云安全：利用网格云对抗应用层DDoS

　　应用层的DDoS(拒绝服务攻击)威胁对于数据中心运营商来说是更加的危险。因为IPS设备和防火墙的状态检测设计遇到这种新的攻击手法会大量增加的状态要求会变得更加脆弱，使得设备本身更容易被攻击。此外，现行基于边界网络的防护措施如果想要利用云计算来解决DDoS攻击，利用服务提供商的DDoS基础设施或布署在受害者基础设施上游的专用DDoS攻击防护措施，都还有段很大的差距。

　　现行的解决方案无法好好利用在网络上散布的运算能力，也无法协调上游设备在流量饱和前将它偏转掉。没有一个现成的解决方案可以同时运作在边界网络和云端中。

　　来看看这篇从infosecurity-magazine.com上的文章，Arbor Networks的产品主管 - Rakesh Shah谈论今日的DDoS攻击，这篇发表在Cloud Security Alliance的文章的确值得一读。

　　我从Arbor成立时就开始注意他们了，当我还在Exodus Communications的时侯，他们的原始创办人曾经来找过我，看看我们是否可以资助他们。当时，我很怀疑他们是否可以从网络上拿到足够的资料来做他们计划中的事情。不过，我错了。时代改变了。

　　Rakesh的这段话中有两个重点。首先是过早的针对网站和DNS服务器的DDoS技术已经...老了。它们依然有用，但是网络供应商对于如何防阻他们已经做得越来越好。

　　当我还在Speedera Networks时，在Akamai收购我们之前，我们只被DDoS攻击成功过一次，那次是我们的DNS服务器受到攻击。我们难过地告诉客户我们遭受攻击而无法维持住他们的网络流量。那个客户转移到了Akamai，结果在第二天又被同个DDoS攻击成功，而这间记录非常良好的公司就只有被DDoS攻击成功过一次，因为他们有非常好的分布式架构。今天你就没再听过类似的故事了。

　　攻击HTTP的DDoS不会消失，但我们已经越来越知道如何处理它们了。现在，都是应用层的DDoS攻击了，它可以不停的耗掉后端的服务器，终究用完所有的云计算额度，结果受害者只能出选择花钱将云计算额度加大，或是就让应用服务关闭。

　　以用量为基础的计价方式并不总是好的，尤其是这些用量都是DDoS造成时！

　　Rakesh所提出来的第二个有趣的观点是，DDoS攻击防护方案并没有用到网络上散布的运算能力。所以能够解决DDoS攻击的终极方案就是使用网格云。如果有解决方案可以用上网络巨量的运算能力，那么应用层DDoS攻击就会失败。

　　毕竟，利用僵尸网络/傀儡网络 Botnet来进行DDoS攻击本身就是种网格云，有些僵尸网络能运用的总和运算能力连Google或其他云端供应商的集中式数据中心都相形见拙。

　　利用网格云来对抗使用网格云推动的DDoS攻击不仅聪明，还很经典。我期待可以看到一个真正的解决方案实现出来。