冰盾抗DDOS防火墙

技术白皮书

冰盾（中国）科技

  HYPERLINK "http://www.bingdun.com"   http://www.bingdun.com 

冰盾防火墙技术白皮书

一、开发背景

随着Internet互联网络带宽的增加和多种DDOS黑客工具的不断发布，DDOS拒绝服务攻击的实施越来越容易，DDOS攻击事件正在成上升趋势。出于商业竞争、打击报复和网络敲诈等多种因素，导致很多IDC托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被DDOS攻击所困扰，随之而来的是客户投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题，因此，解决DDOS攻击问题成为网络服务商必须考虑的头等大事。

冰盾防火墙是由美国硅谷留学博士Mr.Bingle Wang和Mr.Buick Zhang领导研发而成，两人在国内外专业安全公司从事信息安全行业有8年之久，拥有丰富的反黑客安全实践经验，紧密结合国内的形势，设计出了国内第一款具备入侵检测功能的专业级抗DDOS防火墙，不仅可有效防范绝大多数DDOS攻击，而且可防护主机系统不被黑客入侵，是当前解决DDOS和黑客入侵问题最具竞争力的产品。

二、设计原理

1、DDOS攻击分析

DDOS是英文Distributed Denial of Service的缩写，意即“分布式拒绝服务”，那么什么又是拒绝服务（Denial of Service）呢？可以这么理解，凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确，就是要阻止合法用户对正常网络资源的访问，从而达成攻击者不可告人的目的。虽然同样是拒绝服务攻击，但是DDOS和DOS还是有所不同，DDOS的攻击策略侧重于通过很多“僵尸主机”（被攻击者入侵过或可间接利用的主机）向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务，分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源，因此，拒绝服务攻击又被称之为“洪水式攻击”，常见的DDOS攻击手段有SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script Flood、Proxy Flood等；而DOS则侧重于通过对主机特定漏洞的利用攻击导致网络栈失效、系统崩溃、主机死机而无法提供正常的网络服务功能，从而造成拒绝服务，常见的DOS攻击手段有TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、OOB等。就这两种拒绝服务攻击而言，危害较大的主要是DDOS攻击，原因是很难防范，至于DOS攻击，通过给主机服务器打补丁或安装防火墙软件就可以很好地防范。

2、冰盾安全防护原理

作为冰盾防火墙的开发者，Mr.Bingle Wang和Mr.Buick Zhang先生在防火墙Firewall和入侵检测技术IDS方面是有着是具有深厚的技术储备和研究，冰盾防火墙采用的ActiveDefense主动防御技术属于冰盾科技多年研究的专有技术，通过生物基因原理实现，可智能辨识多种DDoS攻击，并启用MicroKernel微内核处理技术，能够在系统的底层高效地完成对DDoS攻击的过滤和防护，任何虚假的Syn包文都可以被有效的识别并阻止，从而确保服务器可以正常提供服务。主要关键技术有：

★ SYNCookies机制

通过实施SYNCookie的包认证机制，可实现对SYNFlood、ACKFlood等攻击的防护，对于攻击量较小的情况下非常有效。

★ 3Second秒重传机制

当检测到每秒的SYN包大于正常数值时候，采用丢弃SYN的办法来降低一半的攻击，正常的用户会在3秒后再次发送SYN，从而建立有效的连接。

★ ActiveDefense机制

通过生物基因原理，对所有进出的包进行分析统计，识别有害的攻击包并启动处理引擎进行防护，从而提高系统的防御能力。

★ MicroKernel微内核机制

在网卡和系统之间设计一层高效的处理内核程序，以最快的速度抓取网卡上的网络包并进行适当的分析处理，由智能控制决定放行还是阻止，大大提高系统的处理效能。

★ Connections连接跟踪机制

对TCP和UDP的连接进行智能跟踪，及时发现并阻止可能的攻击，从而最大程度保护应用服务程序的安全。

三、功能特点

冰盾抗防火墙做为一款全新技术的产品，远不同于一般的包过滤类防火墙技术，其独特的抗DDOS设计，使得其在防止DOS拒绝服务和DDOS分布式拒绝服务方面远胜其他防火墙产品，主要特色功能如下：

★ 阻止DOS攻击

TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、BigPing、OOB等数百种。

★ 抵御DDOS攻击

SYN/ACK Flood、UDPFlood、ICMP Flood、TCP Flood等所有流行的DDOS攻击。

★ 拒绝TCP全连接攻击 

自动阻断某一IP对服务器特定端口的大量TCP全连接资源耗尽攻击。

★ 防止Script脚本攻击 

专业防范ASP、PHP、PERL、JSP等脚本程序的洪水式Flood调用导致数据库和WEB崩溃的拒绝服务攻击。

★ 对付DDOS工具 

XDOS、HGOD、SYNKILLER、CC、GZDOS、PKDOS、JDOS、KKDOS、SUPERDDOS、FATBOY、SYNKFW、DDOSBINGDUN等数十种。

★ 超强Web过滤 

过滤URL关键字、Unicode恶意编码、脚本木马、防止木马上传等。

★ 侦测Hacker黑客入侵 

智能检测Port扫描、SQL注入、密码猜测、Expolit利用等2000多种黑客入侵行为并阻断。

四、技术指标

冰盾防火墙作为一款优秀的专业级抗DDOS防火墙，在安全性、稳定性、可靠性等方面有着卓越的体现，具体技术指标如下：

适用平台：Windows 2000、Windows XP、Windows 2003

支持网卡：100M、1000M

防护类型：DOS、DDOS、IPS

处理能力：100M环境下每秒20万以上、1000M环境下125万以上

高可用性：10000小时以上

强适应性：支持多网卡、多IP、无限连接数

连接限制：支持并且可阻止

CPU占用：低于8%

五、应用范围

冰盾防火墙作为一款企业级主机防火墙，无需额外的硬件支持，直接安装在Windows服务器操作系统之上即可发挥其防护作用，可有效防护以下网络服务器免受DDOS攻击和黑客入侵：

游戏服务器：传奇、奇迹、千年、天堂等网络游戏的服务器主机。

聊天服务器：文字聊天室、语音聊天室、视频聊天室等服务器主机。

接入服务器：网吧和企业的接入服务器等主机。

网站服务器：ICP网站、论坛社区和电子商务等网站服务器。

媒体服务器：音乐、电影、网络电台等服务器主机。

其他任何提供网络服务的主机服务器。

六、产品先进性及优势

冰盾防火墙作为独特的抗DDOS防火墙是适应当前严峻的网络环境而诞生的，其功能是其他常规防火墙所无法比拟的，而冰盾是由多年反黑客安全的专家开发设计，在抗攻击防护、防黑客入侵和高稳定性等方面其他同类防火墙只能望其项背。冰盾的主要特色和优势如下：

专业抵御DDOS攻击

常规的防火墙绝大多数几乎无法抵挡DDOS攻击。

高效的包处理能力

在100M兆环境每秒可抵御20万以上包攻击，在1000M环境每秒可抵御160万以上包攻击。

独特的TCP连接限制

可限制单一IP可连接服务端口的最大数，有效抵御TCP多连接攻击、脚本刷新攻击和网络吸血鬼类下载程序占用带宽。

超级入侵防御模块

智能检测Port扫描、SQL注入、密码猜测、Expolit利用等2000多种黑客入侵行为并阻断。

一流的可靠性和稳定性

冰盾是在已在国外销售了近3年的FortGuard的基础上紧密结合国情开发而成，已经在上千家网站上稳定运行数月之久。

庞大的潜在市场

所有在Internet互联网络上提供服务的网络主机都需要抵御DDOS攻击和防止黑客入侵。

惊人的性价比

做为软件产品，销售价格仅仅数百元，与动辄数万元的硬件防火墙相比优势非常明显，并且效果显著。

强大的技术支持

冰盾的技术支持队伍均有多年专业黑客安全实践经验，可提供最新最强大的技术支持服务，及时解决客户遇到的安全问题。

六、联系我们

冰盾（中国）科技

北京补天信息科技有限公司

总部：北京市海淀区西三旗新都环岛程远大厦B座3层

网站：  HYPERLINK "http://www.bingdun.com"   http://www.bingdun.com 

电话：010-51661195 传真：010-51661195

QQ： 2600725

 冰盾(中国)科技                              冰盾抗DDOS防火墙技术白皮书

 PAGE   

 PAGE   - 6 - 

保密申明

 该资料是冰盾（中国）科技的有价信息，接受该资料表示同意对其内容保密并且未经冰盾（中国）科技书面请求和书面认可，不得复制，泄露或散布这份资料。如果你不是有意接受者，请注意对这份资料内容的任何形式的泄露、复制或散布都是被禁止的。