腾讯云周斌：锤子发布会被DDos攻击，我们是这样抗住的_砍柴网

首页 > 科技快报 > 互联网 >

腾讯云周斌：锤子发布会被DDos攻击，我们是这样抗住的

2015-09-24 14:46

9月18日，针对目前备受关注的互联网云安全问题，“腾讯云会客厅∙技术专家面对面”首次活动在京举办。腾讯云安全总监周斌携技术专家团队，与到场朋友一起共话云时代的安全问题。
如下为周斌先生本次技术分享的部分精彩内容。请您欣赏。
这是一个最好的时代、也是一个糟糕的时代
当下是一个什么样的时代?这个是我们看到的数据，这是一个最好的时代，中国的网民数和互联网普及率一直在上升。根据这个数据，2010年到2015年整个全球云市场也是在飞速的成长过程当中。

当下也是一个糟糕的时代，DDoS肆虐、黑产横行、阻碍互联网的发展。在2014年12月，某国外知名厂商遭受到了DDoS攻击，服务中断12个小时。今年上半年，国内发生流量超过100G以上的攻击次数有33起。

2015年7月，腾讯云防护的最大一次攻击的流量已经接近300G。这个流量是指“到达流量”，即从机房看到的实际收到的流量带宽。了解互联网黑产的同学，都知道一个名词，叫“打出流量”：
打出流量VS到达流量
这两个本身是有一个距离的。运营商骨干网在中间做了大量的清洗工作。在流量经过所在城市的城域网，上到骨干网，再到对端城市的城域网时，流量会丢失掉绝大部分。中间运营商的路由器和防护设备会把大部分的恶意流量都丢弃。
换句话说，你在互联网上买1个G的打出流量，实际上到达受攻击方的时候，可能就是100兆。也就是说90%都会在途中丢失。
所以，我们在2015年7月防护的这次攻击，攻击流量(到达流量)是297G，按照这种比例来算，攻击方打出的流量是一个非常非常恐怖的数字。所以说，从DDoS和黑产角度来看，这真的是个很糟糕的时代。
锤子科技抵御DDos攻击的全过程
锤子官网的原始访问架构很简单：用户通过浏览器直接访问到IDC机房的服务器上，但这也是标准的情况。锤子官网服务器所在的IDC，具备一定的DDoS防护能力，约几个G的级别。当天发布会，访问官网的流量很快冲到上限。在这里需要说明的是：
除非是海量服务的网站，正常情况下，一个普通网站业务的流量不太可能有几个G(大量图片和视频资源除外)。特别是对于官网而言，更加不可能。
这种情况出现以后，整个IDC机房的入口就被堵塞了，锤子科技官网已经无法正常服务了。锤子科技于是派人来对接大禹。

对接的过程很简单：在锤子官网域名的DNS配置里面加一条CNAME，将相应域名解析到大禹即可。
这是”大禹”令人欣赏之处：不管用户的实际机房是否在腾讯云，只需要把它的域名解析到大禹系统，就可以为他提供防护，能很方便地为非腾讯云的客户提供服务。
这个过程中使用到了DNS协议的CNAME功能。它会把用户流量的请求先路由到大禹的加速点，然后由大禹的加速点清洗、过滤，再吐回到原站。也就是说只要在域名解析的时候，把域名指向大禹系统即可，不需要将用户的服务器从自己机房搬迁到腾讯云机房。
这样设置后，客户端发送过来的数据(流量)，不管是攻击请求，还是正常请求，流量会先走到大禹系统的防护节点(这个节点内部叫做OC点)上做流量清洗。清洗完以后，把剩余流量回注到用户的IDC(本例中是锤子服务器)。
这种情况下，可能攻击过来的是10个G(打到了大禹所在机房)，但在经过清洗后，用户IDC仅接收到了500M的正常访问流量。
这样处理完后，用户IDC就可以正常提供服务。同时，对于大禹而言，每一个OC点上分担了只是10个G的几十分之一。
危情13分钟
当时的情况是，锤子科技的技术人员在发现了被DDoS攻击后，立刻把DNS解析到“大禹”系统。
而DNS的配置从配完到生效，需要一段时间，虽然从理论上来讲，可以修改到一秒、两秒，但实际上今天的中国环境做不到，最快的话，也是在分钟的级别：
因为DNS有一个root(一般在美国)，下面还有一个Local DNS，所有的用户生效要依赖于Local DNS都刷新生效。中国很多运营商在Local DNS缓存时间设置的不一样，所以如果要看到所有DNS全部更新，大概是在分钟的级别。
虽然单一的、个别地方也许有秒级。但是，国内如果所有的用户全部刷新，大概要几分钟才能完成。所以整个过程耗时13分钟，中间有一部分时间是花在Local DNS生效。这个是所有的厂商都无法控制的，因为Local DNS生效时间只有运营商才可以控制。
解读DDoS防护
DDoS在行业内有一个不成文的说法，所谓流量型攻击的防护，就是拼带宽。理论上来讲，防护带宽越大，就越能够为用户提供更强的防护能力。
腾讯之所以能够提供几个T的防护能力，是因为目前已经在全国各地部署了400多个防护节点，平均每个点可以提供10个G的防护能力，400个点，就能够提供4个T的防护能力，未来会更多。
而且这个架构有一个好处，他本身是一个平行扩展，这意味着今天投入了400个点，如果说真的攻击流量上来的话，可以很容易再投入进去100个点，变成5个T。
带宽就是成本，如果空闲带宽只是为DDoS服务，这会是一个巨大的成本。但是，因为腾讯有这么大的体量，已经布局了非常多的机房，因此有条件联合起来把空闲带宽做防护。
普通IDC能用作流量清洗的OC点么?
假设普通IDC有10G带宽，但肯定抗不了10G的攻击流量，为什么?
因为很多情况下，服务的可用性会被海量连接数给击溃，在机器网卡还没到峰值时，机器的CPU可能已经扛不住了。这时甚至可能只能扛到1个G(虽然带宽还有9个G)，这个点就已经宕掉。
但是大禹所有的OC点部署了一个流量检测的防御系统，外面都有三个防护中心，会检测攻击流量，做流量清洗。换句话说，在10个G的带宽之内，不会断掉，还可以提供服务，直到整个点流量被打满。
三个防护中心包括有：管理中心、攻击的清洗中心和攻击检测中心。通过三个中心之间的数据交换，来防护DDoS和CC攻击。
CC攻击
攻击者借助代理服务器生成指向受害主机的合法请求，实现DDOS和伪装就叫：CC，Challenge Collapsar，HTTP里针对应用型攻击的方式。
传统的DDoS攻击，主要是通过大流量发起的攻击，比如说你的带宽只有1个G，那拿100个G把你的机房带宽塞满。这样的话，你的网络就瘫痪了。
其实现在很多时候，黑产一般会采用CC来对付一个网站，怎么做?
去耗尽你的CPU资源，把你机器网卡的连接数全部挂满，这样即使你的带宽仍然有很多很多，只需要20兆的流量就可以把你打趴下。
这个是在DDoS之后的另外一个很大的威胁点。大禹现在这套系统对CC也是有一个很好的防御机制。

整个防御机制，从攻击检测到管理中心，然后再到整个攻击的清洗完成，可以在5秒钟之内完成。当一个海量的流量冲过来，会在5秒钟之内完成清洗。
为什么可以5秒钟完成流量清洗?
其实，很多时候攻击有两种情况：
一种是像洪峰一样，一浪一浪的方式，会以一个波浪型逐步上升的趋势。
这个比较好解决，设一个延迟反应时间就行了，是一分钟还是十分钟。
第二种是上来直接就是洪峰谷底的方式，这种方式如果防御系统反应太慢，很多云机房都响应不了了，很多IDC其实就是因为这种瞬时损失的峰值，把整个IDC的带宽全部撑满。
但是，因为在腾讯云上部署了这样DDoS的统一防护系统，所以可以在很短的时间之内响应秒级的事件时间，响应这种防护需求，从而保证服务正常。

我的分享就是这些，谢谢阅读。

共有评论0条

相关推荐
腾讯云旗下CODING平台宣布9月1日起取消标准版，免费用户可切换到CNB云原生构建
腾讯云：支持开发者将DeepSeek接入微信小程序，可实现智能对话、文本生成等
Pocketpair腾讯云合作开发游戏专属服务器 3秒即可建立
腾讯云回应网传“马化腾称阿里云不如腾讯云”言论：截图是假的
腾讯云推出一站式行业大模型精选商店
腾讯云数据库MySQL 8.0正式上线 事关游戏、网购等场景
腾讯云想要赶超阿里云，每笔订单都要展开竞争
腾讯云与南网电动共建联合创新实验室，加速智慧能源领域“新基建”落地
腾讯云：将增多个超大型数据中心集群，规划部署百万台服务器
腾讯云成立"星星海实验室"，研发服务器硬件产品
视频行业：腾讯视频爱奇艺两极格局凸显，B站搅局
腾讯云2019年Q3收入47亿元，同比增长80%
腾讯云与三家SaaS厂商达成战略合作 布局SaaS生态
腾讯云邱跃鹏：云是开源技术落地载体 腾讯坚定投入开源
腾讯云进入日本：国际营收增长至多5倍成今年目标
腾讯云5.2亿元中标长沙市城市超级大脑项目
华米与腾讯云战略合作 智能手表新增QQ、翻译等功能
腾讯云宣布全网服务器超100万台，为国内首家
科技晚报：华为海思今年有望超联发科 Google+今天正式关闭
甘肃银行与腾讯云战略合作 以智慧信贷切入打造智慧银行
阿里与腾讯的云上之争，谁能成为最后的赢家？
云计算迎来黄金十年，金山云如何开启双轮驱动的模式？
腾讯云详解服务器故障：光纤挖断所致150秒恢复
阿里云出现大规模故障 “多云”部署或成趋势
腾讯云启商学院正式启动招生 全球仅40席位
科技晚报：荣耀宣布品牌全新升级 特斯拉再次放出车主引荐计划
不谋而合的“云计划”，但时代的主题已不再是BAT的“三国杀”
科技晚报：盒马接管易果猫超运营权 亚马逊拟将货运飞机增至50架
云安全大变局：CDN的好戏才刚刚开始
腾讯云胡利明：构建智慧金融需要做好“加减乘除”法
腾讯云与MariaDB基金会签战略合作协议 共建开源生态圈
谷歌借道腾讯扩展中国云服务市场？腾讯云：正在核实
IDC发布2018公有云市场排名 互联网云厂商仍保持优势
腾讯云谢岳峰：合作伙伴是产业升级的“加速器”
邱跃鹏：互联网下半场 腾讯云要做信息能源发动机
投资基金退出母公司受累亏损，云市场迎来寒冬暗夜？
腾讯云+未来峰会安全论坛：智慧安全护航企业数字化转型
公有云的这五大定律决定未来：看看谁能跑得更远？
腾讯云重磅发布全新智慧零售产品 全维助力零售业数字化升级
腾讯云发布数据安全解决方案数盾，解决三大新痛点
腾讯云全面开放，联手千万开发者共建超级大脑
腾讯云与每日优鲜便利购深度合作 引领无人零售2.0时代发展
腾讯云+未来峰会互联网专场：腾讯云智能物联解决方案亮相
云+未来峰会发红包：腾讯云核心产品全线降价，最高降50%
触达用户、降低成本，企业如何站在云计算的肩膀上？
2018下半年TMT行业预测：危险的企业各有各的危险
边缘计算大战开打，会上演什么样的合纵连横大戏？
边缘计算大战开打，会上演什么样的合纵连横大戏？
全球云服务市场格局“分野”，这三个现象值得关注
云市场的两条迷茫路：融得越多亏得越多，不跟掉队跟进掉坑？
云市场的两条迷茫路：融得越多亏得越多，不跟掉队跟进掉坑？
科技晚报：蚂蚁小贷消费金融ABS今日获准发 LG拟放弃高端手机
亏损10亿成硬门槛，2018云市场可能会融不了资
亚马逊的跟随者京东，终于补齐了最后一块拼图
腾讯云和蔚来合作，要将汽车打造成移动会客厅
融资危机全面来临，CDN死亡名单要出炉？
公有云的巨头博弈 ：“两马”和雷军的云之战
腾讯云开放DevOps敏捷开发套件，助开发者驶入开发快车道
华为和腾讯因微信用户数据问题起争端！双方互不相让
风投击鼓传花厂商画饼充饥，CDN行业的泡沫何时破裂？
高性能云主机哪家强？阿里云胜出腾讯云一截
CDN领域陷入疯狂融资、低价抢市场的境地，以2C的打法做2B不可取
花钱买的CDN营收，真的能换来云计算未来吗？
腾讯云发布AI即服务，强调场景、数据和技术
腾讯云0.01元竞标厦门政务云，是去砸场子的么？
扰乱市场PK阿里云？腾讯云反超绝招难掩颓势
腾讯云发力服务生态，携手空桥助海内外用户平稳上云
腾讯云发布DI-X深度学习平台，AI布局全面提速
腾讯2016年财报：腾讯云全年同比增长逾两倍
一分钱中标：有权任性与有钱任性结合的使然及思考
1分钱投标厦门政务云 腾讯云葫芦里卖的是什么药？
腾讯云1分钱竞标厦门政务云，这是互联网思维下的一种创新吗？
从腾讯开放姿态看腾讯云的未来，卖身或是最好选择？
腾讯云、阿里云竞相占位工业互联网，这真是一笔好买卖？
富途证券携手腾讯云重登美国时代广场，领跑港美股互联网券商
“中国力量”渐成世界焦点 腾讯云加快海外布局
微信还能“喊红包”？ 腾讯云与央广联手玩出广播互动新花样
腾讯云腾讯地图助力2017年广东春运，提供精准大数据分析预测
微盟牵手腾讯云：稳敏兼备解决业务痛点
微盟CTO黄骏伟首次讲述SaaS业务迁移至腾讯云背后的故事
腾讯云升级小程序存储特性，突破小程序存储限制
揭开腾讯云“皇帝的新装”
中国云计算市场年终盘点：精彩依旧，未来可期
燃爆跨年夜，腾讯云成功支持超过15家跨年活动视频直播与互动
腾讯云CDN稳定背后的秘密
月月都似双十一，云计算巨头疯狂降价背后的三个逻辑
腾讯云培训认证体系正式开课，输出云计算稀缺人才
腾讯微云调整服务：普通用户网盘存储量1T变10G
腾讯云掌门人邱跃鹏首次批露与滴滴技术攻坚的七天七夜
大数据赋能，腾讯云助力智慧城市的交通建设
每月上亿流量攻击，58集团难道有金钟罩？
腾讯云携手合作伙伴雨诺股份，落地医药流通云解决方案
腾讯Q3财报：腾讯云服务收入同比增长逾两倍
腾讯云11.11：十分钟内完成弹性伸缩，流量清洗化解DDoS攻击
腾讯在2016 Sort Benchmark上 打破4项纪录，98.8秒完成100TB数据排序
又是电商备战11.11时，今年云保镖貌似很抢手？
一张图看懂腾讯云便宜了多少钱？
阿里云与腾讯云开启价格战，势不均怎力敌？
视吧靠何搅动直播江湖， 腾讯云助力直播平台爆发
腾讯“云+未来”峰会西安站召开，拓展技术创新边界
两张海报引发的时代畅想：腾讯云携手西安延伸云端丝绸之路
腾讯云推出智能语音服务，瞄准场景化应用
马化腾：云是“互联网+”第一要素的基础设施
2016腾讯“云+未来”峰会召开 共商云端生态未来
业务收入同比增长超100%，腾讯云成腾讯战略级业务
微众银行卢道和：基于人工智能的未来移动银行设计
邢宏宇：58同城＋腾讯云，构建高效的技术体系和内外部生态
十年磨一剑，腾讯云安全新品天御7大能力守卫业务安全
腾讯云未来5年投入100亿意欲何为？
连马化腾都“点赞”的腾讯云有什么神通？
连马化腾都“点赞”的腾讯云有什么神通？
腾讯云海外机房大让利，安全稳定性业内领先
腾讯云“云+计划”能否打造国内第一大云生态圈？
知名安全社区竟遭脱库！腾讯云安全专家谈如何避免
腾讯云斩获2014年度 “最佳游戏产业云服务商奖”
第三批可信云服务认证公布 腾讯云再获权威认可
图说：腾讯云为网址安全保驾护航
腾讯云客服骂人已成众矢之的 客户纷纷吐槽

<返回

<返回首页

Copyright CmsTop.com
2026年02月27日 22:37:22