近年來(lái)，越來(lái)越頻繁的DDoS攻擊，給運營(yíng)商和企業(yè)業(yè)務(wù)帶來(lái)了巨大的安全挑戰。最嚴重的一次在2013年3月，歐洲遭遇了史上最大的DDoS攻擊，攻擊流量峰值高達300Gbps，超大的攻擊流量匯聚到歐洲幾個(gè)一級運營(yíng)商網(wǎng)絡(luò )內部，造成整個(gè)歐洲地區的網(wǎng)絡(luò )擁塞。在荷蘭，DDoS攻擊也已經(jīng)影響到了大量數據中心的正常運營(yíng)，如果沒(méi)有必要的防護方案，不但會(huì )對一家公司的業(yè)務(wù)造成影響，甚至會(huì )擁塞整個(gè)國家網(wǎng)絡(luò )的帶寬，影響所有ISP的業(yè)務(wù)連續性。
NBIP是荷蘭上百家ISP企業(yè)成立的鏈路與運營(yíng)服務(wù)聯(lián)盟企業(yè)，幫助ISP提供統一的鏈路與運營(yíng)管理服務(wù)。該聯(lián)盟成立于2002年，是荷蘭唯一一家國家級的ISP聯(lián)盟企業(yè)。由于NBIP的服務(wù)對象均是ISP，所有的業(yè)務(wù)都是互聯(lián)網(wǎng)在線(xiàn)服務(wù)業(yè)務(wù)，業(yè)務(wù)的連續性要求高，但也是黑客最常攻擊的目標。一旦業(yè)務(wù)遭受攻擊，就會(huì )帶來(lái)巨大的經(jīng)濟損失，據NBIP主席Ludo介紹：“DDoS攻擊帶來(lái)的損失每小時(shí)達數萬(wàn)歐元，甚至更高。”此外，由于DDoS攻擊導致業(yè)務(wù)不在線(xiàn)，還會(huì )對企業(yè)的信譽(yù)和形象造成巨大損失，影響更是不可估量。
瘋狂的DDoS攻擊過(guò)后，ISP均在尋求有效的DDoS防護解決方案。但一個(gè)個(gè)獨立的ISP單獨部署專(zhuān)業(yè)的DDoS防護方案，不但會(huì )帶來(lái)巨大的部署和維護成本，而且根本無(wú)法有效防護鏈路擁塞型DDoS攻擊。
“臨淵羨魚(yú)”不如“退而結網(wǎng)”
作為ISP聯(lián)盟的NBIP，面對日益猖獗的DDoS攻擊，在接到ISP客戶(hù)屢次求助后，從2013年6月起，便開(kāi)始尋求有效的DDoS防護與安全運營(yíng)解決方案，并計劃部署DDoS安全增值服務(wù)，以應對DDoS攻擊，提升業(yè)務(wù)運營(yíng)的連續性，改善客戶(hù)業(yè)務(wù)安全服務(wù)水平。
除此之外，通過(guò)研究業(yè)界知名安全服務(wù)提供商的業(yè)務(wù)范圍和市場(chǎng)空間，NBIP也發(fā)現安全服務(wù)市場(chǎng)是未來(lái)的趨勢，可以幫助NBIP提升自身的競爭力并增加業(yè)務(wù)范圍。在ICT不斷融合、云安全如火如荼的今天，運營(yíng)商正面臨嚴重的運營(yíng)成本上升與收益下滑的壓力，進(jìn)軍安全增值服務(wù)領(lǐng)域已經(jīng)成為包括AT&T、BT等國際運營(yíng)商的最新選擇，其中DDoS安全服務(wù)是運營(yíng)商必選業(yè)務(wù)之一。因為運營(yíng)商有先天的帶寬資源優(yōu)勢，能夠實(shí)現上層防護，在單個(gè)ISP鏈路擁塞前做清洗防護。而NBIP相對于ISP聯(lián)盟中獨立的ISP企業(yè)來(lái)說(shuō)，具有同運營(yíng)商一樣的天然優(yōu)勢。意識到DDoS防護市場(chǎng)需求巨大，NBIP從2013年年中開(kāi)始計劃和設計“國家級DDoS流量清洗中心”項目，并于年底邀請了業(yè)界知名的DDoS防護解決方案廠(chǎng)商進(jìn)行方案和設備測試。
“消防員”式的防護方案
NBIP要建造的是整個(gè)荷蘭國家級的清洗中心，服務(wù)對象超過(guò)100家ISP，且未來(lái)業(yè)務(wù)和客戶(hù)仍將持續擴展，因此對DDoS防護解決方案的防護性能和擴展性均有嚴苛的要求，比如至少100G的擴展防護性能。而且NBIP的主要客戶(hù)是ISP企業(yè)的在線(xiàn)業(yè)務(wù)系統，不但對DDoS攻擊防護的精準度有要求，而且對攻擊響應的實(shí)時(shí)性要求也比較高。這就要求NBIP的DDoS防護方案要具備旁路實(shí)時(shí)監控能力，實(shí)現快速攻擊響應，就像“消防員”一樣，處于隨時(shí)待命狀態(tài)，一旦發(fā)生“DDoS火情”，要能快速進(jìn)行處理。
在測試階段，NBIP對其重點(diǎn)關(guān)注的特性做了詳盡的測試，綜合比較起來(lái)，華為的Anti-DDoS方案采用逐包深度檢測技術(shù)和旁路部署模式，能夠實(shí)現秒級的攻擊響應和單臺設備200Gbps的防護性能，在方案上完全契合NBIP的需求。此外，在測試過(guò)程中，華為Anti-DDoS方案所表現出來(lái)的簡(jiǎn)單便捷的GUI管理方式和詳盡的報表功能，也深深吸引了NBIP，使其最終選擇了華為方案。
NBIP主席Ludo在測試結束后這樣評價(jià)華為的方案：“華為的Anti-DDoS解決方案對攻擊的響應速度非常快，而且具有管理能力的非常優(yōu)秀的界面，事實(shí)證明華為的解決方案正是我們所需要的。”
NBIP的數據中心出口帶寬為80Gbps，采用全流量分光逐包做攻擊檢測，一旦發(fā)現攻擊，管理中心下發(fā)攻擊流量清洗策略，并由清洗板發(fā)送BGP引流清洗策略，將受攻擊對象的流量引入清洗中心做清洗。方案中的檢測中心和清洗中心有Anti-DDoS 8160的檢測板卡和清洗板卡分別完成，集中混插在一臺Anti-DDoS 8160設備機框上，可大大節約客戶(hù)空間和部署成本，還可通過(guò)板卡擴展線(xiàn)性提升性能，滿(mǎn)足NBIP運營(yíng)性能持續擴展的需求。
客戶(hù)的聲音
“華為的Anti-DDoS解決方案對DDoS攻擊的響應速度非常快，而且具有管理能力非常優(yōu)秀的界面，事實(shí)證明華為的解決方案正是我們所需要的。”
——NBIP主席 Ludo
