腾讯云——安全（大禹）

最新推荐文章于 2024-09-10 09:34:42 发布

流亦

最新推荐文章于 2024-09-10 09:34:42 发布

阅读量1.1k

点赞数

分类专栏：腾讯 # 腾讯云文章标签：腾讯腾讯云安全云安全

本文链接：https://blog.csdn.net/weixin_49322362/article/details/115871029

版权

2 篇文章 0 订阅

订阅专栏

2 篇文章 0 订阅

订阅专栏

腾讯云安全-大禹

随着网络世界的发展，云世界也走进了我们的生活、工作中。

云是一种服务，面向于广大的群众群体。云的产品有很多；云盘、云网络、云应用；这些产品都是服务于有需求的群体，而大部分群体在使用这些云产品的时候，是处于无感知、无完整的对于云的认知的，这时候，保障用户的信息安全，让用户获得良好的产品服务体验，也就至关重要了。
安全是一种认知，在面向网络的服务中，安全问题一旦出现，往往代表着大量的用户流失、数据泄漏、让提供服务的群体和用户从此"good-bay"。
网络安全是通过一系列的网络知识和技术手段，对网络中的服务提供安全保障，从物理硬件授权到数据加密，从身份认证到服务授权，无一不体现着“网络安全”。

云安全是对云服务提供保障的一种安全服务，这种服务本质上来说是一种安全技术。

腾讯云安全产品被称为“大禹、天御、乐固”。分别对应着“DDoS防护、业务安全能力开放、APP加固”

我们今天分享的知识属于腾讯云安全服务产品的大禹（DDoS防护）。

大禹是腾讯云针对DDoS攻击手段推出的安全服务产品。

DDoS攻击全称（Distributed Denial Of Service attack）；中文名 ”分布式拒绝服务攻击“。可以把它看成是DoS攻击的升级版，拒绝服务攻击数量多起来后，就可以看作是DDoS攻击。

在双11购物狂欢节，如果阿里云的服务器没有扛住大量的用户访问，也就是用户连接数超出服务器连接承载范围，就会导致在进行购物、结账、登录淘宝的你进不去、买不了单。而这时候，其实就是阿里被“打”了。

DDoS攻击有利用流量攻击的，有利用网络协议漏洞攻击的，都有一个明显的特征，让你的服务“用不了”。

DDoS攻击手段多种多样，常见的有：

是针对Web服务在第七层协议发起的攻击。通过向Web服务器发送大量HTTP请求来模仿网站访问者以耗尽其资源。虽然其中一些攻击具有可用于识别和阻止它们的模式，但是无法轻易识别的HTTP洪水。它的巨大危害性主要表现在三个方面：发起方便、过滤困难、影响深远。
利用TCP协议缺陷的SYN Flood 洪水攻击。
利用TCP协议缺陷，发送大量伪造的TCP连接请求，常用假冒的IP或IP号段发来海量的请求连接的第一个握手包（SYN包），被攻击服务器回应第二个握手包（SYN+ACK包），因为对方是假冒IP，对方永远收不到包且不会回应第三个握手包。导致被攻击服务器保持大量SYN_RECV状态的“半连接”，并且会重试默认5次回应第二个握手包，塞满TCP等待连接队列，资源耗尽（CPU满负荷或内存不足），让正常的业务请求连接不进来。

反射型的 DDoS 攻击是一种新的变种，与DoS、DDoS不同，该方式靠的是发送大量带有被害者IP地址的数据包给攻击主机，然后攻击主机对IP地址源做出大量回应，形成拒绝服务攻击。黑客往往会选择那些响应包远大于请求包的服务来利用，这样才可以以较小的流量换取更大的流量，获得几倍甚至几十倍的放大效果，从而四两拨千斤。一般来说，可以被利用来做放大反射攻击的服务包括DNS服务、NTP服务、SSDP服务、Chargen服务、Memcached等。
随着网络技术越来越成熟，其实攻击技术也越来越复杂。这时候防护就显得至关重要了。

腾讯云安全产品大禹，为您的网络安全保驾护航！

是为腾讯云上用户免费提供的基础 DDoS 防护的服务，普通用户提供 2Gbps 的防护能力，最高可达 10Gbps。此服务自动为云上用户开启，实时监控网络流量，发现攻击立即清洗，秒级防护。
DDos基础防护最多达到3G的带宽，在基础防护承受不住攻击以后，DDoS基础防护会发出报警，并封闭被攻击的用户的源IP，以保护共享资源库的其他用户正常使用。

DDoS BGP高防包

DDoS 高防包（Anti-DDoS Pro）是为业务部署在腾讯云上的用户提升 DDoS 防护能力的付费服务。对云产品直接生效，无需更换 IP，购买后只需要绑定需要防护的 IP 即可使用，具备接入便捷、0变更等特点。

DDoS高防包在国内只有广州、上海、北京三个地方支持

流量进入腾讯云，由腾讯云分光镜像数据，数据一分二，一部分进入BGP路由正常转发，一部分进入腾讯云端检测；当腾讯云端检测数据异常，有DDoS攻击行为的时候，对BGP路由器发出路由牵引的信息，BGP路由器收到信息以后，将该异常数据全部牵引到 DDoS检测机制的设备中，由检测机制的设备检测过后，属于正常访问的数据路由条目将被重注入BGP路由器，并打上VLAN tag标签，访问VLAN atg标签内的服务器。