雖然愈來愈多的企業(yè)已意想到，在進行收集安然打算的時辰，針對DDoS報復打擊威脅的防備辦法應當優(yōu)先考慮，可是仍然有良多人弊端地覺得防火墻和進侵防御系統(tǒng)(IPS)等傳統(tǒng)安然東西可以完全應對DDoS報復打擊。Radware專家警告這部門企業(yè)千萬不克不及掉落以輕心，完全依托防火墻和IPS來防備愈演愈烈的DDoS報復打擊。
在過往的2012年,產(chǎn)生了良多起DoS和DDoS報復打擊事務，Radware告急響應團隊(ERT)于2013年年初發(fā)布的一份年度安然陳述具體描述了這些報復打擊事務，并且在陳述中指出，在33%的DoS和DDoS報復打擊事務中，防火墻和IPS設備變成了首要的瓶頸設備。
為何防火墻與IPS不克不及有效應對DDoS報復打擊？
謎底很簡單，防火墻與IPS最初其實不是為了應對DDoS報復打擊而設計的。防火墻和IPS的設計目標是檢測并禁止單一實體在某個時候倡議的進侵行動，而非為了探測那些被百萬次發(fā)送的貌似合法數(shù)據(jù)包的組合行動。為了更好申明這一不雅點，接下來的申明可以詮釋防火墻和IPS在有效禁止DDoS報復打擊時的各種缺點。
防火墻和IPS是狀況監(jiān)測設備
作為狀況監(jiān)測設備，防火墻和IPS可以跟蹤查抄所有連接，并將其存儲在連接表里。每個數(shù)據(jù)包都與連接表相匹配，以確認該數(shù)據(jù)包是經(jīng)由過程已成立的合法連接進行傳輸?shù)摹?/P>
一個典型的連接表可以存儲不計其數(shù)個勾當連接，足以知足正常的收集拜候勾當?？墒牵珼DoS報復打擊每秒可能會發(fā)送數(shù)千個數(shù)據(jù)包。作為企業(yè)收集中措置流量的窗口設備，防火墻或IPS將會在連接表中為每個歹意數(shù)據(jù)包成立一個新連接表項，這會導致連接表空間被快速耗盡。一旦連接表達到其最大年夜容量，就不再承諾打開新的連接，最終會禁止合法用戶成立連接。
專用的DDoS報復打擊減緩設備利用的是一種無狀況呵護機制，它可以措置數(shù)百萬個連接測驗測驗，無需連接表項的介入，也不會導致其它系統(tǒng)資本的耗盡。
防火墻和IPS不克不及辨別歹意用戶和合法用戶
諸如HTTP洪水等諸多DDoS報復打擊是由數(shù)百萬個合法會話構成的。每個會話本身都是合法的，防火墻和IPS沒法將其標識表記標幟為威脅。這主如果因為防火墻和IPS不具有對數(shù)百萬并發(fā)會話的行動進行周全不雅察與闡發(fā)的能力，只能對單個會話進行檢測，這就減弱了防火墻或IPS對由數(shù)百萬個合法要求構成的報復打擊的辨認能力。
防火墻和IPS在收集中的擺設位置不合適
避免DDoS報復打擊的設備必需位于收集安然防備的最火線，可是防火墻和IPS擺設在接近被呵護辦事器的位置，其實不是作為第一道防地利用，這將導致DDoS報復打擊成功進侵數(shù)據(jù)中間。專用DDoS報復打擊減緩設備凡是擺設在接進路由之前，如許可以包管盡早檢測到報復打擊。
毫無疑問，日趨泛濫的DoS及DDoS報復打擊和報復打擊趨勢的復雜化已從底子上改變了當前的安然環(huán)境。企業(yè)急需當令調劑本身的安然架構以有效應對不竭增多的DoS報復打擊，同時所擺設的安然東西也必需不竭進級更新與時俱進。雖然防火墻和IPS在呵護收集安然方面仍然闡揚著首要的感化，可是當前復雜的報復打擊威脅亟需一個周全的收集安然解決方案，在呵護收集層和利用層的同時，可以或許有效地辨別合法流量與不法流量，以包管企業(yè)收集和營業(yè)的正常運行。