2020年上半年，国家推出加快新型基础设施建设(“新基建”)战略，“新基建”必将推动以数据中心为代表的信息基础设施飞速发展，而网络安全问题是数据中心运营中所面临的主要问题之一。

　　网络攻击的防范能力是衡量数据中心运维服务水准的重要标志之一，因此建立匹配的攻击安全防范服务平台是IDC企业在网络安全领域的重点、难点。建立并完善自有安全检测和流量清洗平台是各IDC需一直坚持努力的方向，数据中心企业结合自身网络现状并通过技术革新，建立基于云模式的安全检测和流量清洗平台，可以提供基于IP和域名的安全检测和清洗服务，同时也可将这种能力进行输出，形成不同层次的产品服务体系，覆盖不同规模的客户群体，为客户提供精细化的安全服务。

　　基于云模式的安全检测和流量清洗平台

　　流量清洗服务是提供给租用IDC服务的高防客户，针对DDoS攻击/DoS攻击的监控、告警和防护的一种网络安全服务。当流量被送到DDoS防护清洗中心时，通过流量清洗技术，将正常流量和恶意流量区分开，正常的流量则回注客户网站。保证高防客户网络的正常运行。对于典型的DDoS攻击响应，流量首先进入流量清洗中心，随后将此分类成基础架构攻击流量或者应用层攻击流量。之后还会进行进一步区分，主要通过向量和期待特征确定，通过采用DDoS中心的专属技术来处理实现。

　　安全检测和流量清洗平台应该是基于自身网络服务特点的基础网络应用平台，以实现基础流量数据收集和分析以及为网内异常流量提供清洗服务为目标的综合安全服务平台，该服务平台同时也为合规合法的IDC提供数据支持，并通过各种接口为客户提供相关的安全监测和清洗服务。

　　主要技术能力

　　安全检测和流量清洗平台要充分考虑IDC自身的业务和运维发展需要，主要技术指标和实现能力均要具备先进性和扩展性。

　　网络安全监测告警需要达到以下目标：预警速度要快(秒级)、敌情报告要准(分析)、覆盖面要广(全区域)、误报要少(准确)。目前，网络安全监测告警平台建立了全流量镜像分析平台，实现实时流量1:1分析，同时具备DPI的能力，可以分析网络层至应用层的流量情况，根据特征库提供异常流量分析检测能力，并提供秒级的阈值实时告警能力，且可提供邮件、短信、钉钉、微信公众号、APP等告警输出方式。

　　同时，清洗平台具备对网络层到应用层的攻击清洗能力，通过控制器可以调度全国的接入出口就近清洗，从而可以达到最大容量的实时清洗能力。

　　主要技术路线

　　安全检测和流量清洗平台在研发过程中充分应用了云技术，安全检测的计算、分析、存储均在云上，同时利用IDC网络出口的分布式资源，将清洗能力进行了分布式部署。

　　在流量分析和检测能力上使用DPDK以及DPI技术，综合利用x86架构的通用性，方便实现网络层的流量七元组(源IP地址、目的IP地址、协议号、源端口、目的端口、服务类型、接口索引)的分析检测，也实现了应用层的数据包检测。

　　清洗平台结构示意图如图1所示，平台可以借鉴SDN的技术，配合研发集中控制器，通过控制器的监控和调度全网分析和清洗能力，实现分布式流量分析，集中管理呈现，就近清洗调度，提升回源质量。

　　平台可以部署智能DNS的应用，使用anycast(任播)技术调度系统，借助智能域名调度能力实现流量调度能力的提升。

　　图1 清洗平台结构示意图

　　平台的难点和创新

　　数据中心安全检测和流量清洗平台的难点主要集中在流量的应用层分析和对于各类异常流量特征的辨析。

　　同时，为了解决清洗能力和实时监控的调度管理问题，平台可以借鉴软件定义(SDx)的技术，使用软件定义的概念，利用控制器，集中控制和调度分发，充分利用IDC的出口分布资源和云平台分析资源池资源，提高整体资源的利用率和服务的效率。

　　BGP(边界网关协议)清洗调用示意图如图2所示，清洗平台可提供相应的清洗能力，核心层部署流量分析设备进行全网流量监控，实现业务安全;出口部署检测清洗设备，保障管道和清洗业务顺利展开;通过控制器调度，清洗设备与核心路由器的配合，实现被保护流量的牵引回注操作，以达到清洗异常流量同时保证正常业务流量的效果。

　　图2 BGP清洗调用示意图

　　此外，高防IP清洗资源池建设方案具备以下五大特性：一是高性能，充分利用分布式出口带宽，清洗能力可应对大部分攻击;二是高效性，对流量攻击监控、报警、处理迅速，秒级检测、秒级防护;三是高智能，精准防护，可防护网络层及应用层多种DDoS攻击类型;四是高扩展性，DNS智能调度系统，可扩展性高，可为网站性能无缝升级;五是高可靠性，云上节点部署，分布式就近清洗，保障数据源安全和系统稳定可靠。

　　安全检测和流量清洗平台发展与完善

　　安全检测和流量清洗平台需要实现全网出口流量全镜像分析，实现全网DPI能力，针对于网络安全的热点能力进行专项研发(例如非法跨境VPN的分析解析等);实现异常攻击检测预警能力达到秒级，实现攻击流量分析溯源;实现清洗能力的提升，可以实现分布式调度，近源清洗;提供按需安全分析预测、攻击分析报告、流量分析报告等各类安全数据相关支持。

　　如图3所示，相比于传统的安全检测和流量清洗平台，云安全检测和流量清洗平台有强大、精准、灵活、简单等4个目标。

　　图3 总体清洗平台远景目标

　　目前该项目已经完成实际IDC全区域部署，并已经为上百家客户提供安全监测和清洗服务，遍布金融、教育、电商、政企等多个行业，应用策略示例如图4所示。

　　图4 应用策略示例

　　作为网络安全服务的一部分，安全检测和流量清洗为IDC客户提供了一个技术支撑平台，通过这个平台，可以充分了解客户的网络安全需求，同时也能识别网络中存在的各种安全风险，并对安全风险进行相应的判别和解析。同时，结合客户的实际抗网络攻击需求，为客户提供了多种类型，不同规格的抗攻击产品，解决了不同体量客户的网络安全痛点和难点，带来了良好的经济效益，成为企业发展中的技术创新亮点，提高了企业产品的附加值;该平台目前已经为不同行业的客户提供了服务，成为网络产品的一个技术创新点和收入增长点。

　　同时，该平台研发初期就进行了很好的架构设计，采用微服务架构，持续开发，持续迭代;功能模块化设计，丰富的南北向接口;使用了主流开发语言，充分满足各种开发语言的标准;这些都为平台的移植和推广带来了更好的便捷性和适应性，可以在有安全需求的企业内进行复制，具备良好的推广前景。

　　责任编辑：张华