金盾抗拒绝服务系统产品

技术介绍：

简单丰富的web管理，配备详细的操作说明。

防护攻击类型：Smurf、Land-based、Teardrop、PingSweep、IP Spoof、IP Fragmentation Overlap、Code Red、SYN Flood、ACK Flood、UDP Flood、DNS Query Flood、ICMP Flood，PING of Death、PING Flood、IGMP Flood、Fragment Flood、HTTP Get Flood、HTTP Proxy Flood，CC Proxy Flood。

智能参数阀值能有效防范各种SYN Flood、UDP flood、ICMP flood、IGMP flood等流量型攻击。

内建灵活的规则功能对/etc/protocols中的各种协议完善支持，通过对端口，协议，tcp标志位,关键字进行匹配来有效防护各种漏洞型的攻击。

同时，内置了若干预定义规则，涉及局域网防护、漏洞检测等多项功能，易于使用。

内建了各种针对网站、网络游戏，音视频聊天室等专门的防护模块插件，可有效防护对网站，游戏，聊天室的cc及变种攻击以及空连接攻击。

内建的新的协议定义模块，可对新的各种应用进行特殊的防护，如对厂家自己开发的某种聊天室或其他特殊应用等。

防护功能：

具备完善的连接CONNTRACK机制，可对应用层协议、数据包规则(端口和标志位)、数据包内容细致过滤，并具有强大的数据包捕获功能以及SNMP管理支持。因此，对各类攻击数据的辨别和过滤表现得精准且高效，最大程度上减少了网络攻击所带来的损失，保证客户的利益，持续为客户创造价值。

在系统行为方面，详细的实时记录和日志分析报告方便下载查看，同时支持syslog远程记录查看及导出，方便管理员实时把控网络环境安全，遇到一切突发事件能以最快的速度响应并解决，保证整个网络系统的稳定性。

实时的主机流量和主机状态监控，清晰的全局和单ip流量图显示。可对单独ip的应用特殊防护设置及策略(流量限制，应用规则，应用端口保护等)。此功能可帮助管理员排查网络结构内部出现的漏洞及故障，界面友好且直观，大大提高了工作效率，节省时间成本。　系统具备完善的tcp,udp端口特殊防护以及智能的web http协议保护功能。另外，还具备灵活的语音视频聊天室模块防护和帐号分级管理功能。可轻松部署在任何复杂甚至相对恶劣的网络环境中，尤其是IDC数据中心、城域骨干网及节点、电信运营商及各类网络游戏运营商的数据中心。系统还具备避免单点故障的双机热备功能以及可防御海量攻击的集群功能，并且支持多协议多线程的部署方案及操作方式。

防护原理：

金盾抗拒绝服务产品基于嵌入式系统设计，在系统核心实现了防御拒绝服务攻击的算法，创造性地将算法实现在协议栈的最底层，避开了IP/TCP/UDP等高层系统网络堆栈的处理，使整个运算代价大大降低。并采用自主研发的高效的防护算法，效率极高。

主机识别：

金盾抗拒绝服务系统可自动识别其保护的各个主机及其地址，某些主机受到攻击不会影响其它主机的正常服务。

指纹识别：

用来识别整个连接过程，其中包括：源、目的、协议、端口 等情况的识别。

协议分析：

金盾抗拒绝服务系统采用了协议独立的处理方法，对于TCP协议报文，通过连接跟踪模块来防护攻击；而对于UDP及ICMP协议报文，主要采用流量控制模块来防护攻击。

攻击过滤：

攻击过滤为抗拒绝服务系统的默认模式，此模式下，抗拒绝服务系统运行完整的攻击分过滤流程，过滤攻击保证正常流量到达主机。

流量控制：

主要是针对一些攻击流量做限制：

●紧急触发状态

针对攻击频率较高的攻击防护模式，此模式将更为严格过滤攻击；

●简单过滤流量限制

是针对某些显见的攻击报文做的一种过滤模式，目前可以过滤内容完全相同的报文，及使用真实地址进行攻击的报文；

●忽略主机流量限制

用于限制忽略主机的流量，当某个忽略主机的流量超过设置值，超过的流量将被丢弃；

●伪造源流量限制

用于限制内网攻击。当某数据包的原 MAC 地址不同于抗拒绝服务系统记录到的 MAC 地址，该数据包将被认为是伪造源流量，超过设置值的伪造源流量将被丢弃。

端口保护:

建立在连接跟踪模块上的端口防护体制，针对不同的TCP/UDP端口应用，提供不同的防护手段，使得运行在同一服务器上的不同服务，都可以受到完善的 DOS/DDOS 攻击保护。