Web类连接攻击的目的.
另外,也可以通过验证服务器辅助来加强防护级别.
4.
1.
5基于数据挖掘的通用防护算法金盾抗拒绝服务系统系列产品,采用GenericProtectionBasedOnDataMining技术即基于数据挖掘的通用防护算法,对于开启保护的服务器,防护模块会自动对客户端与服务器端的通信进行数据统计与挖掘,察觉恶意流量并加以过滤,有效率高达90%以上.
4.
1.
6可扩展的集群模式金盾抗拒绝服务系统系列产品,采用ExtensibleFirewallClusterMode即可扩展的集群模式,通过领先的数据分流技术,使得若干设备可组合形成更大的防护主体,提供海量攻击的防护解决方案.
4.
1.
7灵活多样的部署方式金盾抗拒绝服务系统系列产品,支持IEEE802.
3AD和IEEE802.
1Q等其他路由交换协议.
具备多种环境部署能力,能在不改变现有网络拓扑的情况下,以透明模式接入.
支持多种部署方式,如串联部署、双机热备部署、集群部署和旁路部署等.
4.
1.
8丰富的日志、报表输出金盾抗拒绝服务系统系列产品具有丰富的设备管理功能,基于简洁的Web管理方式,支持本地或远程升级.
同时,丰富的日志和审计功能也极大地增强了设备的可用性,不仅能够针对攻击进行实时监测,还能对攻击的历史日志进行方便的查询和统计分析,便于对攻击事件进行有效的跟踪和追查.
整个Web界面主要有状态监控、攻击防御、日志分析、系统配置和服务支持五个模块.
中新金盾抗拒绝服务系统-GFW系列技术白皮书92014中新金盾4.
2服务优势4.
2.
1广泛的行业解决方案针对不同的客户,抗拒绝服务攻击所面临的网络环境也不同,政企网、IDC、ICP和ISP等多种网络环境并存,给抗拒绝服务系统的部署带来了不同的挑战.
通过近十年的发展,中新金盾抗拒绝服务系统已经广泛部署应用于不同的行业,如互联网、运营商、证券、电力、医疗、社保、税务和教育等行业,积累了大量的行业解决方案与经验,使您不必为本网络的安全解决方案而苦恼,只要您一个电话,剩下的事由金盾来做.
4.
2.
2全面系统的专业培训服务中新软件强大的服务体系,为您的网络安全将提供全方位的服务.
凡是使用中新软件系列产品均会得到中新软件为您量身定制的网络安全专业培训,除了针对抗拒绝服务知识与金盾产品操作的培训,我们还将为您提供一系列扩展培训,使您对网络安全有更全面的了解.
4.
2.
3优质的售后服务体系使用中新金盾抗拒绝服务系统,您将终生享有免费升级服务.
除了为您提供更便捷、更有保障的产品售前咨询和售中服务,我们强大的专业技术团队还将为您提供全方位的售后技术支持.
我们的客服中心和技术支持中心为您提供7*24小时的专业服务.
定期为产品系统更新,随呼随到的在线技术支持以及紧急的现场支持,使您的网络始终保持在最安全的状态,免除您的后顾之忧.
我们的服务宗旨是:客户至上,服务第一.
4.
2.
4量身的模块定制服务中新软件金盾抗拒绝服务系统,内置的协议自定义模块,可以随着您的网络应用的变化进行方便的修改,即对各种特殊应用进行自定义防护,如用户自行开发的某些聊天室、游戏服务或其它特殊应用等.
当通用功能无法满足您的需求时,金盾抗拒绝服务系统也将根据您的实际应用进行开发,实现模块量身定制.
中新金盾抗拒绝服务系统-GFW系列技术白皮书102014中新金盾5关于我们安徽中新软件有限公司(简称"中新软件")是集网络安全产品、软硬件开发的高科技公司.
作为在国内最早具有自主研发实力的企业,安徽省唯一一家自主研发抗拒绝服务产品的单位,中新软件在解决国内抗拒绝服务攻击技术层面至今一直处于领先地位.
中新软件科技研发中心位于合肥市高新技术开发区,总公司拥有自主的科技研发中心、产业发展中心大楼共2座,建筑面积总计12506平方米.
随着公司市场的不断扩大,产品在市场的认可度不断的提高,中新软件在北京、上海、南京、广州、福州、成都、天津、宁波、西安、济南、沈阳、长沙、杭州、重庆、深圳等设立了分部,2008年7月金盾系列安全产品正式进入韩国市场,其良好的经营业绩和售后服务得到客户良好口碑传播.
公司针对DDoS攻击的产品自主研发、生产的金盾系列安全产品包括金盾抗拒绝服务产品、金盾抗拒绝服务系统、流量牵引设备、信息过滤系统.
自创立至今一直在市场上获得良好坚实的口碑,在行业内处于领先地位.
于2009年组织和起草了"安徽省互联网抗拒绝服务系统地方标准"并发布.
2010年参与起草和制定了国家公安部互联网信息安全产品生产和检查相关行业标准.
2010年11月,中新软件与南京工程学院联合成立"金盾抗拒绝服务实验室".
在2010年9月,经过严格审核与层层筛选,中新软件成功入选第一批《千亿高新区科技小巨人》培育企业项目.
2011年5月,中新软件与合肥工业大学签订了战略合作框架协议,全方位开展"基于特征云动态解析技术的智能绿色上网过滤产品研发与产业化"科技合作.
中新软件的事业就像一艘乘风破浪的帆船永远向着更高的目标不断奋进、造福社会,它既是一个充满活力,又是具有发展前景的持续成长性公司.
为保证安徽网络环境的和谐,顺应网络安全的发展趋势,在合肥市公安局网监支队的严格调查与筛选下,合肥市公安局授权我司作为合肥市公安局网络安全技术研究中心基地.
同时,公司将不遗余力提供高精尖的网络安全保障技术,为社会的网络安全贡献自己应尽的责任.
面对未来,中新软件以组织创新为保障、以技术创新为手段、以市场创新为目标,提高企业核心竞争力,努力实现新跨越,确保企业全面和谐的持续发展.
中新金盾抗拒绝服务系统-GFW系列技术白皮书112014中新金盾附录缩略语缩略词英文名称中文名称DoSDenialofService拒绝服务DDoSDistributedDenialofService分布式拒绝服务DRDoSDistributedReflectedDenialofService分布式反映射拒绝服务IPS/IDSIntrusionPreventionSystem/IntrusionDetectionSystems入侵防御系统/入侵检测系统IDCInternetDataCenter互联网数据中心ICPInternetContentProvider网络内容服务商ISPInternetServiceProvider互联网服务提供商QoSQualityofService服务质量MTBFMeanTimeBetweenFailure平均无故障时间相关配套资料及获取方式您可以通过中新软件网站(http://www.
cnzxsoft.
com)获得最新的产品资料ZXSoft网站与产品相关的主要栏目:[服务与支持]:可以获得本公司产品的相关服务信息[服务与支持/相关下载]:可以获取相关产品的安装指南和说明文档信息反馈:如果您在阅读使用过程中发现本资料的任何问题,请反馈给我们,您的举手之劳将使我们做的更好,感谢您的反馈!
资料名称主要内容金盾抗拒绝服务系统安装指南-GFW介绍金盾系列抗拒绝服务产品的硬件安装及简单配置操作金盾抗拒绝服务系统用户服务手册-GFW介绍金盾系列抗拒绝服务产品的Web配置和管理操作