[發明專利]網絡攻擊處理方法及處理裝置

有效

• 申請號: 200810096183.6
• 申請日: 2008-05-09
• 公開（公告）號: CN101282340A
• 公開（公告）日: 2008-10-08
• 發明（設計）人: 蔣武
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/56
• 代理公司: 北京集佳知識產權代理有限公司
• 代理人: 逯長明

1、一種網絡攻擊處理方法，其特征在于，包括：

確定被攻擊目標后，查找記錄的與所述被攻擊目標相關的攻擊事件，確定攻擊網絡中的受控主機；

根據所述受控主機查找記錄的與所述受控主機相關的控制事件，確定攻擊網絡中的控制主機；

將檢測出與多臺控制主機進行相同通信的主機確定為攻擊操控者。

2、根據權利要求1所述的網絡攻擊處理方法，其特征在于：

所述確定被攻擊目標具體是根據流量異常事件的優先級信息來確定。

3、根據權利要求1或2所述的網絡攻擊處理方法，其特征在于：

所述查找記錄的與所述被攻擊目標相關的攻擊事件具體為：

在建立的攻擊實時列表中，以被攻擊目標的IP地址為匹配條件，查找出將所述被攻擊目標作為攻擊對象的攻擊事件。

4、根據權利要求3所述的網絡攻擊處理方法，其特征在于：

所述攻擊實時列表是將收集到的多種事件的信息按目的IP地址分類整理后得到；其中所述多種事件包括頻率超限事件、分布式拒絕服務DDOS攻擊事件和連接耗盡事件。

5、根據權利要求1或2所述的網絡攻擊處理方法，其特征在于：

所述根據受控主機查找記錄的與所述受控主機相關的控制事件具體為：

在建立的控制實時列表中，以受控主機的IP地址為匹配條件，查找出將所述受控主機作為控制對象的控制事件。

6、根據權利要求5所述的網絡攻擊處理方法，其特征在于：

所述控制實時列表是將收集到的各種控制事件的信息按源IP地址分類整理后得到。

7、一種處理裝置，其特征在于，包括：

攻擊對象建模模塊，用于確定被攻擊目標；

拓撲模塊，用于在所述攻擊對象建模模塊確定被攻擊目標后，查找記錄的與所述被攻擊目標相關的攻擊事件，確定攻擊網絡中的受控主機；根據所述受控主機查找記錄的與所述受控主機相關的控制事件，確定攻擊網絡中的控制主機；

通信分析模塊，用于將檢測出與多臺控制主機進行相同通信的主機確定為攻擊操控者。

8、根據權利要求7所述的處理裝置，其特征在于，所述處理裝置進一步包括：

事件收集模塊，用于根據預設條件從日志記錄中收集事件信息；

所述攻擊對象建模模塊根據所述事件收集模塊中收集的流量異常事件的優先級信息確定被攻擊目標。

9、根據權利要求8所述的處理裝置，其特征在于，所述處理裝置進一步包括：

攻擊關聯模塊，用于將所述事件收集模塊中的多種事件的信息按目的IP地址分類整理后建立攻擊實時列表；

所述拓撲模塊是在所述攻擊實時列表中查找記錄的與所述被攻擊目標相關的攻擊事件。

10、根據權利要求8所述的處理裝置，其特征在于，所述處理裝置進一步包括：

控制關聯模塊，用于將所述事件收集模塊中的各種控制事件的信息按源IP地址分類整理后建立控制實時列表；

所述拓撲模塊是在所述控制實時列表中根據所述受控主機查找記錄的與所述受控主機相關的控制事件。

11、根據權利要求9或10所述的處理裝置，其特征在于，所述拓撲模塊包括：

第一處理單元，用于在所述攻擊關聯模塊建立的攻擊實時列表中，以被攻擊目標的IP地址為匹配條件，查找出將所述被攻擊目標作為攻擊對象的攻擊事件，確定攻擊網絡中的受控主機；

第二處理單元，用于在所述控制關聯模塊建立的控制實時列表中，以受控主機的IP地址為匹配條件，查找出將所述受控主機作為控制對象的控制事件，確定攻擊網絡中的控制主機。