在第十一届中国IDC产业年度仪式上，中国电信网络安全运营中心产品营销总监刘长波针对“举全网之力护网络安全”的主题，精彩的演讲。

DDoS攻击状态分析

互联网环境充满了安全隐患，面对DDoS攻击有三种人，第一人称受到攻击，第二人称不被攻击，第三人称不被攻击。

从中国电信模拟DDoS攻击的地图，从四面八方同时攻击一个商人的交通流。事实上，不仅对客户，而且对电信运营商都有很大的影响。

2016年10月，DDoS攻击流量达到历史最高点，超过40000 t，网络恶意攻击流量显著增长。

在高峰期，80%的攻击都低于40克。尽管IDC社区带宽比单一客户大得多，带宽可以吃了一定数量的交通。然而，由于任何带宽利用率不到100%，从理论上讲，一个40G的流量攻击会导致网络的破坏。

数据显示，超过100万次攻击，每天35次，比上一次统计周期高4-5倍，这意味着攻击越来越频繁。最大的攻击流量，超过800g，发生在家里。

分布式拒绝服务的分布与经济发展密切相关，整个沿海省份是一个高发区。根据第三方数据，2015年度，DDoS攻击行业在新闻媒体中排名第一，互联网金融位居第二，政府、企业和游戏位居前10。

有DDoS攻击的原因很多，而在中国大陆，互联网行业是非法的和灰色的不正当竞争也是互联网安全问题频繁发生的原因。DDoS攻击的成本是非常低的，这是完全不成比例的保护成本相比，这增加了攻击的风险。

其危害是显而易见的，企业很难自主品牌，品牌在关键时期受到攻击，品牌效益损失不可估量。更严重的情况是，业务充满了阻力，对单个用户的攻击导致共享导出带宽被完全阻塞。一个攻击点，整个点被封锁，影响整个企业业务的连续性。

DDoS攻击防护

DDoS攻击保护最常用的方法是阻断攻击流，但效果不理想。一旦接入电路完全堵塞，网络塞满无用的数据包，试图阻止路上的交通是没有用的。

根据电信自身的经验，柳传志总结了DDoS攻击防护的四个前提条件。

第一。带宽，高带宽是最有效的DDoS攻击防护措施，而不是其中之一。必须有足够的带宽来吸收来自DDoS攻击的所有流量，并为下一次清理行动打下基础。

第二。防护设备，必须有专业的、规则的和相对完整的清洗设备，才能达到最佳的清洗效果。

第三。专业的团队。

第四。完整的响应机制必须有一个非常完整的响应机制，否则我们不能对攻击做任何事情。

例如，电信的云堤产品有两种主要的DDoS攻击方法，第一种是流量抑制。将云堤的流动压力分为三个方向。第一个方向来自于国外，二来自家庭，和第三个从中国电信业的三省市内部网络。

第二种处理方法是流动清洗。云堤的流量越大，客户的安全系数越高。清洗开始后，云堤将流量从一个省或一些方向附近的机房清洁然后回到客户通过中国电信骨干。

中国电信的清洗中心部署26明确的节点遍布全国各地，交通的1200克。目前，电信已经部署在香港，欧洲，美国，和云计算能力接近2000G，覆盖整个世界。

目前，电信正在尝试一种新的安全措施，高云银行也进入了试验阶段，在中国电信IDC 31省部署使用，提供高质量的电信一个靠近高IDC流量，然后回到客户。来自所有中国电信的能力已浓缩为个人客户提供攻击防护。

DNS

DNS保护也是电信未来的重要布局。传统域名急诊痛点有两个，一个是发现晚，一个是缓慢恢复。

云堤为DNS安全提供两项服务。首先是监测服务，其中包括三家运营商在中国电信31个省份检查用户的DNS被篡改实时。第二个是域名快速更正服务，它确保客户端的权威DNS快速变化，并与中国电信缓存DNS同步。

它有四个特点：

第一：主被动监测。

第二：自动API接口，确保实时性能。

第三：无论是自助服务系统和微信服务号可以提供一致的服务。

第四：有效时间。

论中国速度带来的差异化竞争