北信源抗拒绝服务系统
立即咨询
首页
串联清洗
在线过滤流量
串联检测
只记录不清洗
旁路镜像
只读监测
三类洪水
流量/连接/应用层
⚠️行业痛点与挑战
🔍出口被打满全靠猜
出口带宽跑满时既看不出是攻击还是活动，也说不清攻击类型，只能先限速，正常用户跟着一起慢，事后复盘没有流量样本。
⏱️清洗一开就误杀
阈值按经验拍一个数，上线当天把秒杀和放号当攻击清洗掉，投诉比攻击还多，最后整台设备被停用，等于白买。
🧠加密流量看不出内容
全站上了 HTTPS，请求内容看不到，CC 攻击混在正常请求里，按包速率判断又会误伤登录与上传，调松调紧都不对。
🔗慢速连接拖死服务
攻击者用很低的速率长期占着连接，包速率不高，告警不响，连接表先满，新用户连不上，排查时只看到连接数异常。
📉攻击源定位不到
清洗后日志只剩设备自己的地址，应用侧风控看不到真实来源，封禁名单无从下手，同一个源第二天再来还是拦不住。
🚧串联成单点没人敢担
设备串在出口，一旦断电或进程挂死整网断外网，运维不敢开清洗，只能当监测设备用，出了问题责任也说不清。
🎯产品定位与核心价值
部署在互联网出口的流量清洗设备，可先检测后清洗，按业务峰值与活动日历设阈值，兼顾流量型与应用层攻击，三种接入方式同机可用。
💡权限可分级
DDoS流量清洗方案能力按角色与组织层级授权，出口大流量攻击防护系统的协作范围可控。
🔁集成有规范
对接DDoS流量清洗方案能力的接口遵循统一规范，出口大流量攻击防护系统的扩展不破坏既有链路。
🧷能力成体系
DDoS流量清洗方案与CC攻击防护方案并非孤立功能，出口大流量攻击防护系统所需的能力被成体系地提供。
⚙️核心能力详解
🧮三种接入方式
串联清洗、串联检测与旁路镜像同机支持，先观察再清洗不用换设备，活动期可退回检测模式。
🧱流量型攻击覆盖
对 SYN、ACK、ICMP 与 UDP 分片洪水按包速率与连接速率处置，畸形包直接丢弃并计数。
⚡应用层识别
按请求速率、会话特征与 URI 分布识别 CC 与 HTTP 洪水，对无会话的高频请求加校验。
📊慢速连接治理
按连接建立速率与空闲时长判定长连接慢速请求，对可疑会话限速而非直接断开，减少对上传的误伤。
🌐阈值按服务分设
挂号、支付、查询各配一套阈值，公共出口只做总量兜底，避免一条策略管全部服务。
🔧清洗报表与溯源
记录攻击类型、源段、峰值与处置动作，可回放攻击时段流量，用于复盘与向运营商申请近源清洗。
📐技术规格
| 产品名称 | 抗拒绝服务系统 |
| 所属厂商 | 北信源 |
| 产品分类 | 网络安全·DDoS流量清洗方案 |
| 核心能力 | 三种接入方式、流量型攻击覆盖、应用层识别 |
| 应用场景 | 政务外网出口清洗、医院门户先检测、校园网 CC 防护 |
| 部署前提 | DDoS流量清洗方案的运行环境需与网络安全场景的既有基础设施相匹配 |
| 能力颗粒度 | DDoS流量清洗方案可按出口大流量攻击防护系统场景的规模逐级启用，初期投入可控 |
| 协同机制 | CC攻击防护方案与DDoS流量清洗方案的接口在实施阶段一并确认，避免后续返工 |
| 运维归属 | DDoS流量清洗方案的日常运维责任可在实施阶段明确并交接 |
🏭典型应用场景
✈️政务外网出口清洗
网络科把清洗设备串在出口路由与核心之间，按工作日与节假日两套阈值切换，SYN 洪水超过基线先限速再丢弃，白名单来源直通。按出口可用性与业务投诉量衡量。
🚗医院门户先检测
信息科先以串联检测模式接入，不清洗只记日志，用一个月摸清挂号高峰的并发与来源分布，再按科室分服务设阈值，避免把放号当攻击。按误清洗次数与放号成功率衡量。
🔋校园网 CC 防护
选课与查分时段请求量骤增，运维按 URI 设频率上限，对无会话的请求加校验，学生在统一身份登录后直接放行，不额外弹验证。按选课时段的可用连接数与验证码弹出比例衡量。
🌊支付出口 DNS 防护
结算时段 DNS 查询量骤增，运维对递归查询设每秒上限，异常源段直接丢弃，权威解析走独立链路并单独留出口。按解析成功率与支付超时笔数衡量。解析失败的原因同步记录。
🏗️总部出口慢速攻击
总部出口出现长连接慢速请求，设备按连接建立速率与空闲时长判定，对可疑会话限速不断开，避免误伤大文件上传。按连接数回落与上传完成率衡量。
🚢机房租户旁路监测
机房以镜像方式接入，只监测不下发清洗，为租户出攻击报告并据此设计清洗方案，攻击过后按报告核对峰值与持续时长。按报告出具时效与租户确认数衡量。
🏆典型应用案例
📦
检测模式跑满一个月
先把设备串在链路上只记录不清洗，按业务峰值与来源分布出基线表，再逐条定各服务阈值；直接开清洗容易把秒杀与放号当攻击，投诉处理比攻击更耗人。收益按误清洗工单数与基线偏差核对。
🛫
阈值按服务分开设
把挂号、支付、查询拆成三条策略，各自设新建连接与请求速率上限，公共出口只做总量兜底；一套阈值管全部服务，紧的那条被业务骂，松的那条挡不住攻击。收益按各服务可用率与拦截量核对。
🏭
白名单先于规则
把合作方回调、监控探针与内容分发回源地址列成白名单，按周复核增删；白名单没建就上清洗，最先被打的是健康检查，业务会被判死并触发切换。收益按误拦条数与白名单变更次数核对。
📦
镜像流量定位源头
用镜像流量还原攻击源段与攻击类型，比对清洗设备的拦截记录，找出被误杀的正常来源，改完策略再回放同一段流量验证，确认前后差异。收益按误杀来源恢复数与回放一致率核对。
🔌接入方式
🖥️与出口路由引流
串联接入要改出口路由的下一跳，旁路引流靠策略路由把目标地址段指过来；改动前备份配置，回退脚本与变更窗口一并申请，别在白天动出口。这段改动要留变更窗口。
☁️与 DNS 和负载均衡
DNS 洪水防护要拿到查询日志，负载均衡侧要放行清洗设备的回源地址；两侧会话保持策略不一致时，清洗后会出现大量重新登录，用户以为系统坏了。登录态要能跨设备保持。
🤝与日志与态势平台
按 syslog 推送攻击事件与清洗量，字段含攻击类型、源段、峰值与处置动作；态势平台按这些字段做关联，字段缺失就只能看单点告警，拼不出全貌。字段定义要先出一份对照表。
🧩生态协同与能力底座
🧩运营商与机房
清洗能力常与运营商近源清洗配合，本地设备负责出口兜底，大流量时切到运营商；切换阈值与联系人要写进联合预案，临时找人对不上号。
🔗集成商与应急服务
出口改造由集成商做，攻击发生时的应急支撑多由安全服务团队承担；两家界面不清时，现场互相等日志，处置时间被一点点拖长。应急联系表要每半年更新。
🌱托管与云清洗
云上业务可用云厂商的清洗服务，本地设备做回源验证；混合架构要约定哪一侧出报告，否则攻击后没人说得清峰值与持续时长。别各出一份口径不同的报告。
🚀产品差异化特点
🌟三种接入方式并存
同一台设备可做串联清洗、串联检测与旁路镜像，先观察再清洗不用换设备；只有串联模式的设备，上线当天就得赌阈值，赌错就是事故。
🆚应用层与慢速攻击
除流量型洪水外，按请求速率与会话特征识别 CC、HTTP 洪水与长连接慢速请求；只做包速率统计的设备，识别不出慢速连接就只能靠限速硬扛。识别不出慢速连接就只能靠限速硬扛。
🧬清洗与检测可分离
检测模式只记日志不下发动作，适合活动期与试运行；强制清洗的设备在业务高峰没有退路，一旦误杀只能整台关掉，防护也跟着停。检测模式可以长期挂着不怕误杀。
✅最佳实践
📝
先摸出口真实带宽
设备容量按出口带宽与并发连接定，只看带宽不看连接数会低估；连接表打满后新连接直接被丢，表现与攻击一样，容易误判方向。连接数要按峰值留三成余量。
🔄
引流改动要走变更
策略路由与下一跳调整影响全出口，变更单、回退脚本与值班人三样齐全再动手；夜里改完没人盯，早高峰才发现不通，恢复要等厂商。变更单上要写回退到哪一版配置。
🎯
活动日历提前给
秒杀、放号、直播这类计划性高峰要提前告知，按日历调阈值；设备不知道业务节奏，只能按历史峰值判断，日历要提前一周录进设备。日历要提前一周录进设备。
📈
演练比参数重要
每季度做一次小流量攻击演练，验证告警、切换与清洗链路；只调参数不演练，真攻击时找不到谁下令切，也说不清切到哪一档。演练要覆盖双机切换与旁路开关两种。
🗺️企业落地路径
1️⃣
出口测绘与选型
测出口带宽、并发连接与业务峰值，确认可串接位置与镜像口，定设备规格与接入方式，产出拓扑与割接方案。同时标出回退联系人与割接窗口。
2️⃣
旁路监测建基线
镜像接入运行两到四周，统计流量模型、来源分布与攻击类型，形成阈值建议表与白名单初稿，交网络科确认。基线表要留攻击时段的样本。
3️⃣
串联检测灰度
切到串联检测，不清洗只告警，核对误报与链路时延，选定首批开清洗的服务清单，约定回退条件。灰度期只开一条业务线。灰度只挑一条业务线。
4️⃣
清洗上线与演练
按服务开清洗，配双机与旁路开关，完成一次攻击演练，交接值班表、预案与运营商联系人，明确切换口令。演练后按记录修订阈值表。
💬常见问题 FAQ
串联清洗会不会成为单点？
会，所以一般配双机与旁路开关，主设备故障时链路直通；上线前要演练断电与进程挂死两种场景，只测正常切换不够，值班人要知道切换后怎么看。
清洗阈值怎么定才不误杀？
按各服务近三十天的峰值乘一点二起步，再对秒杀、放号这类计划性高峰单独设日历；阈值定死不做日历，活动当天一定出问题，事后还要重定。
旁路模式能阻断攻击吗？
不能，旁路只做镜像监测与日志，不下发清洗命令；要阻断必须串到链路里或做引流，旁路适合先摸清攻击形态，再决定串接方案。要阻断就得接受引流改造。
加密流量的 CC 怎么识别？
看不到请求内容，只能按连接速率、请求间隔与响应大小分布判断，准确度低于明文；有条件时在负载均衡侧解密后再镜像一份给设备。别只按包速率下结论。
清洗后怎么保留真实来源？
设备把源地址写进转发头，后端按该字段取客户端地址；应用没适配时会看到清洗设备的地址，访问日志与风控同时失真，封禁也会封错。应用侧要按该字段改取值。
和防火墙、入侵防御怎么分工？
防火墙管访问控制与连接状态，入侵防御看报文特征，清洗设备看流量模型与速率；三台串在一起要排好顺序，否则时延层层叠加，登录会明显变慢。
慢速攻击算在防护范围吗？
按连接建立速率与空闲时长能识别，但阈值设太低会误伤大文件上传与长轮询；建议对上传目录单独放行并单独记录，别和网页请求共用一条策略。
攻击过去后还要留设备吗？
建议留在链路上做检测，攻击有复盘价值，也能为下次调阈值留样本；拆掉后只能靠出口路由限速硬扛，连攻击类型都说不清。下次调阈值也没有参照。
📄信息来源与免责声明
本页面由云巴巴整理，围绕DDoS流量清洗方案产品能力编选，素材来源于北信源的公开产品介绍。
涉及出口大流量攻击防护系统的技术参数与功能范围以官方发布口径为准，页面内容不构成技术承诺。
云巴巴可协助抗拒绝服务系统的选型评估与接入规划，提供适配建议与实施资源对接。
产品推荐
LabWare的仪器集成解决方案以集成平台为核心组织，仪器侧支持直连、基于文件与驱动等多种接入方式，系统侧可对接CDS、MES与ERP等企业应用；自动采集的数据带审计跟踪，跨地域实验室按同一架构扩展，实施过程不需要另行采购中间件。
及刻客流易精准营销平台，整合线下客流分析系统、商圈客流分析系统与线下精准营销平台功能。可实时洞察门店及商圈客流数据，生成精准用户画像，助力商家制定靶向营销方案，提升客流转化效率，优化线下营销效果与商业运营决策。
数字化社区
视频
文章
