[發明專利]異常網絡流量的攻擊源追蹤方法及裝置

有效

• 申請號: 201110402733.4
• 申請日: 2011-12-07
• 公開（公告）號: CN102497362B
• 公開（公告）日: 2018-01-05
• 發明（設計）人: 王立俊
• 申請（專利權）人: 北京潤通豐華科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種異常網絡流量的攻擊源追蹤方法，其特征在于，包括：

在攻擊鏈路的網絡節點中，選擇任意一個或多個所述網絡節點作為追蹤起點，其中，所述攻擊鏈路為被攻擊目標和攻擊源之間的通信鏈路；

根據所述追蹤起點逐級確定所述攻擊鏈路中的上一級網絡節點，直至確認最終的攻擊源；

選擇任意一個或多個所述網絡節點作為追蹤起點，包括：根據預設周期采集所述攻擊鏈路的網絡節點的端口數據包載荷；根據當前采集的數據包載荷和上一個所述預設周期采集的數據包載荷確定所述追蹤起點；

根據當前采集的數據包載荷和上一個所述預設周期采集的數據包載荷確定所述追蹤起點，包括：

根據當前采集的數據包載荷和上一個所述預設周期采集的數據包載荷確定所述攻擊鏈路的網絡節點的端口流的指紋，其中，所述流的指紋根據以下公式確定：

流的指紋＝【1-(▲P/▲BP)】×100％，▲P＝P0-(P-1)，▲BP＝BP0-(BP-1)，P0表示當前數據；(P-1)表示當前預設周期的前一個周期數據；BP0表示前一天的同時刻數據；(BP-1)表示前一天當前預設周期的前一個周期數據；

當所述流的指紋在未到達預設閾值時，確定所述流的指紋所對應的網絡節點可作為所述追蹤起點。

2.根據權利要求1所述的方法，其特征在于，所述數據包載荷為所述預設周期內平均每個數據包載荷。

3.根據權利要求2所述的方法，其特征在于，所述預設周期內平均每個數據包載荷通過以下方式確定：

預設周期內平均每個數據包載荷＝預設周期內平均帶寬/預設周期內數據包總數。

4.根據權利要求2所述的方法，其特征在于，當所述上一級網絡節點為多個時，還包括：

根據所述攻擊鏈路的匹配度來區分多個不同的上一級網絡節點，其中，所述匹配度用于指示所述追蹤起點的預設周期內平均每個數據包載荷與不同的所述上一級節點的預設周期內平均每個數據包載荷的相似程度。

5.根據權利要求1所述的方法，其特征在于，根據所述追蹤起點逐級確定所述攻擊鏈路中的上一級網絡節點，包括：

獲取所述追蹤起點的入流量增量及所述上一級網絡節點的出流量增量，其中，所述入流量增量為所述追蹤起點在其接收的網絡流量異常時相對于網絡流量正常時所增加的網絡流量，所述出流量增量為所述上一級網絡節點在其傳出的網絡流量異常時相對于網絡流量正常時所增加的網絡流量；

根據所述入流量增量及所述出流量增量的比值確定所述上一級節點作為新的追蹤起點；

根據所述新的追蹤起點逐級確定所述攻擊鏈路中的所述新的追蹤起點的上一級網絡節點。

6.根據權利要求1所述的方法，其特征在于，通過以下方式確認最終的攻擊源：

當所述上一級網絡節點的數量為0時，則確定所述上一級網絡節點的下一級網絡節點為最終的攻擊源。

7.一種異常網絡流量的攻擊源追蹤裝置，其特征在于，包括：

選擇模塊，用于在攻擊鏈路的網絡節點中，選擇任意一個或多個所述網絡節點作為追蹤起點，其中，所述攻擊鏈路為被攻擊目標和攻擊源之間的通信鏈路；

確定模塊，用于根據所述追蹤起點逐級確定所述攻擊鏈路中的上一級網絡節點，直至確認最終的攻擊源；

所述確定模塊包括：

獲取單元，獲取所述追蹤起點的入流量增量及所述上一級網絡節點的出流量增量，其中，所述入流量增量為所述追蹤起點在其接收的網絡流量異常時相對于網絡流量正常時所增加的網絡流量，所述出流量增量為所述上一級網絡節點在其傳出的網絡流量異常時相對于網絡流量正常時所增加的網絡流量；

第一確定單元，用于根據所述入流量增量及所述出流量增量的比值確定所述上一級節點作為新的追蹤起點；

第二確定單元，用于根據所述新的追蹤起點逐級確定所述攻擊鏈路中的所述新的追蹤起點的上一級網絡節點，直至確認最終的攻擊源；

根據當前采集的數據包載荷和上一個預設周期采集的數據包載荷確定所述攻擊鏈路的網絡節點的端口流的指紋，其中，所述流的指紋根據以下公式確定：

流的指紋＝【1-(▲P/▲BP)】×100％，▲P＝P0-(P-1)，▲BP＝BP0-(BP-1)，P0表示當前數據；(P-1)表示當前預設周期的前一個周期數據；BP0表示前一天的同時刻數據；(BP-1)表示前一天當前預設周期的前一個周期數據；

當所述流的指紋在未到達預設閾值時，確定所述流的指紋所對應的網絡節點可作為所述追蹤起點。