[發(fā)明專利]一種云計(jì)算環(huán)境下HTTPDOS攻擊的檢測(cè)方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201310306860.3
• 申請(qǐng)日: 2013-07-22
• 公開（公告）號(hào): CN104333529B
• 公開（公告）日: 2017-12-12
• 發(fā)明（設(shè)計(jì)）人: 張鑒;陳軍
• 申請(qǐng)（專利權(quán)）人: 中國(guó)電信股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 中國(guó)國(guó)際貿(mào)易促進(jìn)委員會(huì)專利商標(biāo)事務(wù)所11038
• 代理人: 曲瑞

1.一種云計(jì)算環(huán)境下HTTP DOS攻擊的檢測(cè)方法，其特征在于：

獲取對(duì)目標(biāo)Web頁(yè)面發(fā)起HTTP請(qǐng)求的源端信息，包括請(qǐng)求次數(shù)和速率；

判斷該源端對(duì)該目標(biāo)Web頁(yè)面發(fā)起的HTTP請(qǐng)求次數(shù)和速率是否大于各自的閾值，如果是，認(rèn)為該源端對(duì)該目標(biāo)Web頁(yè)面發(fā)起拒絕服務(wù)(DOS)攻擊；

其中，獲取對(duì)目標(biāo)Web頁(yè)面發(fā)起HTTP請(qǐng)求的源端信息的操作，包括以下步驟：

提取HTTP請(qǐng)求包中的源IP地址、用戶cookie值和目標(biāo)URL，其中，目標(biāo)URL即為目標(biāo)Web頁(yè)面的地址；

根據(jù)源IP地址和用戶cookie值計(jì)算得到源事件ID，根據(jù)目標(biāo)URL計(jì)算得到目標(biāo)事件ID；

將目標(biāo)事件ID與目標(biāo)事件篩選表中的所有條目的ID進(jìn)行匹配，目標(biāo)事件篩選表中包括目標(biāo)事件ID、第一源信息、第一計(jì)數(shù)器、第一速率和第一表指針，其中，第一表指針指向源事件篩選表，源事件篩選表包括源事件ID值、第二源信息、第二計(jì)數(shù)器、第二速率和第二表指針；

如果匹配成功，即，目標(biāo)事件篩選表中包括計(jì)算得到的目標(biāo)事件ID，則轉(zhuǎn)向第一表指針?biāo)赶虻脑词录Y選表，將源事件ID與源事件篩選表中的所有條目的ID進(jìn)行匹配，根據(jù)匹配結(jié)果更新第二計(jì)數(shù)器的計(jì)數(shù)值，即請(qǐng)求次數(shù)，并計(jì)算第二速率，即源端信息中的速率。

2.如權(quán)利要求1所述云計(jì)算環(huán)境下HTTP DOS攻擊的檢測(cè)方法，其特征在于：

如果匹配不成功，即，目標(biāo)事件篩選表中未包括計(jì)算得到的目標(biāo)事件ID，則在目標(biāo)事件篩選表中創(chuàng)建新的條目，條目ID為當(dāng)前HTTP請(qǐng)求包的目標(biāo)事件ID值，第一源信息為訪問的目標(biāo)URL，第一計(jì)數(shù)器置為1，第一表指針指向新創(chuàng)建的源事件篩選表；

創(chuàng)建對(duì)應(yīng)的源事件篩選表，條目ID為當(dāng)前HTTP請(qǐng)求包的源事件ID，第二源信息為當(dāng)前HTTP請(qǐng)求包的源IP和cookie，第二計(jì)數(shù)器置為1，第二表指針為正向查詢。

3.如權(quán)利要求1或2所述云計(jì)算環(huán)境下HTTP DOS攻擊的檢測(cè)方法，其特征在于：

源事件ID與源事件篩選表中的所有條目的ID進(jìn)行匹配的操作，包括以下步驟：

源事件ID與源事件篩選表中的當(dāng)前條目ID匹配，將當(dāng)前條目的計(jì)數(shù)器加一，計(jì)算源事件篩選表中所有條目的速率，更新源事件篩選表所有條目的速率字段。

4.如權(quán)利要求1或2所述云計(jì)算環(huán)境下HTTP DOS攻擊的檢測(cè)方法，其特征在于：

源事件ID與源事件篩選表中的所有條目的ID進(jìn)行匹配的操作，包括以下步驟：

源事件ID與源事件篩選表中的當(dāng)前條目ID不匹配，判斷當(dāng)前條目是否為空；

如果當(dāng)前條目為空，則將當(dāng)前HTTP請(qǐng)求包的源事件ID插入當(dāng)前條目，計(jì)數(shù)器置為1，表指針置為反向查詢，計(jì)算源事件篩選表中所有條目的速率，更新源事件篩選表所有條目的速率字段，更新目標(biāo)事件篩選表的計(jì)數(shù)器和速率字段；

如果當(dāng)前條目非空，當(dāng)前條目計(jì)數(shù)器減一，判斷當(dāng)前條目計(jì)數(shù)器是否為0；如果當(dāng)前條目計(jì)數(shù)器為0，用新的請(qǐng)求包數(shù)據(jù)替換當(dāng)前條目，事件ID替換為當(dāng)前請(qǐng)求包的事件ID，源信息替換為當(dāng)前請(qǐng)求包的源信息，計(jì)數(shù)器設(shè)為1，表指針為正向查詢，計(jì)算源事件篩選表中所有條目的速率，更新源事件篩選表所有條目的速率字段，更新目標(biāo)事件篩選表的計(jì)數(shù)器和速率字段；如果當(dāng)前條目計(jì)數(shù)器不為0，表指針選取下一條目，初始表指針設(shè)為正向查詢。

5.如權(quán)利要求1或2所述云計(jì)算環(huán)境下HTTP DOS攻擊的檢測(cè)方法，其特征在于：

當(dāng)檢測(cè)到DOS攻擊時(shí)，提交攻擊源IP地址和用戶cookie值；

調(diào)用安全設(shè)備對(duì)攻擊源IP地址進(jìn)行阻斷。