[發明專利]一種CC攻擊的檢測方法及其檢測系統

有效

• 申請號: 201410205916.0
• 申請日: 2014-05-14
• 公開（公告）號: CN104009983B
• 公開（公告）日: 2017-03-29
• 發明（設計）人: 郭曉;徐長明;范淵
• 申請（專利權）人: 杭州安恒信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 杭州中成專利事務所有限公司33212
• 代理人: 周世駿

技術領域

本發明是關于網絡安全技術，特別涉及一種CC攻擊的檢測方法及其檢測系統。

背景技術

CC(Challenge?Collapsar)攻擊是一種針對應用層WEB服務的攻擊方法。它與DDoS攻擊本質上是一樣的，都是以耗盡服務器資源造成拒絕服務為目的。

CC攻擊的原理并不復雜，它利用應用層的弱點進行攻擊。網站中性能不優的數據查詢，不良的程序執行結構，以及比較消耗資源的功能等，都可能成為CC攻擊的目標。例如，論壇的搜索功能，需要消耗大量的數據庫查詢時間和系統資源。攻擊者通過頻繁調用搜索功能，使查詢請求累積不能立即完成，資源無法釋放，導致數據庫請求連接過多，數據庫阻塞，網站無法正常打開。

目前對CC攻擊的檢測大多是通過測量IP的請求速率實現，當IP的請求速率達到設定閾值時，判定為攻擊。然而，現在的CC攻擊方式，一般是利用分布式的代理服務器或僵尸網絡制造大量請求發向受害網站。每個代理或僵尸IP發送的請求速率不一定很高。例如，CC攻擊者操控100個代理時，要制造1000的并發請求，平均到每個代理只需要10個并發，在請求速率上不會表現出明顯的異常。所以通過IP請求速率檢測CC攻擊往往很難湊效。因此，需要一種更加準確有效的CC攻擊檢測方法。

發明內容

本發明的主要目的在于克服現有技術中的不足，提供一種能夠靈敏準確檢測CC攻擊的檢測方法及其檢測系統。為解決上述技術問題，本發明的解決方案是：

提供一種CC攻擊的檢測方法，用于判斷請求IP對網站頁面訪問的請求是否為非CC攻擊，具體包括下述步驟：

(1)接受請求IP對網站頁面訪問的請求；

(2)統計請求IP的請求速率；

(3)計算本次請求集中度；

(4)統計請求IP對請求頁面的集中請求計數；

(5)根據請求次數閾值判定是否為CC攻擊；

所述步驟(2)具體包括：分別計算請求IP對網站的請求速率和請求IP對請求頁面的請求速率；

所述步驟(3)具體包括：將步驟(2)中得到的請求IP對請求頁面的請求速率除以請求IP對網站的請求速率，得到本次請求集中度；

所述步驟(4)具體包括：設集中請求計數，并設定每個請求IP的集中請求計數的初始值為0，請求IP對網站頁面發出請求，當請求IP的集中請求計數發生改變后，請求IP的集中請求計數進行更新存儲；判斷步驟(3)中得到的本次請求集中度是否大于集中度閾值，若本次請求集中度大于集中度閾值，則將請求IP的集中請求計數加1；若本次請求集中度不大于集中度閾值，則將請求IP對請求頁面的集中請求計數清零；所述集中度閾值是用于判斷請求是否為集中請求的閾值，集中度閾值的取值范圍在0～100％之間；

所述步驟(5)具體包括：如果步驟(4)中得到的請求IP的集中請求計數不超過集中請求次數閾值，則判定本次請求為非CC攻擊；如果請求IP的集中請求計數超過集中請求次數閾值，則判定本次請求為CC攻擊；所述集中請求次數閾值是預先設定的數值(由經驗得到的正常請求IP的集中請求次數的上限值)。

提供用于進行所述的一種CC攻擊的檢測方法的檢測系統，用于判斷請求IP對網站頁面訪問的請求是否為非CC攻擊，一種CC攻擊的檢測系統包括請求速率統計裝置、集中度計算裝置、集中請求計數計算裝置、請求的各項數值記錄裝置、CC攻擊判定裝置；

所述請求的各項數值記錄裝置包括IP記錄表和IP/URL記錄表；所述IP記錄表中存放的數據包括每個請求IP的請求次數以及每個請求IP對網站的請求速率，用于記錄每個請求IP的相關數值，當需要查詢請求IP相關記錄時，通過將IP散列作為索引在IP記錄表中查找；所述IP/URL記錄表中存放的數據包括每個請求IP對每個URL的請求次數、請求IP對請求頁面的請求速率以及集中請求計數，用于記錄每個請求IP對每個請求頁面的訪問相關數值，當需要查詢請求IP對請求URL訪問的相關記錄時，通過將IP和URL結合再取散列值作為索引在IP/URL記錄表中查找；其中，設定每個請求IP的集中請求計數的初始值為0，請求IP對網站頁面發出請求，當請求IP的集中請求計數發生改變后，請求IP的集中請求計數進行更新存儲；

所述請求速率統計裝置用于根據請求IP對網站的請求次數和請求IP對請求頁面的請求次數，分別計算在設定時間長度(速率的計算時間間隔預先設定)內，請求IP對網站的請求速率和請求IP對請求頁面的請求速率，并在請求的各項數據記錄裝置中，對請求IP對網站的請求速率和請求IP對請求頁面的請求速率進行更新；