规格 | 标准1U专用千兆硬件平台 |
标配网口数量 | 6*GE电口 |
性能 | 设备清洗能力≥500Mbps |
通道组数量≥1 |
小包防御能力pps@64bytes≥74万/pps |
主机防护数量≥10-30万/个 |
新建连接数≥15万/S |
并发连接数≥500万 |
防护能力 | 规格描述 |
抗攻击功能 | 采用自主知识产权的抗拒绝服务攻击算法，包括流量触发技术、协议分析技术、主机识别技术、连接跟踪技术、端口防护技术等，实现对SYN Flood，UDP Flood，ICMP Flood，IGMP Flood，Fragment Flood，HTTP Proxy Flood，CC Proxy Flood，Connection Exhausted等各种常见的攻击行为均可有效识别，并通过集成的机制实时对这些攻击流量进行处理及阻断，保护服务主机免于攻击所造成的损失。 |
防护模式要求 | 对于同类DDOS攻击流量，根据部署情况和防护需求能够进行不同防护模式的切换，如对SYN flood攻击的保护，可以灵活选择重传防护机制或100%真实源探测防护机制。需提供设备截图 |
通用报文过滤 | 除了提供专业的DOS/DDOS攻击检测及防护外，还应该提供面向报文的通用规则匹配功能，可设置的域包括地址、端口、标志位，关键字等，极大的提高了通用性及防护力度。 |
应用层协议防护 | 支持对应用层协议高级防护（如：FTP,SMTP,POP3,HTTP等)，并且能够通过自定义协议类型防护特定应用层协议（如网游、语音、即时通讯相关协议等），系统应具有常用应用层协议（如HTTP、FTP、GAME、DNS等）防护模块 |
特定服务防护 | 抗拒绝服务系统内置的各种服务器插件（如针对游戏、DNS服务器、邮件服务器、web服务器等）并经过分析被保护主机服务特点，配置不同参数进行防护；利用连接跟踪、TCP重传机制、SYN分级保护机制实现对连接型FLOOD的防护；支持协议自定义防护功能；支持插件定制功能。 需提供设备截图。 |
CC类的全连接攻击 | 通过内置插件、协议自定义、黑名单管理及灵活的规则设置，对CC类的各种代理ip型攻击、僵尸网络攻击具备良好的防御效果。 |
流量分析监测 | 通过曲线,图表条，可以实时的看到当前网络的流量,数据包、拦截的数据包、累计流量等信息；除了对设备本身的入口流量进行实施监控外，还需要能够实时显示网络中被保护主机的进出流量，这样可以准确的了解到每个主机当前的网络流量情况，更准确的进行配置调整，实现更好的防护效果。 |
防护算法和功能 | 无防护IP数量限制；
可选择是否使用状态检测方式，进而可提高通讯效率和性能；
为提高防护性能和针对未来DDoS攻击的变形，采用智能识别和指纹识别技术，不需要特征匹配方式，不需要基于特定规则，针对末知攻击无需进行手工进行规则匹配就可进行防护 |
在串联部署中，设备支持网络隐身，业务流量处理和设备管理功能分离。抗DDoS工作端口不设置IP，提高自身安全性。 |
特殊的WEB防护模块，可设置有攻击时自动启用，无攻击时自动取消。 |
自定义功能 | 支持协议定义，可针对不同的服务类型编写协议定义，自行定制防护策略 |
支持域名黑白名单功能 |
可以通过设置忽略国外IP访问 |
需求定制 | 全局防护功能可根据用户需求进行模块化定制和选择。 |
防护特性 | 主机识别：可自动识别其保护的各个主机及其地址。实现某台主机受到攻击不会影响其它主机的正常服务。 |
流量控制 | 主要是针对攻击流量限制：
紧急触发状态： 针对攻击频率较高的攻击防护模式，此模式将更为严格过滤攻击；
简单过滤流量限制 ：是针对某些显见的攻击报文做的一种过滤模式，目前可以过滤内容完全相同的报文，及使用真实地址进行攻击的报文；
忽略主机流量限制 ：用于限制忽略主机的流量，当某个忽略主机的流量超过设置值，超过的流量将被丢弃；
伪造源流量限制 ：用于限制内网攻击。当某数据包的原 MAC 地址不同于系统记录到的 MAC 地址，该数据包将被认为是伪造源流量，超过设置值的伪造源流量将被丢弃。 |
端口防护 | 建立在连接跟踪模块上的端口防护体制，针对不同的端口应用，提供不同的防护手段，使得运行在同一服务器上的不同服务，都可以受到完善的DOS/DDOS攻击保护。 |
连接控制 | 根据攻击的流量和连接数阀值来设置触发防护选项，连接数阀值可以根据不同情况来灵活控制。 |
连接跟踪能力 | 每个进出的连接，会根据其源地址进行分类，并显示给用户，方便用户对受保护主机状态的监控。同时还提供连接超时，重置连接等辅助功能，弥补了TCP协议本身的不足，使您的服务器在攻击中游刃有余 |
包过滤 | 数据包规则过滤(可对端口和TCP SYN,FIN,PSH,ACK等标志位过滤)
数据包内容细致过滤(数据包内关键字过滤,支持明文和十六进制) |
提供基于多种对象的访问控制规则，以及根据业务类型制定分组策略 |
可对单个IP与服务器的连接数进行限制，对连接进行严格的时间控制，同时可以清除服务器上的残余连接 |
支持面向报文的通用规则匹配功能，可设置的域包括地址、端口、标志位，关键字等，极大的提高了通用性及防护力度。同时，内置了若干预定义规则，涉及局域网防护、漏洞检测等多项功能，易于使用。 |
设备监控 | 显示当前活动TCP连接状态 |
全局及单IP流量统计 |
全局及单IP报文统计 |
关键端口流量统计 |
报警事件统计 |
可以详细的看到每一个正常的连接和攻击的连接所有信息，并且可以组合查找排序每个连接，通过这个功能专业人员可以发现已知和未知的异常的攻击 |
除了可以通过管理界面了解设备监控信息，还提供集中监控软件，可以实现多台集中监控，满足大型系统和集群系统的管理需求。 |
设备监控 | 显示当前活动TCP连接状态 |
全局及单IP流量统计 |
全局及单IP报文统计 |
关键端口流量统计 |
报警事件统计 |
可以详细的看到每一个正常的连接和攻击的连接所有信息，并且可以组合查找排序每个连接，通过这个功能专业人员可以发现已知和未知的异常的攻击 |
除了可以通过管理界面了解设备监控信息，还提供集中监控软件，可以实现多台集中监控，满足大型系统和集群系统的管理需求。 |
自动取证 | 支持主机受攻击时,自动捕获数据包的功能，方便网络管理人员监控、取证；
也可依据自行设置的条件启动抓包任务，针对DDoS攻击，获取符合抓包条件的网络数据包，为电子取证提供依据。 |
协议 | 具体描述 |
链路层协议 | 支持802.1Q协议 |
网络层协议 | 支持TCP/IP协议的处理 |
支持3层回注，支持2层回注 |
支持VLAN、GRE、MPLS、MPLS-VPN回注 |
网络管理 | 支持WEB/SSH/CLI/SNMP的终端管理访问 |
支持SNMP网管软件管理 |
支持SYSLOG服务器日志保存 |
路由协议 | BGP |
OSPF |
部署方式 | 支持串联部署 |
支持旁路部署 |
单台设备可支持双链路接入部署模式 |
支持透明/路由接入模式 |
支持集群部署方式,可实现多路并行处理,提高防护的容量,满足大型网络应用需求 |
配置与管理 | 具体描述 |
终端服务 | 支持Console接口终端服务 |
支持SSH终端服务 |
系统管理 | 支持配置文件导入导出 |
支持多用户分权限管理，支持权限颗粒化开关，用户角色自定义 |
不使用License控制功能和性能 |
维护 | 具体描述 |
连接跟踪功能 | 每个进出的连接，设备都会根据其源地址进行分类，并显示给用户，方便用户对受保护主机状态的监控。同时还提供连接超时，重置连接等辅助功能，弥补了TCP协议本身的不足； |
系统诊断和调试功能 | 显示设备物理端口状态（接口流量、连接信息），显示系统CPU、内存信息，显示主机带宽（IN OUT）、频率（YN ACK UDP ICMP FRAG NonIP NewTCP NewUDP）、连接（SIN OUT UDP）信息，显示主机连接状态进可进行简单追踪，显示进出流量和过滤流量-方便分析流量是否正常 |
显示牵引路由表信息、显示牵引IP的历史记录、显示对端路由器IP的可达性、显示bgp状态信息 |
日志和报警 | 具体描述 |
日志管理 | 显示详细日志时间，并记录该时间内设备的状态及操作记录。“全部”记录到的所有日志信息；“关键”记录重启信息，接口UP、DOWN等信息；“保护”记录是否进入防护状态及相关防护信息；“普通”记录网络使用流量、CPU和内存，以及各项操作权限(登录、修改密码、修改保存下载配置等）所进行的操作记录。 |
日志分析 | 支持按主机、按时间、按攻击类型等分析、查询，支持日志分析内容输出下载 |
日志服务 | 支持Syslog日志服务器和专用管理器日志服务 |
支持通过邮件自动发送日志 |
报警 | 支持邮件通知、SNMP Trap、Syslog等报警方式，支持根据报警条件：总流量报警、总连接报警、单墙流量报警、单墙连接报警、主机流量报警、主机连接报警，支持攻击频率报警：SYN频率报警、ACK频率报警、UDP频率报警、ICMP频率报警、Frag频率报警、New-Tcp频率报警、New-UDP频率报警。 |
售后服务 | 具体描述 |
服务时间 | 7*24实时应急响应，24小时有专业工程师值班服务。 |
服务方式 | 电话、网络远程、上门服务等多种方式。 |
