阿里巴巴集團(tuán)是全球領(lǐng)先的電子商務(wù)公司，旗下有25個(gè)事業(yè)部9個(gè)子公司，業(yè)務(wù)涉及第三方支付、網(wǎng)絡(luò)交易、云計(jì)算平臺(tái)等眾多領(lǐng)域。據(jù)阿里巴巴統(tǒng)計(jì)數(shù)據(jù)顯示，2012年，其電子商務(wù)與支付平臺(tái)平均每天處理2400萬(wàn)筆交易，年處理交易額超過(guò)10000億元，是eBay和亞馬遜全年交易額之和。特別是2013年11月11日（“雙11”網(wǎng)絡(luò)購(gòu)物節(jié)），阿里巴巴網(wǎng)上交易額超過(guò)350億元，交易超過(guò)1.88億筆，其中1/4來(lái)自移動(dòng)終端，該交易額是美國(guó)“黑色星期五”線上交易的4倍多，創(chuàng)造了阿里巴巴網(wǎng)絡(luò)交易新紀(jì)錄。除了阿里巴巴集團(tuán)傳統(tǒng)的淘寶、天貓、支付寶等關(guān)鍵在線業(yè)務(wù)交易系統(tǒng)外，阿里巴巴也對(duì)外提供云計(jì)算業(yè)務(wù)。截至2013年11月，阿里云計(jì)算平臺(tái)已為超過(guò)10萬(wàn)個(gè)業(yè)務(wù)系統(tǒng)提供服務(wù)，覆蓋互聯(lián)網(wǎng)上常見(jiàn)的所有業(yè)務(wù)類型。如此巨大的業(yè)務(wù)量，對(duì)阿里巴巴平臺(tái)的性能和可靠性提出了巨大挑戰(zhàn)，平臺(tái)的穩(wěn)定性和安全性變得尤為突出。
責(zé)任重大，選擇條件苛刻
阿里巴巴每天遭受上億次的惡意入侵與網(wǎng)絡(luò)攻擊，其中DDoS攻擊往往會(huì)造成網(wǎng)絡(luò)中斷、服務(wù)器癱瘓等嚴(yán)重后果，直接影響經(jīng)濟(jì)收益和品牌影響力，是對(duì)阿里巴巴業(yè)務(wù)危害最為嚴(yán)重的攻擊之一。一次精心策劃的黑客攻擊，往往都是由DDoS攻擊開(kāi)始，然后再伴隨著入侵、掛馬、數(shù)據(jù)竊取等深層次動(dòng)作；而一些瘋狂的黑客，甚至?xí)捎么罅髁緿DoS攻擊擁塞網(wǎng)絡(luò)與系統(tǒng)資源來(lái)達(dá)到攻擊目的。因此對(duì)于阿里巴巴來(lái)說(shuō)，選擇一個(gè)合適的DDoS防護(hù)方案非常重要，要求也是非常高的：
- 快速發(fā)現(xiàn)DDoS，并精準(zhǔn)防護(hù)
阿里巴巴客戶以中小企業(yè)、電商、游戲運(yùn)營(yíng)開(kāi)發(fā)者為主，全部業(yè)務(wù)是在線業(yè)務(wù)，對(duì)業(yè)務(wù)的連續(xù)性要求很高。因此，適合阿里巴巴的 DDoS防護(hù)方案必須能在眾多的訪問(wèn)中快速定位DDoS攻擊，并精準(zhǔn)防護(hù)，而且能夠根據(jù)不同的業(yè)務(wù)，提供差異化的防護(hù)策略。只有這樣，該系統(tǒng)才能為更多的客戶提供更安全的土壤，為阿里巴巴帶來(lái)更多的客戶資源。
- 高性能和彈性擴(kuò)展
在DDoS攻擊來(lái)臨時(shí)，阿里巴巴云計(jì)算服務(wù)面臨僵尸網(wǎng)絡(luò)的海量惡意請(qǐng)求，服務(wù)器疲于響應(yīng)，無(wú)法為正常用戶提供服務(wù)，甚至存在數(shù)據(jù)中心客戶業(yè)務(wù)中斷、云計(jì)算平臺(tái)癱瘓等風(fēng)險(xiǎn)。DDoS防護(hù)方案作為阿里云數(shù)據(jù)中心的大門(mén)守護(hù)神，必須將DDoS洪水阻擋在門(mén)外，同時(shí)更不能出現(xiàn)在DDoS防護(hù)時(shí)自身性能不足，成為阿里整個(gè)平臺(tái)的性能瓶頸，造成用戶訪問(wèn)時(shí)延增大，影響正常用戶使用的情況。此外，該方案還要能夠隨著阿里云計(jì)算平臺(tái)的擴(kuò)展彈性擴(kuò)展，滿足未來(lái)3～5年的業(yè)務(wù)發(fā)展需求。
- 快速部署，方便運(yùn)營(yíng)
阿里云計(jì)算平臺(tái)客戶業(yè)務(wù)已經(jīng)超過(guò)10萬(wàn)個(gè)，后續(xù)還會(huì)快速增長(zhǎng)，這些客戶的業(yè)務(wù)以社區(qū)網(wǎng)站、企業(yè)官網(wǎng)、電子商務(wù)網(wǎng)站、游戲等為主，業(yè)務(wù)流量規(guī)模相差懸殊，業(yè)務(wù)運(yùn)營(yíng)模式差異較大，因此，靈活的業(yè)務(wù)自助方式以及簡(jiǎn)單方便的使用維護(hù)，對(duì)DDoS的安全服務(wù)起著決定性作用。同時(shí)，能夠?qū)DoS安全防護(hù)無(wú)縫地適配到阿里云服務(wù)平臺(tái)，并對(duì)外提供，也是阿里巴巴對(duì)DDoS方案挑選的重要依據(jù)。
嚴(yán)格測(cè)試，表現(xiàn)不負(fù)所望
經(jīng)過(guò)苦苦尋覓和多輪篩選，最終華為的Anti-DDoS防護(hù)方案引起了阿里巴巴的濃厚興趣，并開(kāi)啟了漫長(zhǎng)的POC測(cè)試工作。阿里巴巴的DDoS安全防護(hù)團(tuán)隊(duì)將在現(xiàn)網(wǎng)上收集到的所有攻擊報(bào)文，在POC測(cè)試中，進(jìn)行了一一回放，華為Anti-DDoS方案均能成功防護(hù)。隨著測(cè)試的深入，基于租戶的防護(hù)策略、流量模型學(xué)習(xí)、詳細(xì)的報(bào)表功能，使得華為Anti-DDoS方案使用非常方便，阿里巴巴的安全專家完全不用華為工程師的幫忙就可以完成測(cè)試。
在測(cè)試過(guò)程中，阿里巴巴安全專家結(jié)合自身業(yè)務(wù)特點(diǎn)，模擬現(xiàn)網(wǎng)業(yè)務(wù)流量模型，在幾十G正常流量背景下，測(cè)試50Mbps的小流量攻擊，華為Anti-DDoS均能夠?qū)崿F(xiàn)2秒精準(zhǔn)識(shí)別；同時(shí)針對(duì)特定HTTP業(yè)務(wù)，采用應(yīng)用型慢速、慢鏈接的DDoS攻擊，華為Anti-DDoS方案能夠快速地自動(dòng)學(xué)習(xí)攻擊特征，進(jìn)行精準(zhǔn)防護(hù)；當(dāng)前通過(guò)移動(dòng)智能終端訪問(wèn)業(yè)務(wù)的流量越來(lái)越大，阿里在測(cè)試過(guò)程中，特意加強(qiáng)了對(duì)智能終端影響的測(cè)試用例，華為方案均能一一成功處理攻擊，并不影響終端用戶訪問(wèn)。
在功能測(cè)試完成之后，阿里巴巴安全專家還進(jìn)行了性能壓力測(cè)試，華為Anti-DDoS在配置2塊業(yè)務(wù)板卡的情況下成功防御了20Gbps的64字節(jié)的SYN Flood攻擊，應(yīng)用層攻擊防護(hù)性能更達(dá)到40Gbps，是業(yè)界同類廠商防護(hù)水平的2倍以上，而且隨著業(yè)務(wù)板卡的增加，這一性能可線性提升到200Gbps，令阿里巴巴參與測(cè)試的安全專家非常滿意。
“真金不怕火煉”。測(cè)試中恰逢阿里巴巴現(xiàn)網(wǎng)業(yè)務(wù)遭受一輪DDoS攻擊，阿里巴巴緊急將華為Anti-DDoS方案部署線上，對(duì)現(xiàn)網(wǎng)被攻擊服務(wù)器進(jìn)行防護(hù)，華為Anti-DDoS在2秒內(nèi)實(shí)現(xiàn)攻擊流量全部清洗，并且對(duì)正常用戶訪問(wèn)沒(méi)有絲毫影響，效果非常理想。阿里巴巴的安全專家都為此感到振奮，Anti-DDoS解決方案選型也至此畫(huà)上了圓滿的句號(hào)。自此以后，華為Anti-DDoS方案在阿里巴巴網(wǎng)絡(luò)上安全運(yùn)行。
歷經(jīng)考驗(yàn)，華為Anti-DDoS值得信賴
阿里巴巴現(xiàn)網(wǎng)多個(gè)數(shù)據(jù)中心出口都部署了華為的Anti-DDoS解決方案，平均每天防護(hù)的DDoS攻擊次數(shù)超過(guò)100次，每年達(dá)數(shù)萬(wàn)次，峰值防護(hù)的DDoS攻擊流量超過(guò)100Gbps。如今，DDoS攻擊在阿里巴巴安全工程師眼里已經(jīng)習(xí)以為常，由華為Anti-DDoS方案自動(dòng)調(diào)度進(jìn)行清洗防護(hù)即可。
哪怕是在2013年11月11日“雙11”網(wǎng)絡(luò)購(gòu)物節(jié)當(dāng)天，阿里巴巴安全團(tuán)隊(duì)成員仍然能夠鎮(zhèn)靜、從容。第二天報(bào)告顯示阿里巴巴當(dāng)天經(jīng)歷了多輪DDoS攻擊事件，峰值攻擊流量超過(guò)19Gbps，最小攻擊流量500Mbps，華為Anti-DDoS方案一如既往地成功防護(hù)了多輪DDoS攻擊事件，有力保障了阿里巴巴網(wǎng)絡(luò)交易的順暢平穩(wěn)，事實(shí)證明，華為Anti-DDoS是值得用戶信賴的DDoS防護(hù)方案。
