[發明專利]一種CC攻擊的檢測方法及其檢測系統

有效

• 申請號: 201410205916.0
• 申請日: 2014-05-14
• 公開（公告）號: CN104009983B
• 公開（公告）日: 2017-03-29
• 發明（設計）人: 郭曉;徐長明;范淵
• 申請（專利權）人: 杭州安恒信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 杭州中成專利事務所有限公司33212
• 代理人: 周世駿

1.一種CC攻擊的檢測方法，用于判斷請求IP對網站頁面訪問的請求是否為非CC攻擊，其特征在于，具體包括下述步驟：

(1)接受請求IP對網站頁面訪問的請求；

(2)統計請求IP的請求速率；

(3)計算本次請求集中度；

(4)統計請求IP對請求頁面的集中請求計數；

(5)根據請求次數閾值判定是否為CC攻擊；

所述步驟(2)具體包括：分別計算請求IP對網站的請求速率和請求IP對請求頁面的請求速率；

所述步驟(3)具體包括：將步驟(2)中得到的請求IP對請求頁面的請求速率除以請求IP對網站的請求速率，得到本次請求集中度；

所述步驟(4)具體包括：設集中請求計數，并設定每個請求IP的集中請求計數的初始值為0，請求IP對網站頁面發出請求，當請求IP的集中請求計數發生改變后，請求IP的集中請求計數進行更新存儲；判斷步驟(3)中得到的本次請求集中度是否大于集中度閾值，若本次請求集中度大于集中度閾值，則將請求IP的集中請求計數加1；若本次請求集中度不大于集中度閾值，則將請求IP對請求頁面的集中請求計數清零；所述集中度閾值是用于判斷請求是否為集中請求的閾值，集中度閾值的取值范圍在0～100％之間；

所述步驟(5)具體包括：如果步驟(4)中得到的請求IP的集中請求計數不超過集中請求次數閾值，則判定本次請求為非CC攻擊；如果請求IP的集中請求計數超過集中請求次數閾值，則判定本次請求為CC攻擊；所述集中請求次數閾值是預先設定的數值。

2.用于進行權利要求1所述的一種CC攻擊的檢測方法的檢測系統，用于判斷請求IP對網站頁面訪問的請求是否為非CC攻擊，其特征在于，一種CC攻擊的檢測系統包括請求速率統計裝置、集中度計算裝置、集中請求計數計算裝置、請求的各項數值記錄裝置、CC攻擊判定裝置；

所述請求的各項數值記錄裝置包括IP記錄表和IP/URL記錄表；所述IP記錄表中存放的數據包括每個請求IP的請求次數以及每個請求IP對網站的請求速率，用于記錄每個請求IP的相關數值，當需要查詢請求IP相關記錄時，通過將IP散列作為索引在IP記錄表中查找；所述IP/URL記錄表中存放的數據包括每個請求IP對每個URL的請求次數、請求IP對請求頁面的請求速率以及集中請求計數，用于記錄每個請求IP對每個請求頁面的訪問相關數值，當需要查詢請求IP對請求URL訪問的相關記錄時，通過將IP和URL結合再取散列值作為索引在IP/URL記錄表中查找；其中，設定每個請求IP的集中請求計數的初始值為0，請求IP對網站頁面發出請求，當請求IP的集中請求計數發生改變后，請求IP的集中請求計數進行更新存儲；

所述請求速率統計裝置用于根據請求IP對網站的請求次數和請求IP對請求頁面的請求次數，分別計算在設定時間長度(速率的計算時間間隔預先設定)內，請求IP對網站的請求速率和請求IP對請求頁面的請求速率，并在請求的各項數據記錄裝置中，對請求IP對網站的請求速率和請求IP對請求頁面的請求速率進行更新；

所述集中度計算裝置從請求的各項數據記錄裝置中，獲取請求IP對網站的請求速率和請求IP對請求頁面的請求速率，計算請求IP對請求頁面的請求速率除以請求IP對網站的請求速率的值，得到本次請求集中度；

所述集中請求計數計算裝置用于根據集中度計算裝置計算得到的本次請求集中度，判斷本次請求是否為集中請求；具體判斷方法為：首先從請求的各項數值記錄裝置中讀取請求IP的集中請求計數，然后判斷集中度計算裝置計算得到的本次請求集中度是否大于集中度閾值，若本次請求集中度大于集中度閾值，則將請求IP的集中請求計數加1，若本次請求集中度不大于集中度閾值，則將請求IP的集中請求計數清零，并將請求IP的集中請求計數在請求的各項數值記錄裝置中進行更新；所述集中度閾值是用于判斷請求是否為集中請求的閾值，集中度閾值的取值范圍在0～100％之間；

所述CC攻擊判定裝置用于從請求的各項數值記錄裝置中讀取請求IP的集中請求計數，判斷本次請求是否為CC攻擊，具體判斷方法為：如果請求IP的集中請求計數不超過集中請求次數閾值，則判定本次請求為非CC攻擊；如果請求IP的集中請求計數超過集中請求次數閾值，則說明請求IP對請求頁面的訪問是集中請求，判定本次請求為CC攻擊。