DDoS(分布式拒絕服務)攻擊是利用TCP/IP協議漏洞進行的一種簡單而致命的網絡攻擊，由于TCP/IP協議的這種會話機制漏洞無法修改，因此缺少直接有效的防御手段。大量實例證明利用傳統設備被動防御基本是徒勞的，而且現有防火墻設備還會因為有限的處理能力陷入癱瘓，成為網絡運行瓶頸;另外，攻擊過程中目標主機也必然陷入癱瘓。

今天，我們就為大家介紹一下國內軟件開發商針對這類網絡攻擊而開發的抗DoS、DDoS軟硬件防火墻產品，由于各個公司的硬件防火墻一般都是在LINUX主機上安裝其相應的軟件防火墻產品，所以兩者就不進行區分介紹了。

目前國內抗DDOS防火墻比較知名的，同時信譽度和使用效果也比較好的應該是黑洞、金盾和傲盾的產品。一些其他的所謂“XX盾DDoS防火墻”多半是這些版本的抄襲篡改或者完全就是沒有實際效果只是用來騙錢的東西，我們無法對各款產品進行實際應用的考證，因此只能建議大家購買正規而專業的抗DDOS防火墻。

黑洞抗DDoS防火墻

黑洞抗DDoS防火墻是國內IDC中應用比較廣泛的一款抗DoS、DDoS攻擊產品，其技術比較成熟，而且防護效果顯著，已經得到各大IDC機構的共同認可。黑洞目前分百兆、千兆兩款產品，分別可以在相應網絡環境下實現對高強度攻擊的有效防護，性能遠遠超過同類防護產品。千兆黑洞主要用于保護骨干線路上的網絡設備如防火墻、路由器，百兆黑洞主要用于保護子網和服務器，使用多種算法識別攻擊和正常流量，能在高攻擊流量環境下保證95%以上的連接保持率和95%以上的新連接發起成功率，核心算法由匯編實現，針對Intel IA32體系結構進行了指令集優化。對標準TCP狀態進行了精簡和優化，效率遠高于目前流行的SYN Cookie和Random Drop等算法。

黑洞所帶來的防護:

自身安全:無IP地址，網絡隱身。

能夠對SYN Flood、UDP Flood、ICMP Flood和(M)Stream Flood等各類DoS攻擊進行防護。

可以有效防止連接耗盡，主動清除服務器上的殘余連接，提高網絡服務的品質;可以抑制網絡蠕蟲的擴散。

可以防護DNS Query Flood，保護DNS服務器正常運行。

可以給各種端口掃描軟件反饋迷惑性信息，因此也可以對其它類型的攻擊起到防護作用。

金盾抗DDOS防火墻

金盾抗DDOS防火墻由合肥中新軟件有限公司開發，是一款針對ISP接入商、IDC服務商開發的專業性比較強的專業防火墻。適用于Internet平臺所有企業與個人用戶，尤其對一些大型的娛樂站點和重要企業站點的網絡流暢起到了重要的安全保護作用。

產品目前采用了最底層驅動技術，提供完善的面向連接操作。公司在長期ISP運營和致力于網絡安全的研究過程中，研究和發明了一種防御和抵抗拒絕服務攻擊的解決辦法。測試的效果表明，目前的防御算法對所有已知的拒絕服務攻擊是免疫的，也就是說，是完全可以抵抗已知DoS/DDoS攻擊的。

金盾抗DDOS防火墻可以抵御多種拒絕服務攻擊及其變種，可防各類 DoS/DDoS攻擊，如 SYN Flood、TCP Flood，UDP Flood，ICMP Flood及其各種變種如Land，Teardrop，Smurf，Ping of Death等。

傲盾ddos防火墻

傲盾安全網的知名品牌“傲盾防火墻”是一套全面、創新、高安全性、高性能的網絡安全系統。傲盾ddos防火墻具有DDOS、DOS攻擊防御、NAT地址轉換功能、特有TCP標志位檢測功能，傲盾ddos防火墻具有世界領先的數據流指紋檢測技術、獨立開發的高效率系統核心等特點，是國內一家可完全抵御ACK、DOS、DDOS、SYN、FLOOD、FATBOY及各種變種如Land，Teardrop，Smurf，Ping of Death，FATBOY等攻擊的全防御安全產品，致力于為個大企業、事業機關及網絡服務商提供完整的信息安全的解決方案及全面的技術支持服務!

傲盾ddos防火墻特點:

阻止DOS攻擊:TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、BigPing、OOB等數百種

抵御DDOS攻擊:SYN/ACK Flood、UDPFlood、ICMP Flood、TCP Flood等所有流行的DDOS攻擊

拒絕TCP全連接攻擊:某一IP對服務器特定端口的大量連接資源耗盡攻擊

防止腳本攻擊:專業防范ASP、PHP、PERL、JSP 等腳本程序的Flood攻擊

對付DDOS工具:XDOS、HGOD、SYNKILLER、CC、GZDOS、PKDOS、JDOS、KKDOS、SUPERDDOS、FATBOY、SYNKFW等數十種

超強Web過濾:過濾URL關鍵字、Unicode惡意編碼、腳本木馬、防木馬上傳

偵測黑客入侵:智能檢測Port掃描、SQL注入、密碼猜測、Expolit利用等2000多種黑客入侵行為并阻斷。

天傲防火墻

“天傲防火墻”目前是國內一家可完全抵御ACK、DOS/DDOS、SYN、FLOOD、FATBOY、CC、drdos及各種變種如Land，Teardrop，Smurf，Ping of Death，FATBOY等攻擊的全防御安全產品，致力于為各大企業、事業機關、網絡服務商及游戲運營商，提供完整的信息安全解決方案及全面的技術支持服務，天傲軟件抗DDOS版防火墻是采用的算法，可以在系統丟棄上百萬攻擊包的同時采用底層驅動丟包模式，丟棄上百萬攻擊包，不耗費任何系統資源。防御100M攻擊流量同時CPU耗費不會超過3%。

天傲硬件防火墻置于交換機前面獨立存在，可保護防火墻后掛接的所有交換機和服務器，硬件防火墻采用透明模式，無I址限定，即插即用，百兆硬防擁有6個標準網卡接口，不限制連接數，千兆防火墻擁有四個光電接口，4個網卡接口。

以下產品在我們撰寫本文時并未得到大部分網絡技術人員的肯定，簡介摘自產品開發者官方網站，不敢保證其信息的完全正確，資料僅供讀者參考，大家可以根據各自的了解進行判斷選擇。
冰盾抗DDOS防火墻

冰盾抗DDOS防火墻(Bingdun Anti-DDOS Firewall)來自IT技術世界一流的美國硅谷，由華人留學生Mr.Bingle Wang和Mr.Buick Zhang設計開發，采用國際領先的生物基因鑒別技術智能識別各種DDOS攻擊和黑客入侵行為，防火墻采用MicroKernel微內核和ActiveDefense主動防御引擎技術實現，工作在系統的最底層，充分發揮CPU的效能，僅耗費少許內存即獲得驚人的處理效能。經高強度攻防試驗測試表明:在抗DDOS攻擊方面，工作于100M網卡冰盾約可抵御每秒25萬個SYN包攻擊，工作于1000M網卡冰盾約可抵御160萬個SYN攻擊包;在防黑客入侵方面，冰盾可智能識別Port掃描、Unicode惡意編碼、SQL注入攻擊、Trojan木馬上傳、Exploit漏洞利用等2000多種黑客入侵行為并自動阻止，是迄今為止在抗DDOS領域功能最為強大的防火墻產品之一。

冰盾是專業級別抗DDOS防火強，在阻止DOS攻擊、抵御DDOS攻擊 、拒絕TCP全連接攻擊、防止腳本攻擊、安全Web過濾和偵測并阻止黑客入侵方面有其獨到的特色，冰盾抗DDOS防火墻工作在系統的最底層，采用ActiveDefense微內核防御技術和基于生物基因的智能識別技術，從低到高，細粒度逐層控制，從而真正意義上防御了各個層次的DOS和DDOS攻擊。

天盾Xddos防火墻

天盾Xddos防火墻是一款針對ISP接入商、IDC服務商開發的專業性比較強的專業防火墻，適用于保護各類互聯網服務器。Ddos

是互聯網上對網絡服務器威脅最大的攻擊，隨著網絡攻擊軟件網上隨意下載的越來越多(用google和百度搜索比比皆是)，廣大服務器管理者越來越需要一種專門的防御ddos攻擊的防火墻。天盾Xddos防火墻基于網卡驅動底層開發，使用了最先進的算法，標準版就可以防御各類ddos攻擊(包括最新的cc等)，高級版更可以DIY千兆的網橋式防火墻。

天盾硬件防火墻抗DDOS版不會有占用系統資源的問題，他的工作原理是當你的網站不被DDOS攻擊的時候防火墻本身并不工作，不對任何一個數據包進行驗證或者攔截，所以更不會給網絡的質量和速度帶來絲毫的影響，防火墻采用底層技術與TC/IP內核開發，從設計原理上來說就已經把占用系統資源降低到了最小，內置強大的IDS模塊在你的網站一旦受到DDOS攻擊的時候立刻投入工作處理一切非法的請求包，但是不會丟掉任何一個正常合法的數據包。即使在大量處理攻擊包的時候，合法數據包會也成功連接100%，響應時間不會超過1秒，所以即便在這個時候正常客戶瀏覽你的網站也不會感覺到慢，FTP下載也是正常。硬件防火墻置于交換機前面獨立存在，對硬件環境無特殊要求。

網盾軟件DDOS防火墻

網盾防火墻是一款全功能并帶有DOS攻擊防護，DDOS攻擊防護，SYN攻擊防護等功能的防火墻產品，完全不限制服務器連接數，功能更勝一籌，目前多數防DDOS軟件防火墻，僅有防御DOS攻擊的功能，而沒有其他防火墻應該必備的一些功能.遇到針對你服務器攻擊的黑客，仍然無任何作用.網盾防火墻擁有強大的網絡協議解析能力。可過濾經過精心偽裝的惡意代碼和攻擊，有效阻止和預警各種攻擊行為，對DDOS攻擊和SQL注入等入侵的防護處于世界領先位置，這是其他網絡安全軟件 所無法做到的。

網盾防火墻可全面應用在IDC機房托管、虛擬主機、游戲站、聊天站、音樂站、電影站、電子商務站、企業站、郵件服務器，私服等服務器上。

總結:

對付DDOS是一個系統工程，想僅僅依靠某種系統或產品防住DDOS是不現實的，可以肯定的是，完全杜絕DDOS目前是不可能的，但通過適當的措施抵御90%的DDOS攻擊是可以做到的，基于攻擊和防御都有成本開銷的緣故，若通過適當的辦法增強了抵御DDOS的能力，也就意味著加大了攻擊者的攻擊成本，那么絕大多數攻擊者將無法繼續下去而放棄，也就相當于成功的抵御了DDOS攻擊。