[發明專利]生成攻擊特征庫的方法、防范網絡攻擊的方法以及裝置

無效

• 申請號: 200810027990.2
• 申請日: 2008-05-09
• 公開（公告）號: CN101272254A
• 公開（公告）日: 2008-09-24
• 發明（設計）人: 李振海
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L29/06
• 代理公司: 廣州三環專利代理有限公司
• 代理人: 郝傳鑫;熊賢卿

1、一種生成攻擊特征庫的方法，其特征在于，包括：

將報文上送至主控CP的同時將所述報文緩存至待分析隊列；

當主控CP發生主備異常倒換時根據IPS規則庫判斷所述待分析隊列中緩存的上送報文是否含有攻擊特征，判斷為是時，提取所述報文的攻擊特征保存至攻擊特征庫。

2，如權利要求1所述的方法，其特征在于，所述待分析隊列是循環隊列。

3，如權利要求1所述的方法，其特征在于，所述提取所述報文的攻擊特征保存至攻擊特征庫之后包括：

為所述攻擊特征產生初始統計數據和老化間隔。

4，一種防范網絡攻擊的方法，其特征在于，包括：

根據攻擊特征庫判斷需上送至主控CP的報文中是否包含有所述攻擊特征庫中的攻擊特征，判斷為是時，根據所述攻擊特征對所述報文進行相應的防攻擊處理；當判斷否時，將所述報文上送至主控CP并緩存至待分析隊列。

5，如權利要求4所述的方法，其特征在于，在對所述含有攻擊特征的報文進行防攻擊處理的同時，還包括：

累計所述攻擊特征的現有攻擊次數；

6，如權利要求5所述的方法，其特征在于，當所述攻擊特征到達老化間隔時，判斷所述攻擊特征的現有攻擊次數與所述攻擊特征在所述攻擊特征庫中對應的初始統計數據是否一致，判斷為是時，從所述攻擊特征庫中刪除所述攻擊特征，釋放系統資源；判斷為否時，將所述攻擊特征的初始統計數據替換為所述現有攻擊次數并產生新的老化間隔。

7，如權利要求4所述的方法，其特征在于，還包括：

當主控CP發生主備異常倒換時根據IPS規則庫判斷所述待分析隊列中緩存的上送報文是含有攻擊特征，判斷為是時，提取所述報文的攻擊特征保存至攻擊特征庫。

8，如權利要求4-7中任一項所述的方法，其特征在于，所述攻擊特征類型具體為：五元組型、深度過濾型、限速型。

9，一種防范網絡攻擊的裝置，其特征在于，包括：

接收單元，用于接收需上送至主控CP的報文；

隊列單元，用于存儲所述接收單元接收到的所述需上送至主控CP的報文；

攻擊特征庫，用于存儲攻擊特征及對應所述攻擊特征的初始統計數據及老化間隔；

檢測單元，用于根據IPS規則庫判斷所述隊列單元中緩存的上送報文是否含有攻擊特征，判斷為是時，提取所述報文的攻擊特征保存至攻擊特征庫，和/或根據所述攻擊規則庫中存儲的攻擊規則判斷所述接收單元接收的報文是否含有攻擊特征，判斷為是時，根據攻擊特征對該攻擊報文進行相應的防攻擊處理當判斷否時，將所述報文上送至主控CP并緩存至所述隊列單元。

10，如權利要求9所述的防范網絡攻擊的裝置，其特征在于，所述檢測單元具體包括：

第一檢測單元，用于根據IPS庫中的規則檢測所述待分析的報文中是否含有攻擊特征，判斷為是時，提取所述報文的攻擊特征保存至攻擊特征庫；

第二檢測單元，用于根據所述攻擊特征庫中的攻擊特征檢測所述接收單元接收的報文是否含有攻擊特征，判斷為是時，根據所述攻擊特征對所述報文進行相應的防攻擊處理并進行現有攻擊次數的累計；當判斷否時，將所述報文上送至主控CP并緩存至所述隊列單元。

11，如權利要求9所述的防范網絡攻擊的裝置，其特征在于，還包括：

記錄單元，用于在所述攻擊特征庫接收所述第一檢測單元提交的攻擊特征時，為所述攻擊特征產生初始統計數據和老化間隔；

老化處理單元，當所述攻擊特征到達老化間隔時，判斷所述第二檢測單元中所述攻擊特征的現有攻擊次數與所述攻擊特征在所述攻擊特征庫中對應的初始統計數據是否一致，判斷為是時，從所述攻擊特征庫中刪除所述攻擊特征，釋放系統資源；判斷為否時，將通過所述記錄單元將所述攻擊特征的初如統計數據替換為所述攻擊特征的現有攻擊次數并為所述攻擊特征產生新的老化間隔。