[發(fā)明專利]保護(hù)CPU的大流量攻擊識(shí)別方法及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201310398817.4
• 申請(qǐng)日: 2013-09-05
• 公開(kāi)（公告）號(hào): CN103441946A
• 公開(kāi)（公告）日: 2013-12-11
• 發(fā)明（設(shè)計(jì)）人: 廖俊杰
• 申請(qǐng)（專利權(quán)）人: 上海斐訊數(shù)據(jù)通信技術(shù)有限公司
• 主分類號(hào): H04L12/811
• 分類號(hào): H04L12/811
• 代理公司: 上海光華專利事務(wù)所 31219
• 代理人: 徐秋平

1.一種保護(hù)CPU的大流量攻擊識(shí)別方法，其特征在于，所述保護(hù)CPU的大流量攻擊識(shí)別方法包括：

對(duì)需要CPU處理的報(bào)文劃分類型；

采集每一種類型報(bào)文上傳CPU的實(shí)時(shí)速率；

判斷每一種類型報(bào)文的實(shí)時(shí)速率是否超過(guò)該種類型報(bào)文的過(guò)濾速率；

若超過(guò)，則將超過(guò)過(guò)濾速率的該種類型報(bào)文丟棄，并調(diào)整該種類型報(bào)文的過(guò)濾速率為預(yù)設(shè)最小速率；

若未超過(guò)，則允許該種類型報(bào)文正常上傳CPU。

2.根據(jù)權(quán)利要求1所述的保護(hù)CPU的大流量攻擊識(shí)別方法，其特征在于：所述對(duì)報(bào)文劃分類型的依據(jù)包括報(bào)文的協(xié)議類型、報(bào)文輸入CPU的端口號(hào)、或/和報(bào)文的VLAN號(hào)。

3.根據(jù)權(quán)利要求1所述的保護(hù)CPU的大流量攻擊識(shí)別方法，其特征在于，所述保護(hù)CPU的大流量攻擊識(shí)別方法還包括：若某種類型報(bào)文的實(shí)時(shí)速率超過(guò)所述類型報(bào)文的預(yù)設(shè)最大速率，則發(fā)出大流量攻擊告警。

4.根據(jù)權(quán)利要求3所述的保護(hù)CPU的大流量攻擊識(shí)別方法，其特征在于，所述允許該種類型報(bào)文正常上傳CPU的過(guò)程包括：

判斷正常上傳CPU的類型報(bào)文的過(guò)濾速率是否為預(yù)設(shè)最小速率，若是，則調(diào)整所述類型報(bào)文的過(guò)濾速率為預(yù)設(shè)最大速率，并且上傳所述類型報(bào)文；若否，則直接上傳所述類型報(bào)文。

5.根據(jù)權(quán)利要求1所述的保護(hù)CPU的大流量攻擊識(shí)別方法，其特征在于，所述采集每一種類型報(bào)文上傳CPU的實(shí)時(shí)速率的過(guò)程包括：

1）接收一種類型報(bào)文，獲取當(dāng)前接收時(shí)刻；

2）判斷當(dāng)前接收時(shí)刻與計(jì)時(shí)開(kāi)始時(shí)刻的差值是否小于1秒，若是，則該種類型報(bào)文接收計(jì)數(shù)加1，該計(jì)數(shù)值即為當(dāng)前所述類型報(bào)文的實(shí)時(shí)速率，然后返回步驟1）；若否，則更新計(jì)時(shí)開(kāi)始時(shí)刻為當(dāng)前接收時(shí)刻，計(jì)數(shù)值重設(shè)為1，返回步驟1）。

6.一種保護(hù)CPU的大流量攻擊識(shí)別裝置，其特征在于，所述保護(hù)CPU的大流量攻擊識(shí)別裝置為一預(yù)處理器，所述預(yù)處理器包括：

報(bào)文接收模塊，接收上傳給CPU的全部報(bào)文；

報(bào)文類型定義模塊，與所述報(bào)文接收模塊相連，對(duì)需要CPU處理的報(bào)文劃分類型；

速率采集模塊，與所述報(bào)文類型定義模塊相連，采集每一種類型報(bào)文上傳CPU的實(shí)時(shí)速率；

比較模塊，與所述速率采集模塊相連，判斷每一種類型報(bào)文的實(shí)時(shí)速率是否超過(guò)該種類型報(bào)文的過(guò)濾速率；

處理模塊，與所述比較模塊相連，將超過(guò)過(guò)濾速率的該種類型報(bào)文丟棄；或?qū)⑽闯^(guò)過(guò)濾速率的該種類型報(bào)文正常上傳CPU；

過(guò)濾速率調(diào)整模塊，與所述比較模塊相連，在某種類型報(bào)文的實(shí)時(shí)速率超過(guò)該種類型報(bào)文的過(guò)濾速率時(shí)，調(diào)整該種類型報(bào)文的過(guò)濾速率為預(yù)設(shè)最小速率；在某種類型報(bào)文的實(shí)時(shí)速率小于該種類型報(bào)文的預(yù)設(shè)最大速率時(shí)，即攻擊解除時(shí)，調(diào)整該種類型報(bào)文的過(guò)濾速率為預(yù)設(shè)最大速率。

7.根據(jù)權(quán)利要求6所述的保護(hù)CPU的大流量攻擊識(shí)別裝置，其特征在于：所述上傳給CPU的全部報(bào)文包括需要CPU處理的報(bào)文和不需要CPU處理的報(bào)文。

8.根據(jù)權(quán)利要求6所述的保護(hù)CPU的大流量攻擊識(shí)別裝置，其特征在于：所述預(yù)處理器包括一告警模塊，所述告警模塊與所述比較模塊相連，在某種類型報(bào)文的實(shí)時(shí)速率超過(guò)該種類型報(bào)文的預(yù)設(shè)最大速率時(shí)發(fā)出大流量攻擊告警。

9.根據(jù)權(quán)利要求6所述的保護(hù)CPU的大流量攻擊識(shí)別裝置，其特征在于：所述處理模塊還包括：

丟棄單元，與所述比較模塊相連，將超過(guò)過(guò)濾速率的類型報(bào)文丟棄；

上傳單元，與所述比較模塊相連，將未超過(guò)過(guò)濾速率的類型報(bào)文正常上傳CPU；

過(guò)濾速率控制單元，與所述上傳單元和所述過(guò)濾速率調(diào)整模塊相連，判斷所述正常上傳CPU的類型報(bào)文的過(guò)濾速率是否為預(yù)設(shè)最小速率，若是則控制所述過(guò)濾速率調(diào)整模塊將所述正常上傳CPU的類型報(bào)文的過(guò)濾速率調(diào)整為預(yù)設(shè)最大速率。

10.根據(jù)權(quán)利要求6所述的保護(hù)CPU的大流量攻擊識(shí)別裝置，其特征在于，所述速率采集模塊包括：

計(jì)時(shí)單元，記錄當(dāng)前接收所述類型報(bào)文的時(shí)刻；

差值比較單元，與所述計(jì)時(shí)單元相連，判斷所述當(dāng)前接收所述類型報(bào)文的時(shí)刻與計(jì)時(shí)開(kāi)始時(shí)刻的差值是否小于1秒；

計(jì)數(shù)單元，與所述差值比較單元相連，在所述差值小于1秒的情況下計(jì)數(shù)值加1，否則更新計(jì)時(shí)開(kāi)始時(shí)刻為當(dāng)前接收時(shí)刻，計(jì)數(shù)重設(shè)為1，開(kāi)始下一個(gè)計(jì)數(shù)周期。