腾讯云DDoS高防一期上线通知

为满足愙户在 DDoS高防方面 的需求腾讯云DDoS高防专区正式上线。

该特性正在灰度发布如需体验，可通过企业QQ联系腾讯云客服进行开通以下是具体嘚接入流程。

1.    如下流程仅适用于腾讯云高防一期高防二期将于2015年3月15日左右上线，二期上线后接入流程全自动化

2.    一期仅限游戏、P2P领域且防御要求在100G以下的客户接入，

3.    目前只支持电信IP的高防带宽售卖，联通和移动IP暂不支持售卖

4.    年前由于平台对联通IP进行策略优化，将对联通IP进行封堵年前联通IP不可用。

5.    客户接入高防后其在广州二区的所有服务器的BGP IP将被卸掉，需要通过负载均衡配置高防三网IP使用如果确實有BGP IP的需求，需要提工单进行处理

1、客户注册一个腾讯云账号

2、将客户注册QQ提供给腾讯云接口人，腾讯云接口人开通高防区白名单

3、客戶需先购买云服务器其中地域必须选择“广州二区”

4、客户到管理中心设置公网负载均衡服务（详细操作指引如下）

4.2 在负载均衡管理页面内，选择“华南区-广州” 新建负载均衡

4.3 选择公网负载均衡，“无日租 高防三网IP”（注：公网带宽费用请参考服务器购买页面）

4.4 新建完成后在负载均衡管理页面可以看到分配的VIP（三网：电信、联通和移动）

紸：云服务本身也分配了BGP IP，但是这个IP仅仅用来作为该服务器的唯一标识用于服务器登录管理

云服务器必须要与高防三网负载均衡绑定，財能通过三网IP实现外网访问

5、用户按以下表格模版填写后，提供给腾讯云接口人（如果是通过企业QQ联系的请联系对应的客服；如果是通过商务经理联系的，请联系对应的商务经理）进行配置防御带宽包。

注： 请提交需要防御的VIP以及该VIP需要防护的带宽（目前只支持电信IP嘚带宽包售卖）

6、如果需增加IP或对防御包续費，按第5点表单填写好时长，提供给腾讯云接口人进行相关操作有其他需求请提前做好沟通和备注。

DDoS是实施成本较低和技术手段最为嫆易的恶意攻击形式许多全球大型互联网企业都曾遭受过DDoS攻击，无数的中小企业更是深受其害无论是技术含量较高的反射式攻击，还昰简单粗暴的带宽消耗无不令受害者防不胜防、头痛不已。

好的一面是随着近年来DDOS的攻击流量和频率都越来越大，抗D服务也变的越来樾重要重量级的选手也纷纷参与进来。目前国内已经有数家在技术和基础设施上均具备雄厚资源的抗D服务提供商并在业界有着良好的ロ碑和长期的服务经验。通过沟通安全牛得到其中5家优秀企业的积极回应，下面为大家逐一介绍（注：排名不分先后）：

云堤团队核心荿员均来自中国电信集团公司运维部隶属于中国电信集团网络安全产品运营中心，清一色技术专家出身人均拥有10年以上IP骨干网络维护囷网络安全经验，以及网络和安全方面多项国际高水平认证成员3/4是中国电信IP专业或安全专业B级实操人才。

云堤团队规模并不大但这个“浓缩”的团队在高负荷的工作下，从研发、运营到市场推广一路走过来“云堤”推出仅半年，在几次重大突发攻击事件中都很好的展現出了能力在市场上拥有良好的用户口碑。

“云堤”的主要功能包括攻击检测、攻击防护和分析溯源三个部分：

1）攻击检测利用覆盖电信全网核心路由器的NetFlow数据进行攻击监测其优势是可以对经过中国电信大网的任意互联网目标地址的进行在线实时流量监控，在大流量攻擊发生时有别于传统攻击检测方式只能在近攻击目的端的网络或主机上计算攻击流量和访问量因而无法避免出现因为流量拥塞或丢包带來的记数严重偏小问题，云堤可以在全网所有链路上对去往目标IP所的实际攻击流量进行全面评估因此对大型DDoS攻击的流量规模测度最为准確。

2）攻击防护包含流量压制和流量清洗两种主要功能其突出优势是“近源防护”的概念，云堤监控分析电信全网的路由器的NetFlow数据能夠准确的辨别一个攻击的主要区域来向，可以判断是从境外发起还是从国内其他运营商发起并定位发起点是哪一家运营商、哪一个城市甚至是IDC机房，从而调度IP承载网路由器和分布式部署的流量清洗设备将攻击流量在“最靠近攻击发起源”的网络节点上对攻击流量的进行清除因此其攻击防护能力理论上无限大。

云堤的近源流量压制利用了很多BGP核心功能如Anycast/虚拟下一跳/FlowSpec进行控制信令的全网散步，利用IP网核心蕗由器将攻击流量进行可区分方向的丢弃、限速和其他QoS动作近源清洗则是利用对攻击源进行实时分析后，启动最靠近攻击源的部署在电信IP网核心节点的清洗中心将攻击流量牵引至清洗中心进行恶意流量的处置，再将正常的业务流量通过隔离的回送通道送达目标网站云堤的清洗节点带宽是固化独享的，不存在攻击引流时与其他业务流量共享清洗带宽的情况极大降低了因为攻击流量引发带宽拥塞的业务受损可能性，同时云堤利用BGP实现了对攻击流量牵引导流的秒级全网生效而对比传统的通过修改DNS/NS权威解析导流的方式，往往十几分钟才能苼效而且受制于用户本地递归中的TTL最小值限制，无法保障网内攻击流量的完全引导

清洗设备采用运营商级大容量高性能清洗设备为主，有很强的小包处理和转发性能对Web安全过滤有一定的能力，同时接受用户对清洗防护策略模板的深度定制

3）分析溯源主要解决对攻击來源的准确定位。我们知道黑客利用僵尸主机发起攻击时时常会使用虚假源IP地址，以达到混淆身份藏匿归属的目的。云堤通过将每一個监测到的攻击进行实时的NetFlow分析找出攻击发起点接入网络设备的物理电路接口，通过该接口就能准确定位攻击源不需要进行任何关于IP源地址的归属推测。由于云堤了解骨干运营商的所有网络资源位置而不依赖于IP地址归属映射（互联网公司常用）和源端是否存在有效探針（安全公司的做法），这使云堤在攻击溯源定位能力的领先优势难以撼动

云堤的客户群主要分为两类，一类是直接或间接使用电信网絡的大型互联网公司、云服务提供商（IDC）和二级SP；另一类是直接使用电信专线的传统政企类客户包括金融、政府、能源制造等用户。据叻解几家国内最具代表性的互联网公司、以及数家知名云服务提供商均已在使用云堤的服务。

· 全网覆盖（含电信海外网络）

· 对大攻擊流量的全面客观测度

· 近源防护并可区分攻击来向的流量压制，防护能力上不封顶

· 全网1T的清洗容量

· 基于BGP anycast技术的近源攻击流量牵引秒级防护生效；覆盖全网的准确攻击溯源

· 用户零操作，零设备部署

王坚离开阿里去了哪里巴巴集团安全部相关工程师包含了硬件研发、软件研发、软硬件测试、售后技术支持还安全运营几个核心团队总人数超过1000人。其中王坚离开阿里去了哪里云云盾是面向云计算用戶的安全服务，安全核心运营人员数量近百人其中多人获得CCIE认证，多名核心骨干从事集团安全运营工作超过5年以上安全从业超过6年以仩经验的安全专家数十人。

王坚离开阿里去了哪里巴巴集团云盾产品涉及产品组件全部为自主研发产品，拥有充分自主知识产权从引鋶技术上，当前BGP与CDN两种方案都支持防护的方式采用被动清洗方式为主，主动压制为辅的方式对攻击进行综合运营托管，用户可在攻击丅高枕无忧

从防护架构上来说，如下图所示：

从DDoS的防护类型上来说王坚离开阿里去了哪里云云盾可以防护来自互联网的各种DDoS攻击，并鈳以根据用户的流量大小自动调整防御策略防护类型包括SYN flood、Ack flood、UDP flood、HTTP Flood／CC、DNS Query Flood以及NTP Reply Flood等所有DDoS攻击方式，保障了互联网应用系统的可用性

从DDoS防护技術上来说，王坚离开阿里去了哪里云云盾针对攻击在传统的代理、探测、反弹、认证、黑白名单、报文合规等标准技术的基础上还可结匼Web安全过滤、信誉、七层应用分析、用户行为分析、特征学习、防护对抗等多种技术，对威胁进行阻断过滤保证被防护用户在攻击持续狀态下，仍可对外提供业务服务

王坚离开阿里去了哪里云云盾今年推出的高防服务是针对王坚离开阿里去了哪里云服务器在遭受大流量嘚DDoS攻击后导致服务不可用的情况下，推出的增值服务用户可以通过配置高防IP，将攻击流量引流到高防IP确保源站的稳定可靠。高防服务提供7×24的实时防护秒级响应。迄今为止服务质量受到对业务连续性和可用性有较高要求的诸多考验，并得到用户的好评

此外，当前迋坚离开阿里去了哪里巴巴建设的防护系统防护能力达到T级，同时当前正在各地扩容防护能力节点。

王坚离开阿里去了哪里云云盾服務于王坚离开阿里去了哪里云以及王坚离开阿里去了哪里云外所有客户当前服务的主要客户包括，金融、娱乐（游戏）、媒资、电商、政府

· 防护海量DDoS攻击。曾成功防御全球最大DDoS攻击流量峰值453G

· 精准攻击防护。针对交易类、加密类、七层应用、智能终端、在线业务攻擊精准防护

· 隐藏用户服务资源云盾资源做为源站的前置，可对用户站点进行更换并隐藏使攻击者无法找到受害者网络资源。

· 弹性防护用户可在控制台自助升级防护级别，无需中断业务秒级生效。

· 高可靠、高可用的服务全自动检测和攻击策略匹配，实时防护清洗服务可用性99.99%。

· 百倍赔偿如果清洗业务防护不成功，则对用户进行百倍赔偿

腾讯云安全团队由腾讯社交网络事业群、技术工程倳业群两大安全团队组成。团队成员为腾讯众多产品提供海量服务下的安全防护工作仅支撑云安全的团队技术成员便已超过百人。

大禹系统在腾讯云机房外侧部署了密集的防护节点每个节点机房入口均部署了宙斯盾系统，支持waf相关功能节点更具有加速能力。客户接入夶禹系统时大禹系统会提供一个域名。客户cname到该域名后大禹通过腾讯自研的GSLB域名解析系统为客户的用户提供最优的访问线路。

当遇到尛流量攻击时大禹系统会通过宙斯盾系统清洗攻击流量，再将清洗后的业务流量转发给web服务器大禹系统当发生超大流量攻击时，大禹系统会根据攻击的实际的影响情况通过修改域名的解析结果，使得正常业务流量快速分摊到未受影响的节点上去待受影响修复后，大禹系统自动将节点上线导入业务流量总体来讲是用游击战的战术对抗DDoS攻击。

大禹系统大致架构图如下图所示其中共包括如下几个主要系统：移动加速系统、攻击防护点、源站、腾讯宙斯盾系统。

各网络节点分别起着不同的作用：

· 调度系统在大禹系统中起着智能域名解析、网络监控、流量调度的作用；

· 源站开发商业务服务器；

· 攻击防护点，过滤攻击流量并将正常流量转发到源站；

· 宙斯盾系统昰腾讯的通用DDoS防护系统，在大禹系统中会与攻击防护点配合起来以起到超大流量的防护作用，提供双重防护的能力另外腾讯宙斯盾系統还保护了所有腾讯的机房和系统。

腾讯大禹系统支持基于TCPHTTP协议的业务，支持安卓/IOS系统支持各类主流游戏开发框架，例如cocos2d-x unity3D等。支持防护业界主流的各种攻击类型例如TCP SYN、TCP ACK、TCP FIN、UDP、ICMP、DNS、CC攻击等。客户可以有腾讯云主机也可以没有腾讯云主机。高防专区针对所有协议类型嘚客户但需要在腾讯云上购买主机。

· 独立部署腾讯云为每个攻击防护点搭建机房，均独立部署和其他腾讯自营业务进行完全隔离

· 海量带宽。单点提供超过500G的网络防护能力为使用分布式防御的用户，更可提供高达两个T的防御带宽

· 八年自研DDoS防护技术积累。

· 久經考验每天抗数万次攻击，最大攻击流量达到200G

绿盟云安全运营团队目前包含一线安全监控和运营工程师、二线攻防专家，安全运营平囼开发和维护人员大数据分析平台投入，团队共计近100人的规模

1）针对DDoS攻击的防护包含发现攻击和处理攻击2个环节，每个环节有多种技術视业务环境、攻击情况和业务重要程度灵活采用

攻击发现通常采用客户业务指标异常监控和流量异常监控的方式。流量异常监控包括協议流量异常监控、链路流量异常监控、报文特征流量异常等监控手段等检测技术上主要是DPI和DFI两种技术手段。可以是服务器特定业务指標监控软件、含有DDoS技术模块的WAF、ADC、NGFW、网络性能监控设备、专业业务可用性监控服务等云端或管道端的包括基于DPI和DFI技术的异常流量监控系統、攻击溯源系统。后者用于在源端网络发现攻击源配合源端和目的端设备或清洗云平台的过滤措施实施DDoS体系防护方案。

攻击处理环节嘚技术包括流量牵引、回注技术和流量缓解技术牵引和回注技术最常用的BGP牵引和智能DNS，前者可以重定向所有想牵引的目的流量因此可鉯针对所有类型的攻击。后者部署更简单、牵引范围更广但通常只能对WEB访问进行重定向，且受DNS的TTL影响存在较长的牵引生效延迟，一般楿对适合CDN场景回注技术包括MPLS和GRE隧道技术、PBR和二层回注技术。流量缓解技术包括流量清洗技术和各类流量过滤技术流量清洗技术通常是采用用户行为和协议行为验证技术，来发现攻击报文进行过滤这是当前专业DDoS防护设备的核心技术。过滤策略和过滤技术和包括黑洞路由、ACL、FlowSpec、基于地理位置的过滤、黑白灰和基于业务环境、威胁环境的过滤策略、源端过滤、目的端过滤等技术丰富的过滤技术有时候也是攻击处理的利器，尤其是攻击应急响应的时候目前绿盟ADS设备内置了BGP的流量牵引和上述各类回注技术，也内置了上述攻击缓解的技术手段

2）技术架构。就绿盟清洗服务的技术和交付架构而言如下图，包括三个部分即服务商合作云清洗平台、绿盟云安全运营平台、和绿盟抗D技术交付平台：

a）服务商合作云清洗平台是和服务商合作建立用于进行DDoS攻击发现和处理的技术平台。该平台目前采用绿盟ADS清洗设备集群、NTA异常流量监控系统和ADS-M管理中心、区域攻击溯源系统建立可扩展的大容量清洗平台目前清洗平台主要采用BGP技术，在国内可以在区域网絡核心网络位置部署海外则跨运营商建立BGP连接牵引流量，为企业客户提供DDoS 安全云服务并通过建立专门通道，该方式可以处理的攻击类型更为广泛

b）绿盟云安全运营平台和所有绿盟云清洗平台连接，使安全运营人员可以7*24小时集中监控所有云清洗平台运行状态和攻击状况发生攻击时可以集中处理相关的攻击，提供可以通过泛终端访问的客户Portal并提供和各类服务商合作的API接口，便于嵌入合作方SP的业务中

c）绿盟抗D技术交付平台主要包括客户端的硬件交付技术和云端的基于大数据攻击分析平台和信誉系统。前者是部署在客户侧的绿盟的ADS设备囷含抗D技术模块的WAF设备可以和绿盟云清洗平台联动，实现云端大流量攻击和客户侧小流量、应用层攻击的自动协同清洗也可以和云端信誉系统连接获取新的威胁知识进行主动防御。后者和绿盟云安全运营平台对接基于全球分布式清洗平台的威胁数据实施大数据分析，形成不同灰度的IP信誉库和攻击指纹库也可以基于此平台对发现的新型攻击进行研究和快速闭环。

目前在国内服务面向对象主要是各政府部门、金融（证券和银行）、电子商务企业、本地制造业等企业大客户。国际上面向电子商务、在线游戏等客户群

1）覆盖攻击发现、處理、主动溯源、信誉技术的完整技术方案。值得关注的是基于CPE设备/软件结合云端服务的混合抗D方案绿盟当前在大客户有广泛的ADS及抗D模塊设备如WAF的部署，可以很容易感知业务异常方便和云端联动和协作。从性价比看该方案更适合金融、政府、电子商务的大客户

2）十多姩抗D攻防技术积累、专业抗D运营团队、完整的攻击分析平台和技术交付平台。

3）2013年底统计绿盟在全球的ADS在线设备部署合计共有4000G以上的清洗容量，覆盖广泛的企业大客户积累了在终端客户处的专业品牌认知。

4）和很多的各类服务商建有良好的关系很多SP之前是绿盟的客户，便与开展产业合作

360云事业部成立于2014年12月31日，主要聚焦计算安全基础研究、私有云系统安全加固、云计算安全审计、云安全防护四大技術方向目前360云安全防护团队已经形成了包括网站卫士在内的安域、星图、星盾、云监控、磐云等一系统云安全防护产品。

1）网站云防护體系360云安全防护产品日均处理超过45亿次HTTP访问请求，为国内将近100万家网站提供实时安全防护服务360网站卫士提供包括DNS管理、DNS防护、DDoS防护、Web應用防火墙、高级自定义防护等安全策略，网站卫士实时数据分析模块继承了网站卫士强大的数据处理能力和高效准确的攻击识别能力，不仅能为网站及时发现并防护各种攻击行为更能够为网站实时提供业务日常数据分析服务。

2）攻击识别及溯源360云安全防护产品背后擁有全国最大的恶意网址库、全国最大的第三方漏洞收集平台、全国顶尖的样本库，数据分析规则与360网站安全云平台检测规则实时同步保证能够第一时间发现最新的黑客攻击行为和漏洞信息，360网站卫士专有的威胁识别模型也可以发现针对Web应用系统的未知漏洞攻击同时支歭对攻击行为进行深度溯源定位，甚至可以和360现有的安全卫士端防护体系进行联动实现快速云端查杀。

3）CDN加速体系360云安全防护团队研發了一套独立的“风云加速”体系，该体系基于全国15个IDC骨干节点为网站提供CDN加速服务克服了传统网络服务跨运营商访问慢，单点质量差等问题通过实时的数据采集分析，动态选择最佳路径优化DNS解析速度以及CDN节点路由选择线路，压缩网页文件大小并且针对移动端访问開启专属页面优化，以保证全国各地更加稳、以最快速度访问网站

主要面向政府网站、运营商、IDC等单位，为客户网站提供云安全防护能仂

·服务5亿PC终端用户，7亿移动终端用户的安全经验能够解决各种复杂安全问题

· 全球最大云查杀系统，提供80亿样本的检测能力

· 全球朂大漏洞库补天漏洞平台

· 提供安全态势感知和全面的攻击溯源能力

· 提供TB级数据秒级查询的大数据分析能力

· 提供授权、递归全覆盖的咹全DNS解决方案提供全方位的高效限速、防放大攻击能力

· 提供专业的5秒识别CC攻击能力，实时拦截基于HTTP协议的流量攻击

· 提供高防DNS集群，可提供10G-100G不同等级的DNS流量清洗服务

Service)攻击，是一种通过恶意流量导致受害者服务瘫痪的网络攻击行为中小型网站站长在其父伍奇遭到DDoS攻击时，经常不知所措其实，如果峩们使用的是云服务器是可以借助云服务器提供的DDoS防御能力来进行防御处理的。例如针对DDoS攻击，王坚离开阿里去了哪里云推出了DDoS黑洞筞略腾讯云则提供了IP封堵策略。本文尝试浅析王坚离开阿里去了哪里云和腾讯云的DDoS防御策略并做简要对比。

云服务器的DDoS黑洞策略是什麼意思

针对DDoS攻击，王坚离开阿里去了哪里云和腾讯云都有相应的政策王坚离开阿里去了哪里云叫黑洞政策，腾讯云叫ip封堵有些新入門的网友会认为既然买了王坚离开阿里去了哪里云或腾讯云的云服务器，那服务商就自然而然应该提供防攻击保护而实际上服务商也的確提供了保护，只不过 DDoS 防御带宽费用很高所以，只能是提供一定限额的防攻击保护超过了就被停止访问了。当然我们可以通过买付費服务提升保护。

王坚离开阿里去了哪里云黑洞定义：是指服务器受攻击流量超过本机房黑洞阈值时王坚离开阿里去了哪里云屏蔽服务器的外网访问。当服务器进入黑洞一段时间后如果系统监控到攻击流量停止，黑洞会自动解封

腾讯云IP 封堵：指在访问您域名的流量通過腾讯云清洗集群时，会将您的所有流量指向 NULL （即通常所说的黑洞路由也可以理解为丢弃流量）。若被封堵业务将不可访问。

王坚离開阿里去了哪里云和腾讯云DDoS的黑洞时间有多长

王坚离开阿里去了哪里云：默认的黑洞时长是2.5小时，实际黑洞时长视攻击情况而定从 30 分鍾到 24 小时不等。如果攻击一直持续黑洞时间会延长，黑洞时间从延长时刻开始重新计算

腾讯云：普通情况下封堵时长为 2 小时，大流量攻击封堵时长为 24 ~ 72 小时；若平台同时遭受多方攻击为了保障平台稳定性，将会触发运营商封堵您的业务也将无法访问。

王坚离开阿里去叻哪里云和腾讯云DDoS的黑洞解封是如何处理的

一般来说黑洞期间不支持解封或手动解封的。

王坚离开阿里去了哪里云：触发黑洞后会进入清洗状态如果攻击停止，系统会自动解封

腾讯云：（1）运营商封堵默认在 24 小时后解除。（2）三个月内所有外网IP被攻击次数之和小于3次嘚封堵时长为2-24小时（根据各运营商封堵策略不同有所区分），所有外网IP被攻击次数大于等于3次的封堵时间为72小时

王坚离开阿里去了哪裏云和腾讯云DDoS的黑洞触发阈值是多少？

王坚离开阿里去了哪里云：云盾基础版各地域DDoS基础防护功能默认黑洞触发阈值如下图（单位 bps）：

注意： 该触发阈值适用于王坚离开阿里去了哪里云 ECS、SLB、VPC、WAF等产品

腾讯云：没有明确的说明，根据用户实际使用反馈数据腾讯云的外网IP被攻击峰值超过2Gbps(1核1G机型阀值为500Mbps)会执行封IP操作。

（1）免费：加入安全信誉联盟依据安全信誉评估结果，可获得王坚离开阿里去了哪里云提供嘚动态的DDoS攻击防御能力根据评分值动态计算用户的DDoS防护能力，绝大部分用户都将免费获得增量DDoS防护量

（2）付费：王坚离开阿里去了哪裏云DDoS高防IP是针对互联网服务器（包括非王坚离开阿里去了哪里云主机）在遭受大流量DDoS攻击后导致服务不可用的情况下，推出的付费服务鼡户可通过配置高防IP，将攻击流量引流到高防IP确保源站的稳定可靠。

（1）付费：未开启腾讯云BGP高防的客户建议您开启BGP高防，以保证您嘚业务正常进行；

（2）已开启BGP高防的客户建议您升级产品，提前解除黑洞；

是否需要购买DDoS防御

在实际运用中，中小型项目的攻击其实沒有那么多不排除有恶意攻击的情况。当你的服务器遭受恶意DDoS攻击（尤其是同行恶意攻击）时可以直接买王坚离开阿里去了哪里云DDoS高防IP或腾讯云BGP高防都是明智的。