Radware：5大关键因素助力企业选择DDoS缓解网络

DDoS 缓解服务 不仅仅只是 技术 或 服务保障 。底层网络的质量和适应能力才是企业防御系统中的关键组件，必须对其进行细致评估，以确定其能在多大程度上保护企业免受复杂 DDoS 攻击 的侵扰。

以下就是评估DDoS清洗网络时需要注意的5大关键因素。

超大容量

当涉及到大流量DDoS攻击防护时， 规模就很重要 。过去十年间，DDoS攻击的容量一直在稳步增长，每年都会达到新的攻击量(和规模)。

迄今为止，最大的DDoS攻击是针对GitHub的基于 memcached 的DDoS攻击。此次攻击的峰值达到了约1.3兆位/秒(Tbps)和1.26亿数据包/秒(PPS)。

为了抵御这一攻击，清洗网络不仅必须具备足够容量来‘覆盖’攻击，而且还必须拥有足够的溢出容量来容纳网络上的其他客户以及可能同时发生的其他攻击。最好是寻找至少具备高于迄今所观察到的最大攻击容量2-3倍的缓解网络。

专用容量

然而，仅仅拥有大容量还是不够的。 专用于 DDoS清洗的容量同样重要。许多安全提供商，尤其是那些采用‘边缘’安全方法的提供商，都是依靠内容分发网络(CDN)的容量来进行DDoS攻击缓解的。

然而问题是，按照惯例，多数容量已经被使用。CDN提供商也不愿意为未使用容量买单，因此CDN带宽利用率通常可以达到60-70%，且经常会达到80%或以上。因此，为大规模DDoS攻击带来的‘溢出’流量留下的空间就会很小。

因此，将重点放在那些容量专用于DDoS清洗并且可以与CDN、 WAF 、或 负载均衡 等服务隔离的网络上才是更明智的做法。

全球覆盖

企业部署DDoS缓解解决方案是为了确保服务的可用性。可用性的一个日益重要方面就是响应速度。也就是说，问题不仅仅只是 服务的可用性 ，还有 服务的响应速度有多快？

云端 DDoS 防护服务 将客户流量发送到服务提供商的清洗中心，清除恶意流量，然后将洁净流量转发到客户的服务器。因此，这一过程不可避免地增加了一定的用户数据传送延迟。

影响延迟的一个关键因素是与主机之间的距离。因此，为了将延迟降至最低，清洗中心必须尽可能地靠近用户。这只能通过遍布全球的网络来实现，该网络在战略通信中心部署了大量清洗中心，可以大规模访问高速光纤连接。

因此，在检查DDoS防护网络时，不仅要查看容量，还要查看清洗中心的数量及其分布情况。

任播路由

影响响应时间的一个关键因素就是网络本身的质量及其后端路由机制。为了确保实现最大速度和适应能力，现代安全网络必须是基于任播路由的。

基于任播的路由可以在IP地址和网络节点之间建立一对多的关系(即，多个网络节点具有相同的IP地址)。当请求发送到网络时，路由机制会根据最小成本路由原则确定哪个网络节点是最佳的目的地。

可以根据跳数、距离、延迟或路径成本考虑来选择路由路径。因此，来自任意给定点的流量通常会被发送到最近和最快的节点。

任播有助于提高网络中流量发送的速度和效率。基于任播路由的DDoS清洗网络也具备这些优势，从而为最终用户带来更快的响应和更低的延迟。

多重冗余

最后，在选择DDoS清洗网络时，备份也是很重要的。DDoS防护服务的全部意义就是确保服务的可用性。因此，企业不能让DDoS防护服务或其中的任何组件成为单个故障点。这就意味着安全网络中的每个组件都必须拥有多个冗余备份。

这不仅包括多个清洗中心和溢出容量，而且需要多个冗余的ISP链路、路由器、交换机、负载均衡器、缓解设备等。

所有组件都具备多重冗余的网络才可以随时确保完全的服务可用性，并确保企业的DDoS缓解服务不会成为企业的单个故障点。

提出质疑

除了技术和服务，底层网络也是 云安全网络 的重要组成部分。以上五个因素概括了企业应该通过哪些重要指标来评估提供潜在DDoS防护服务的网络。

向企业的服务提供商或任何正在评估的服务提供商询问其每个指标的相关能力，如果对他们的答案不满意，那么企业就应该考虑寻找替代方案了。