[發明專利]網絡層DDOS攻擊源識別方法、裝置及系統

有效

• 申請號: 201310325923.X
• 申請日: 2013-07-30
• 公開（公告）號: CN104348794B
• 公開（公告）日: 2019-07-16
• 發明（設計）人: 羅喜軍;陳勇
• 申請（專利權）人: 深圳市騰訊計算機系統有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郝傳鑫;熊永強

1.一種網絡層DDOS攻擊源識別方法，其特征在于，包括：

檢測服務器在監測到第一服務器受到DDOS攻擊時，從所述第一服務器獲取DDOS攻擊包，提取所述DDOS攻擊包中的攻擊源IP地址與所述攻擊源IP地址的TTL值；

向第二服務器發送包含所述攻擊源IP地址的探測指令，所述第二服務器是由所述檢測服務器選擇的與所述第一服務器同處于一個網絡拓撲中的任意一個服務器，所述探測指令用于指示所述第二服務器使用PING命令依次對所有DDOS攻擊包中的攻擊源IP地址進行探測；

接收所述第二服務器根據所述探測指令返回的探測響應包，提取所述探測響應包中的探測源IP地址與所述探測源IP地址的TTL值，所述探測響應包由所述第二服務器根據所述探測指令，使用PING命令對所述攻擊源IP地址進行探測時，從所述攻擊源IP地址對應的終端獲得；所述探測源IP地址與所述攻擊源IP地址一致，所述探測源IP地址的TTL值是所述攻擊源IP的真實TTL值；以及

判斷所述攻擊源IP地址的TTL值與所述探測源IP地址的TTL值的差值是否大于預置值，若是，則確定所述攻擊源IP地址為偽造的IP地址，若否，則確定所述攻擊源IP地址為真實的IP地址。

2.根據權利要求1所述的方法，其特征在于，所述檢測服務器在監測到第一服務器受到DDOS攻擊時，從所述第一服務器獲取DDOS攻擊包，提取所述DDOS攻擊包中的攻擊源IP地址與所述攻擊源IP地址的TTL值的步驟，包括：

檢測服務器在監測到第一服務器受到DDOS攻擊時，向所述第一服務器發送獲取所有DOOS攻擊包的請求；

接收所述第一服務器根據所述請求返回的所有DDOS攻擊包；

對所述所有DDOS攻擊包進行DPI分析；

分別獲取所述所有DDOS攻擊包中的攻擊源IP地址與所述攻擊源IP地址的TTL值。

3.根據權利要求2所述的方法，其特征在于，所述接收所述第二服務器根據所述探測指令返回的探測響應包，提取所述探測響應包中的探測源IP地址與所述探測源IP地址的TTL值的步驟，包括：

接收所述第二服務器根據所述探測指令返回的所有探測響應包；

對所述所有探測響應包進行DPI分析；

分別提取所述所有探測響應包中的攻擊源IP地址與所述攻擊源IP地址的TTL值。

4.一種網絡層DDOS攻擊源識別方法，其特征在于，包括：

檢測服務器在監測到第一服務器受到DDOS攻擊時，從所述第一服務器獲取DDOS攻擊包，提取所述DDOS攻擊包中的攻擊源IP地址與所述攻擊源IP地址的TTL值；

所述檢測服務器向第二服務器發送包含所述攻擊源IP地址的探測指令，所述第二服務器是由所述檢測服務器選擇的與所述第一服務器同處于一個網絡拓撲中的任意一個服務器，所述探測指令用于指示所述第二服務器使用PING命令依次對所有DDOS攻擊包中的攻擊源IP地址進行探測；

所述第二服務器根據所述探測指令，對所述攻擊源IP地址進行探測，從所述攻擊源IP地址對應的終端獲取探測響應包，并將所述探測響應包發送給所述檢測服務器，所述探測響應包由所述第二服務器根據所述探測指令，使用PING命令對所述攻擊源IP地址進行探測時，從所述攻擊源IP地址對應的終端獲得；所述探測源IP地址與所述攻擊源IP地址一致，所述探測源IP地址的TTL值是所述攻擊源IP的真實TTL值；以及

所述檢測服務器提取所述探測響應包中的探測源IP地址與所述探測源IP地址的TTL值，判斷所述攻擊源IP地址的TTL值與所述探測源IP地址的TTL值的差值是否大于預置值，若是，則確定所述攻擊源IP地址為偽造的IP地址，若否，則確定所述攻擊源IP地址為真實的IP地址。