近年來(lái)，電信數(shù)據(jù)業(yè)務(wù)迎來(lái)飛速發(fā)展，作為經(jīng)濟(jì)大省，某省近年來(lái)電信數(shù)據(jù)業(yè)務(wù)發(fā)展迅速，寬帶數(shù)據(jù)業(yè)務(wù)用戶快速增長(zhǎng)。然而，伴隨著用戶數(shù)量的增長(zhǎng)，電信網(wǎng)絡(luò)安全問(wèn)題也頻繁發(fā)生，其中DDoS攻擊情況尤為嚴(yán)重。

該省電信運(yùn)營(yíng)商對(duì)2006年7月到12月的網(wǎng)絡(luò)安全事件統(tǒng)計(jì)后發(fā)現(xiàn)，幾個(gè)經(jīng)常受到網(wǎng)絡(luò)攻擊的地市，每月平均受到的網(wǎng)絡(luò)攻擊多達(dá)10次以上，2006年9月，某地市IDC受到嚴(yán)重DDoS攻擊，攻擊流量達(dá)到22G，造成城域網(wǎng)、IDC全阻15分鐘，對(duì)業(yè)務(wù)造成嚴(yán)重的影響。嘗試了多種解決辦法，仍然無(wú)法從根本上解決問(wèn)題。

在這種情況下，該省電信迫切需要引入專業(yè)安全合作伙伴，建立一整套抵御DDoS流量攻擊的系統(tǒng)。為此，省電信研究院對(duì)眾多安全廠家的異常流量過(guò)濾設(shè)備進(jìn)行了評(píng)測(cè)對(duì)比，聯(lián)想網(wǎng)御的異常流量過(guò)濾設(shè)備在眾多廠家比拼中脫穎而出，性能和功能卓越。同時(shí)，聯(lián)想網(wǎng)御異常流量管理系統(tǒng)在多個(gè)省市電信行業(yè)的成功應(yīng)用也獲得信息化主管領(lǐng)導(dǎo)的認(rèn)可，經(jīng)過(guò)多次深入的技術(shù)交流，該省電信最終確定了聯(lián)想網(wǎng)御作為抵御DDoS流量攻擊系統(tǒng)建設(shè)的合作伙伴。

結(jié)合該省電信的安全需求和現(xiàn)網(wǎng)建設(shè)情況，充分考慮寬帶互聯(lián)網(wǎng)絡(luò)高帶寬、大流量、要求可靠性高的網(wǎng)絡(luò)特點(diǎn)，聯(lián)想網(wǎng)御的技術(shù)專家為電信運(yùn)營(yíng)商量身定制了異常流量清洗方案：結(jié)合電信IDC客戶遭受的DDoS攻擊情況和僵尸網(wǎng)絡(luò)發(fā)動(dòng)攻擊的特點(diǎn)，技術(shù)專家分析認(rèn)為攻擊流量主要來(lái)自國(guó)外和國(guó)內(nèi)其他運(yùn)營(yíng)商網(wǎng)絡(luò)，另有少部分來(lái)自省網(wǎng)內(nèi)部。因此，系統(tǒng)建設(shè)先期在省干出口位置集中式部署，重點(diǎn)防范經(jīng)由省干入口向地市城域網(wǎng)的攻擊。考慮到省干出口鏈路帶寬大，網(wǎng)絡(luò)位置十分關(guān)鍵。聯(lián)想網(wǎng)御又為用戶設(shè)計(jì)、采取了目標(biāo)保護(hù)策略——根據(jù)需要可以靈活地定義要保護(hù)的目標(biāo)IP地址或者目標(biāo)IP網(wǎng)段，進(jìn)行重點(diǎn)檢測(cè)分析和過(guò)濾攻擊流量，實(shí)現(xiàn)了較強(qiáng)的針對(duì)性，同時(shí)有效節(jié)省了建設(shè)投資，同時(shí)，根據(jù)該省電信用戶的網(wǎng)絡(luò)使用特點(diǎn)，設(shè)計(jì)采用了8臺(tái)設(shè)備集群旁路部署方式（如圖所示），大流量攻擊處理能力達(dá)到16G，輕松滿足了15G大流量攻擊處理能力的設(shè)計(jì)要求，避免了改變正常網(wǎng)絡(luò)流量的網(wǎng)絡(luò)路徑，同時(shí)保證了網(wǎng)絡(luò)的高可靠性。

聯(lián)想網(wǎng)御異常流量管理系統(tǒng)應(yīng)用方案

聯(lián)想網(wǎng)御在用戶網(wǎng)絡(luò)中同時(shí)部署流量檢測(cè)分析設(shè)備和異常流量過(guò)濾系統(tǒng)，組成一套完整的異常流量管理系統(tǒng)。由流量檢測(cè)分析設(shè)備（Leadsec-Detector）進(jìn)行采樣分析，對(duì)流經(jīng)骨干網(wǎng)的數(shù)據(jù)流進(jìn)行分析、統(tǒng)計(jì)、報(bào)警，確定受攻擊的目標(biāo)IP范圍；由異常流量過(guò)濾系統(tǒng)(Leadsec-Guard)來(lái)牽引到達(dá)目標(biāo)IP的網(wǎng)絡(luò)流量，過(guò)濾攻擊流量后將正常流量回注到網(wǎng)絡(luò)中，通過(guò)兩者的無(wú)縫配合，完成了網(wǎng)絡(luò)攻擊的分析、識(shí)別，以及自動(dòng)清理。

LeadSec-Guard還可支持虛擬化，將單臺(tái)設(shè)備或者集群組虛擬為多個(gè)邏輯異常流量過(guò)濾系統(tǒng)。因此，系統(tǒng)管理員可以為每個(gè)邏輯系統(tǒng)分配相應(yīng)的管理員進(jìn)行策略配置、安全審計(jì)等獨(dú)立操作。這將有力地支撐寬帶網(wǎng)絡(luò)運(yùn)營(yíng)商拓展安全增值服務(wù)，推動(dòng)安全運(yùn)營(yíng)。同時(shí)，系統(tǒng)中還配置了Leadsec-Manager管理系統(tǒng)，在實(shí)現(xiàn)集中設(shè)備配置和管理的同時(shí)，提供豐富的報(bào)表功能，全面幫助管理員深入掌控網(wǎng)絡(luò)安全運(yùn)行情況。

項(xiàng)目完成后，該省干出口鏈路中異常流量所占用帶寬降至總擁有帶寬的5％以下，網(wǎng)絡(luò)安全事件發(fā)生概率大大降低，輕了異常流量對(duì)該省電信省干網(wǎng)絡(luò)平臺(tái)造成的壓力，提升了帶寬利用率，為IDC、網(wǎng)吧等寬帶業(yè)務(wù)大客戶提供了一條安全、暢通的互聯(lián)網(wǎng)鏈路，提升了品牌價(jià)值，為該省電信創(chuàng)造了競(jìng)爭(zhēng)優(yōu)勢(shì)。