隨著Web2.0、社交網絡、微博等等一系列新型的互聯網產品的誕生，基于Web環境的互聯網應用越來越廣泛，企業信息化的過程中各種應用都架設在Web平臺上，Web業務的迅速發展也引起黑客們的強烈關注，接踵而至的就是Web安全威脅的凸顯。

黑客利用網站操作系統的漏洞和Web服務程序的SQL注入漏洞等得到Web服務器的控制權限，輕則篡改網頁內容，重則竊取重要內部數據，更為嚴重的則是耗盡Web服務器資源的DDoS攻擊。這也使得越來越多的用戶開始關注應用層的DDoS問題。

根據華為安全能力中心統計，針對Web服務攻擊占攻擊總量的67.71%，攻擊方式主要集中在SYN Flood、HTTP Get Flood、CC攻擊、重傳攻擊等方面，Web服務仍是DDOS主要攻擊目標。

此類攻擊利用應用協議的自身設計缺陷發送精心構造的應用報文，或通過智能的應用交互來耗盡系統性能。目前易受攻擊的應用服務器主要集中在HTTP，DNS，HTTPS和SIP。著名的SSL-DDoS攻擊就是以不斷的SSL密鑰重協商來耗盡HTTPS服務器性能的一種攻擊。

由于此類攻擊發起者往往都支持完整的傳輸層協議棧，所以對攻擊防范也提出了更多挑戰。

就拿業界流行的CC攻擊舉例，這類攻擊者往往會使用一些手段來隱藏發起攻擊的傀儡網絡或防止攻擊被輕易識別。比如偽造攻擊報文源IP、利用網絡中大量的代理服務器、隨機變化字段等方式。

CC攻擊的攻擊技術含量低，利用工具和一些IP代理，一個初、中級的電腦水平的用戶就能夠實施攻擊。不過，如果了解了CC攻擊的原理，那就不難針對CC攻擊實施一些有效的防范措施。

根據該類DDoS攻擊的情況，華為推出了一套有效遏制其威脅的Anti-DDoS系統，其功能涵蓋了檢測，清洗，管理，統計等多個方面。性能覆蓋 2G-200G各個區段。由檢測設備，清洗設備，管理中心三部分組成。

華為Anti-DDoS產品組成

其內部集成了DDoS防護必備的7層防護算法，逐層對攻擊流量進行清洗過濾，實現對流量型攻擊和應用層攻擊的全面防護。

7層防護由畸形包過濾，特征過濾，虛假源認證，應用層認證，會話分析，行為分析，智能限速組成。畸形報文過濾針對違反協議標準的報文進行檢查和丟棄。特征過濾則使用了華為強大的指紋學習和匹配算法，可以識別帶有指紋的攻擊流量，同時可以針對自定義報文特征，如IP，端口等信息對報文進行過濾。

虛假源認證和應用層源認證則能夠驗證流量源IP的訪問意圖和真實性。會話分析和行為分析則能夠針對DDoS攻擊經常性的spoof行為特點和多變的攻擊規律進行統計分析，對隱藏較深的僵尸網絡攻擊擁有良好的防范效果。最后的智能限速則可以針對大流量正常行為進行限制和控制保證服務器的可用性。

華為Anti-DDoS七層防御模型

提供眾多防護算法的同時，華為清洗引擎可以有效降低對正常流量的誤判和錯判，避免了一些傳統防護設備存在的影響客戶業務，干擾正常訪問等問題。

為了能夠提供一個更加安全可靠的網絡，一種專業的DDoS防護設備變得極為必要。它必須要能夠防范大規模的DDoS攻擊，同時保護正常業務的訪問，要能夠應對不斷變化的DDoS攻擊形式，保證網絡服務的高可用性。