[發(fā)明專利]一種檢測分布式拒絕服務(wù)攻擊的方法和裝置

在審

• 申請?zhí)枺?/td>: 201210371459.3
• 申請日: 2012-09-28
• 公開（公告）號: CN102932330A
• 公開（公告）日: 2013-02-13
• 發(fā)明（設(shè)計(jì)）人: 賀艷軍
• 申請（專利權(quán)）人: 北京百度網(wǎng)訊科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京鴻德海業(yè)知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11412
• 代理人: 倪志華

1.一種檢測分布式拒絕服務(wù)攻擊DDoS的方法，其特征在于，預(yù)先設(shè)置N個(gè)處理進(jìn)程與N個(gè)核一一綁定，所述N為2以上的整數(shù)，該方法包括：

S1、所述N個(gè)處理進(jìn)程對進(jìn)入檢測設(shè)備的數(shù)據(jù)包采用分擔(dān)的方式進(jìn)行DDoS特征解析；

S2、統(tǒng)計(jì)進(jìn)程將各處理進(jìn)程分別解析得到的DDoS特征進(jìn)行匯總統(tǒng)計(jì)；

S3、依據(jù)匯總統(tǒng)計(jì)得到的DDoS特征判斷是否存在DDoS。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述進(jìn)入檢測設(shè)備的數(shù)據(jù)包統(tǒng)一在收包隊(duì)列中，所述N個(gè)處理進(jìn)程采用輪叫調(diào)度round-robin的方式對收包隊(duì)列中的數(shù)據(jù)包進(jìn)行分擔(dān)。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述DDoS特征包括源IP、HTTP頭部字段中的URL、host域、cookie或者參照頁referer。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，各處理進(jìn)程與統(tǒng)計(jì)進(jìn)程之間均通過雙緩存進(jìn)行數(shù)據(jù)交互，以保證同一時(shí)刻處理進(jìn)程和統(tǒng)計(jì)進(jìn)程對不同的緩存區(qū)進(jìn)行不同的操作。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述雙緩存中兩個(gè)緩存區(qū)的狀態(tài)包括：可供進(jìn)行數(shù)據(jù)寫操作的活動狀態(tài)以及可供進(jìn)行數(shù)據(jù)讀操作的空閑狀態(tài)；

所述各處理進(jìn)程與統(tǒng)計(jì)進(jìn)程之間均通過雙緩存進(jìn)行數(shù)據(jù)交互具體包括：

處理進(jìn)程從收包隊(duì)列中獲取到數(shù)據(jù)包時(shí)，通過調(diào)用雙緩存激活指令獲取活動狀態(tài)的緩存區(qū)，將解析得到的DDoS特征寫入獲取的活動狀態(tài)的緩存區(qū)；

所述統(tǒng)計(jì)進(jìn)程執(zhí)行完統(tǒng)計(jì)操作后調(diào)用雙緩存切換指令申請對雙緩存進(jìn)行切換；

如果所述雙緩存切換指令被調(diào)用時(shí)處理進(jìn)程正在進(jìn)行寫數(shù)據(jù)操作，則等待處理進(jìn)程完成寫數(shù)據(jù)操作后，兩個(gè)緩存區(qū)的狀態(tài)被切換；

所述統(tǒng)計(jì)進(jìn)程調(diào)用雙緩存切換完成指令查看是否完成所述切換，如果是，則通過調(diào)用雙緩存獲取空閑指令獲得空閑狀態(tài)的緩存區(qū)，從空閑狀態(tài)的緩存區(qū)中讀取DDoS特征。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述步驟S2中還包括：將匯總統(tǒng)計(jì)得到的統(tǒng)計(jì)結(jié)果存入哈希表并記錄存入哈希表的時(shí)間，如果發(fā)生緩存要溢出的情況，則淘汰存入哈希表的時(shí)間最早的統(tǒng)計(jì)結(jié)果。

7.一種檢測分布式拒絕服務(wù)攻擊DDoS的裝置，其特征在于，該裝置包括：

初始化單元，用于預(yù)先設(shè)置N個(gè)處理進(jìn)程與N個(gè)核一一綁定，所述N為2以上的整數(shù)；

所述N個(gè)處理進(jìn)程，用于對進(jìn)入檢測設(shè)備的數(shù)據(jù)包采用分擔(dān)的方式進(jìn)行DDoS特征解析；

統(tǒng)計(jì)進(jìn)程，用于將各處理進(jìn)程分別解析得到的DDoS特征進(jìn)行匯總統(tǒng)計(jì)；

檢測單元，用于依據(jù)所述統(tǒng)計(jì)進(jìn)程匯總統(tǒng)計(jì)得到的DDoS特征判斷是否存在DDoS。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述進(jìn)入檢測設(shè)備的數(shù)據(jù)包統(tǒng)一在收包隊(duì)列中，所述N個(gè)處理進(jìn)程采用輪叫調(diào)度round-robin的方式對收包隊(duì)列中的數(shù)據(jù)包進(jìn)行分擔(dān)。

9.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述DDoS特征包括源IP、HTTP頭部字段中的URL、host域、cookie或者參照頁referer。

10.根據(jù)權(quán)利要求7所述的裝置，其特征在于，各處理進(jìn)程與統(tǒng)計(jì)進(jìn)程之間均通過雙緩存進(jìn)行數(shù)據(jù)交互，以保證同一時(shí)刻處理進(jìn)程和統(tǒng)計(jì)進(jìn)程對不同的緩存區(qū)進(jìn)行不同的操作。

11.根據(jù)權(quán)利要求10所述的裝置，其特征在于，所述雙緩存中兩個(gè)緩存區(qū)的狀態(tài)包括：可供進(jìn)行數(shù)據(jù)寫操作的活動狀態(tài)以及可供進(jìn)行數(shù)據(jù)讀操作的空閑狀態(tài)；

所述處理進(jìn)程從收包隊(duì)列中獲取到數(shù)據(jù)包時(shí)，通過調(diào)用雙緩存激活指令獲取活動狀態(tài)的緩存區(qū)，將解析得到的DDoS特征寫入獲取的活動狀態(tài)的緩存區(qū)；

所述統(tǒng)計(jì)進(jìn)程執(zhí)行完統(tǒng)計(jì)操作后調(diào)用雙緩存切換指令申請對雙緩存進(jìn)行切換，如果所述雙緩存切換指令被調(diào)用時(shí)處理進(jìn)程正在進(jìn)行寫數(shù)據(jù)操作，則等待處理進(jìn)程完成寫數(shù)據(jù)操作后，兩個(gè)緩存區(qū)的狀態(tài)被切換；調(diào)用雙緩存切換完成指令查看是否完成所述切換，如果是，則通過調(diào)用雙緩存獲取空閑指令獲得空閑狀態(tài)的緩存區(qū)，從空閑狀態(tài)的緩存區(qū)中讀取DDoS特征。

12.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述統(tǒng)計(jì)進(jìn)程，還用于將統(tǒng)計(jì)得到的統(tǒng)計(jì)結(jié)果存入哈希表并記錄存入哈希表的時(shí)間，如果發(fā)生緩存要溢出的情況，則淘汰存入哈希表的時(shí)間最早的統(tǒng)計(jì)結(jié)果。