1、2 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID3 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID4 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID5 2005 Cisco Systems,Inc
2、.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID6 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDDDoS攻击影响的网络层面攻击影响的网络层面 应用应用/服务器服务器攻击将耗尽计算机的攻击将耗尽计算机的TCP/HTTP资源资源,使应用停顿使应用停顿,服务器停止对正常业服务器停止对正常业务的响应务的响应.带宽带宽攻击流量将充满网络带宽从而阻挡了正常流量攻击流量将充满网络带宽从而
3、阻挡了正常流量 网络架构网络架构攻击的目标可能是网络路由设备攻击的目标可能是网络路由设备,DNS/DHCP 服务器等服务器等,破坏网络连接破坏网络连接.间接破坏间接破坏被做为攻击源的主机也间接受到影响被做为攻击源的主机也间接受到影响7 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID“是网络安全防护系统的一部分是网络安全防护系统的一部分,能够在发生能够在发生DDOS攻击时攻击时,保保证正常业务和关键部件的可用性证正常业务和关键部件的可用性”7 7 7 2003 C
4、isco Systems,Inc.All rights reserved.Presentation_IDClean Pipes:DDoS攻击防护方案攻击防护方案 Clean pipes 是一个保护用户数据流和网络连接是一个保护用户数据流和网络连接,防止受到防止受到DDoS攻击的安全方案攻击的安全方案,其基本的目标是在应用系统受到安全威胁时去掉其基本的目标是在应用系统受到安全威胁时去掉恶意的攻击流量恶意的攻击流量,只传送正常应用的流量只传送正常应用的流量.“Clean Pipes”功能描述和定义功能描述和定义8 2005 Cisco Systems,Inc.All rights reserved
5、.Cisco ConfidentialSession NumberPresentation_IDClean Pipes 的主要环节的主要环节InjectDivert防卫学习防卫学习DefenseLearning攻击缓解攻击缓解Mitigate学习学习 阶段阶段基于基于CiscoNFP实现对网络的数据实现对网络的数据平面平面,控制平面的保护控制平面的保护.采用采用CiscoGuard对数据流清洁对数据流清洁采用采用CiscoNetflow或或Detector进行主动的进行主动的攻击检测攻击检测将出现攻击流量转移到将出现攻击流量转移到一个清洁中心一个清洁中心将将清洁清洁的流量重新注入的流量重新注入
6、网络网络攻击检测攻击检测Detect9 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID阶段一阶段一:防卫防卫/学习学习Defense/LearningPeeringPointCore RouterEnterpriseHosting ProviderBGP securityRTBH,uRPFRTRL/QPPB学习阶段学习阶段策略建立策略建立PeeringPoint10 2005 Cisco Systems,Inc.All rights reserved.Cisco
7、 ConfidentialSession NumberPresentation_ID阶段二阶段二:攻击检测攻击检测DetectionPeeringPointCore RouterEnterpriseHosting providerBGP securityRTBH,uRPFRTRL/QPPBRACL,iACL,CoPPStack protection,Sink holesuRPF ingressAnd egress filteringDetectionPeeringPoint3rd party detector3rd party detectorDetectionDetectionNetflow
8、NetflowNetflowNetflowNetflowNetflowIDS/IPSCiscoDetector11 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID阶段三阶段三:攻击缓解攻击缓解 MitigationPeeringPointCore RouterEnterpriseHosting ProviderBGP securityRTBH,uRPFRTRL/QPPBRACL,iACL,CoPPStack protection,Sink holesuRPF i
9、ngressAnd egress filteringDetectionPeeringPointdetectordetecorDetectionDetectionNetflowNetflowNetflowNetflowNetflowCisco GuardPacket inspectionAnd cleaningTrafficRe-injectionIDS/IPSCiscoDetectorCleaningCenterTrafficdiversion12 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession Numb
10、erPresentation_IDClean pipe 操作流程操作流程主动的异常监测主动的异常监测流量异常流量异常?学习正常流量特征学习正常流量特征,建立策略基础建立策略基础将相关流量转移到将相关流量转移到清洁中心清洁中心是否为合法是否为合法数据数据丢弃丢弃将合法数据重新注入网络将合法数据重新注入网络Defend&LearnDetectionDiversionCleaningRe-InjectionYesYesNoNo13 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentati
11、on_ID目录目录 什么是什么是Clean pipe Clean pipe 技术实现技术实现 Clean pipe 部署模式部署模式 Clean pipe 服务实例服务实例14 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDClearn pipe:网络结构网络结构Network Foundation ProtectionNetwork Management3rd party detectorIDS/IPS3rd party detectorCleaning Ce
12、nter 清洁中心清洁中心:部署在运营商的网络中部署在运营商的网络中,一组由一组由DDoS攻击缓解设备攻击缓解设备(CiscoGuard或或AGM)组组成的成的,专门对需要的流量做正常业务的分辨和攻击的清除的服务中心专门对需要的流量做正常业务的分辨和攻击的清除的服务中心3rd party detector15 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID 一一:防护防护/学习阶段学习阶段InjectDivertDefenseLearningMitigateDe
13、tect16 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDDefense/Learning阶段阶段 Defense:采用采用NFP,保护网络基础架构保护网络基础架构.Learning:是建立正常流量模型是建立正常流量模型,其目的是需要知道其目的是需要知道:1)对于一个用户来说对于一个用户来说,什么是什么是好好的流量的流量2)攻击流量的特性攻击流量的特性17 2005 Cisco Systems,Inc.All rights reserved.Cisco Con
14、fidentialSession NumberPresentation_IDDefense 基础基础:Network Foundation Protection对网络架购的保护对网络架购的保护,保证业务提供的连续性保证业务提供的连续性控制平面控制平面数据平面数据平面 Defense-in-depth protection for routing control plane Technologies:Receive ACLs,control plane policing,iACLs,neighbor authentication,BGP best practices Detects traffi
15、c anomalies&respond to attacks in real-time Technologies:NetFlow,IP source tracker,ACLs,uRPF,RTBH,QoS tools Secure and continuous management of Cisco IOS network infrastructure Technologies:CPU&memory thresholding,dual export syslog,image verification,SSHv2,SNMPv3,security audit,CLI views管理平面管理平面在执行
16、其他安全策略以前在执行其他安全策略以前,网络架网络架构必须得到很好的保护构必须得到很好的保护 18 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDlearning:流量特征的学习和策略建立流量特征的学习和策略建立 对网络正常流量的了解是检测攻击的基础对网络正常流量的了解是检测攻击的基础,通过对网络流量的学习建通过对网络流量的学习建立了正常流量的模型立了正常流量的模型.一个异常事件的发生是指与正常流量不同的一个异常事件的发生是指与正常流量不同的流量特征出现流量特征
17、出现.步骤步骤1,建立策略建立策略.此步骤是对基本的服务类型做出检测此步骤是对基本的服务类型做出检测,并决定调用并决定调用哪些策略哪些策略,大约需要大约需要1个小时左右个小时左右.步骤步骤2:设置门限设置门限.基于调用的策略基于调用的策略,根据用户的流量特征设置根据用户的流量特征设置阀值阀值,也就是定义流量的门限也就是定义流量的门限.这个过程一般需要这个过程一般需要24小时小时.19 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDInjectDivertDefe
18、ndDetectMitigateProactively looking for traffic anomalies二二:攻击检测阶段攻击检测阶段20 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID检测阶段检测阶段1.BOTNET发动了DDOS攻击.2a.在被攻击客户端的Detector 能立刻发现网络的异常流量,发现攻击.2b.在CISCO路由器上的Netflow 的流量统计转发到Arbor等netflow分析设备,不正常流量被发现.2c.Cisco的Detec
19、tor 或者Arbor 向Guard 报告发现了攻击并启动Guard.步骤步骤3rd party Detector21 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID检测检测 DoS 攻击的多种手段攻击的多种手段1.Cisco Detector2.通过通过NetFlow收集和分析设备收集和分析设备3.通过通过IDS/IPS系统发现攻击系统发现攻击4.通过网络安全信息管理系统发现攻击通过网络安全信息管理系统发现攻击5.通过通过SNMP对被保护目标的监测对被保护目标
20、的监测:如如CPU overload6.用户发现用户发现/被动方式被动方式目前主要方式目前主要方式22 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID1.采用采用Cisco Detector 监测攻击监测攻击 可以是独立的硬件设备或可以是独立的硬件设备或6500/7600的模块的模块.一般与防攻击设备一般与防攻击设备Guard配合使用配合使用.采用流量镜像或分光器等将监控流量复制到采用流量镜像或分光器等将监控流量复制到detector.根据用户或服务类型分为多个
21、区域根据用户或服务类型分为多个区域(zone).当当detector发现攻击后发现攻击后,能自动启动能自动启动guard做攻击防护做攻击防护.23 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID什么是什么是zone?Zone 是一个被监测是一个被监测/保护目标的单位保护目标的单位,可以是一个服务器可以是一个服务器,一组服务器一组服务器,一个子网一个子网/网络网络 Zone 一般是一个用户一般是一个用户,或一个用户的相同业务的服务器或一个用户的相同业务的服务器的集
22、合的集合.多个多个zone可以被同时监测可以被同时监测,只要地址不重复只要地址不重复.24 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID监测攻击监测攻击 当学习阶段完成后当学习阶段完成后,被保护区域进入监测阶段被保护区域进入监测阶段.监测策略会检查流量的异常情况监测策略会检查流量的异常情况.一个流量异常会触发一个流量异常会触发guard启动保护启动保护.也可以人工定义是否要触发也可以人工定义是否要触发guard保护保护,还是发送还是发送log或或notify.
23、25 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDDetector 的流量过滤的流量过滤Server Farm Zone Under detectionSyslog Server26 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID启动启动 Guard防护防护GuardDetectorLogin via SSHGenerate S
24、SH KeyIssue Protect CommandSession Terminated21341SSH Key is a one time exchange between the detector and the guard.One key per guard.2The Detector logs into every guard specified in configuration.Order is determined by CLI entry.3The Detector issues the protect command for the zone under attack.It
25、will try every guard in the list.27 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID2.采用采用Netflow做攻击检测做攻击检测 Netflow包含了对网络流量详细的记录包含了对网络流量详细的记录.根据源根据源/目标地址目标地址,端口号端口号,包大小包大小,流量等特征流量等特征,可以发现可以发现流量的异常状况流量的异常状况.目前有第三方厂家以目前有第三方厂家以Netflow为基础开发攻击检测系统为基础开发攻击检测系统,并能自动
26、启动并能自动启动Guard 防护防护.由于由于Netflow不分析所有的数据不分析所有的数据,只记录包头情况只记录包头情况,有很有很好的扩展性好的扩展性,可以用于大流量的骨干网络可以用于大流量的骨干网络.28 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDCisco Netflow定义一个定义一个flow的的7个参数个参数:Source IP address Destination IP address Source port Destination port
27、Layer 3 protocol type Type of Service(ToS)byte(Differentiated Services Code Point(DSCP)Input logical interface(ifIndex)282828Enable NetFlowTrafficTraditional Export&CollectorNetFlowExport PacketsSNMP PollerNew SNMP MIB InterfaceNetFlow 是是IP网络流量分析网络流量分析和统计的标准之一和统计的标准之一29 2005 Cisco Systems,Inc.All ri
28、ghts reserved.Cisco ConfidentialSession NumberPresentation_IDNetFlow Sampling 抽样比例建议抽样比例建议 Ethernet 1:10 Fast Ethernet/OC3 1:100 Gig Ethernet 1:1000 POS OC12/OC48 1:1000 10GE/POS OC192 1:500030 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID3.采用其他第三方设备采用其他第
29、三方设备/软件监测软件监测1.对对DDoS攻击的监测可以采用各种设备攻击的监测可以采用各种设备,如防火墙如防火墙,IDS/IPS等网络安全设备等网络安全设备2.采用采用SNMP协议或其他协议监控网络流量的异常协议或其他协议监控网络流量的异常3.通过对服务器的通过对服务器的CPU,服务连接数或其他指标监测攻服务连接数或其他指标监测攻击击.4.用户发现用户发现/被动方式被动方式31 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID启动启动Guard防护机制防护机制防护
30、设备防护设备Guard的启动可以通过的启动可以通过:1)网络部署的网络部署的detector直接通知直接通知Guard2)基于基于netflow的某些第三方监测设备的某些第三方监测设备(如如arbor)可以直可以直接通知接通知Guard3)IDS/IPS或其它方式发现攻击后或其它方式发现攻击后,通过网管系统可通通过网管系统可通过过SSH script可以向可以向guard发出启动指令发出启动指令4)在发现攻击后人工启动在发现攻击后人工启动32 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberP
31、resentation_IDDDoS 攻击监测的网络部署攻击监测的网络部署NFbased3rd party detectorNF based 3rd party detectorIDS/IPSNF based3rd party detector地点地点设备设备CPE or IDCCisco Detector,IDS/IPS,SNMPMANCisco Detector,IDS/IPSBackboneNetflowSP Peering EdgeNetflowIDS/IPSIPS in cisco ISRCisco Detector33 2005 Cisco Systems,Inc.All righ
32、ts reserved.Cisco ConfidentialSession NumberPresentation_ID三三:攻击缓解阶段攻击缓解阶段 Traffic diversion scrubbing and re-injectionInjectDivertDefendMitigateDetect34 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID步骤步骤攻击缓解阶段攻击缓解阶段3a.Divert:Guard用BGP向路由器宣告,将去往被攻击客户的流量转移到
33、guard.3b.所有的去往目标的流量(攻击和非攻击)都被转移到guard.4.Guard将攻击流量丢弃,同时允许正常流量通过.5.Inject:被清洁的流量重新注入网络到达目标.6.Cisco Detector和netflow设备持续观察.3rd party Detector35 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID区域区域1:WEB区域区域2:DNS区域区域3:E-Commerce 应应用用 InternetLegitimate Traffic正正
34、常常流流量量攻攻击击目目标标1.检测检测非正常流量非正常流量2.启启动动保保护护 (自自动动/手手动动)RemoteHealthInjection（RHI）3.将流量转移到将流量转移到Guard模块模块5.将正常流量重新将正常流量重新注入注入6.到其他区域的流到其他区域的流量没有受到影响量没有受到影响BGP PeerO 192.168.3.0/24 110/2 via 100.0.0.3,2d11h,GigabitEthernet2B 192.168.3.128/32 20/0 via 20.0.0.2,00:00:01 192.168.3.128=zone,10.0.0.2=Guard Mo
35、dule,20.0.0.2=MSFCBGP announce 4.攻攻击缓击缓解解(清清洁洁)36 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID3.1 流量流量”清洁清洁”37 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_IDGuard攻击流量清洁原理攻击流量清洁原理:Multi-Verification Process(MVP)
36、ActiveVerificationStatisticalAnalysisLayer 7AnalysisRate LimitingLegitimate+attack traffic to targetDynamic&Static Filters监测恶意动作和发现攻击的流监测恶意动作和发现攻击的流量及源量及源/目标地址目标地址启动启动anti-spoofing阻挡恶意流量阻挡恶意流量动态增加访问列表阻挡攻动态增加访问列表阻挡攻击击启动速率限制启动速率限制Legitimate traffic38 2005 Cisco Systems,Inc.All rights reserved.Cisco Co
37、nfidentialSession NumberPresentation_ID设备:Guard XT 和AGM(Anomaly Guard Module)独立的独立的Guard XT 5650 IBM X345 Server Platform 2 GE Fiber/Copper 10/100/GE Copper Mgmt 2U rack mount single/dual power supply Dual RAID hard drive 2 Gb DDRAM 1 Broadcom SiByte Network Processor76/65的的AGM Single slot service m
38、odule No external interfaces uses line card or supervisor interfaces Cat6k IOS support:12.2(18)SXD3 or later 7600 IOS support:12.2(18)SXE or later 3 Broadcom SiByte Network Processors Multiple AGMs per chassis39 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_
39、IDGuard:通讯接口方式通讯接口方式 Image Upgrade,Zone Configs Download&Upload,Attack Reports UploadConfiguration,Operation40 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID“清洁中心清洁中心”是一组存在于服务供应商网络中的是一组存在于服务供应商网络中的Guard或或AGM流量清洁设流量清洁设备的集合备的集合扩展性扩展性 使用多个使用多个guard提供高性能提供高性能可
40、靠性可靠性 多个多个guard可以提供可以提供 N+1 冗余冗余经济性经济性 一个清洁中心可以为多个用户服务达到高效率一个清洁中心可以为多个用户服务达到高效率灵活性灵活性 DDoS 攻击可以被引导到清洁中心集中处理攻击可以被引导到清洁中心集中处理41 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID清洁中心设计考虑事项清洁中心设计考虑事项 清洁性能需求清洁性能需求 部署位置部署位置 扩展性扩展性-负载均衡负载均衡 高可用性冗余配置高可用性冗余配置42 2005 C
41、isco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID性能需求性能需求部署模式部署模式专用的设备为特定的用户专用的设备为特定的用户共享部署共享部署,对受攻击的用对受攻击的用户专用防护户专用防护共享部署共享部署,对受攻击的用对受攻击的用户共享防护户共享防护CapEx for SPHighLow Very LowService Fee for CustomersHighHigh/MediumLowHighlights Dedicated service from subscriber
42、standpoint Guaranteed cleaning capacity per agreement between SP and customer Customized baseline by learning Add Guards as new customers sign up the service Policy&zone configs for the customer stored on the dedicated Guard Dedicated service from subscriber standpoint Guaranteed cleaning capacity p
43、er agreement between SP and customer Customized baseline by learning Add new Guards when the predefined over-subscription ratio exceeds Policy&zone configs uploaded to a dedicated Guard when he is under attack Shared service from subscriber standpoint Best-effort cleaning capacity Baseline based on
44、default templates.Optional manual threshold tuning for more precise mitigation Potentially insufficient cleaning capacity if multiple users are under attack at the same timeApplicable DDoS Protection Models Managed NetworkManaged HostingManaged PeeringManaged NetworkManaged HostingManaged PeeringMan
45、aged NetworkManaged HostingManaged PeeringInfrastructure43 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID部署地点建议部署地点建议 尽量靠近网络入口位置尽量靠近网络入口位置 减少流量转移减少流量转移/注入的跳数，以减少时延注入的跳数，以减少时延 保证流量转移和重注入的路径有足够的带宽保证流量转移和重注入的路径有足够的带宽 在多清洁中心的部署中，要保证每个清洁中心到每个被保护在多清洁中心的部署中，要保证每个
46、清洁中心到每个被保护的客户的带宽的客户的带宽 清洁中心需要独立管理，可以考虑采用和骨干网不同的清洁中心需要独立管理，可以考虑采用和骨干网不同的AS44 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID扩展性扩展性:负载均衡负载均衡 在清洁中心采用在清洁中心采用guard集群或集群或AGM集群的方式，提供数集群的方式，提供数G的保护能力。的保护能力。Guard/AGM之间负载均衡之间负载均衡 前端路由器上需要启动前端路由器上需要启动BGP maximum-path
47、前端路由器上启动前端路由器上启动IP CEF load-sharing per source-destination IP address pair 最多最多8个个Guard负载均衡（负载均衡（BGP限制）限制）在一台在一台7600/Cat6500上上 AGM的数量限制的数量限制：ChassisMaximum Tested#of AGMsRealistic Maximum#of AGMs(Active&Standby Supervisors,Line Card for Guard Bandwidth)Dedicated 7609/Cat6509 Chassis 86Dedicated with
48、 7613/Cat6513 Chassis 1010 45 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID高可用性考虑高可用性考虑 清洁中心接入路由设备采用清洁中心接入路由设备采用 NSF&SSO 高可用性高可用性 N+1 Guards 其中一个做为备份其中一个做为备份,hot standby状态状态 冗余的冗余的 AGMsActive/active mode:每个每个AGM都为活动状态都为活动状态,流量被均衡处理流量被均衡处理Active/standby mo
49、de:备份状态备份状态,一个一个Guard的优先级较高的优先级较高 当一个清洁中心出现问题时当一个清洁中心出现问题时,采用采用Anycast将可疑流量将可疑流量 自动转移到其他清洁中心自动转移到其他清洁中心.46 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresentation_ID3.2 流量转移和注入流量转移和注入47 2005 Cisco Systems,Inc.All rights reserved.Cisco ConfidentialSession NumberPresent
50、ation_ID流量转移流量转移 Diversion,注入注入Injection 流量转移可以采用流量转移可以采用CiscoDetector或其他第三方设备或其他第三方设备,可以可以是自动或手动触发是自动或手动触发.运营商可以选择触发方式运营商可以选择触发方式.可以转移到一个以上的可以转移到一个以上的清洁中心清洁中心.当攻击消失时当攻击消失时,流量转移可以解除流量转移可以解除.Diversion:将去往被攻击目标的流量重路由到一个攻击缓解将去往被攻击目标的流量重路由到一个攻击缓解的的清洁中心清洁中心,以便在清洁中心中处理以便在清洁中心中处理,丢弃攻击流量和分辨正丢弃攻击流量和分辨正常业务常业务
