[發(fā)明專利]分布式拒絕服務(wù)DDoS攻擊的防護(hù)方法及其裝置和系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201410226413.1
• 申請日: 2014-05-26
• 公開（公告）號: CN104967588B
• 公開（公告）日: 2017-02-15
• 發(fā)明（設(shè)計(jì)）人: 陳勇;閆帥帥
• 申請（專利權(quán)）人: 騰訊科技（深圳）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京康信知識產(chǎn)權(quán)代理有限責(zé)任公司11240
• 代理人: 江舟,吳貴明

1.一種分布式拒絕服務(wù)DDoS攻擊的防護(hù)方法，其特征在于，包括：

接收到DDoS攻擊告警消息，其中，所述DDoS攻擊告警消息用于指示業(yè)務(wù)服務(wù)器出現(xiàn)DDoS攻擊；

響應(yīng)所述DDoS攻擊告警消息獲取防護(hù)配置參數(shù)，其中，所述防護(hù)配置參數(shù)用于對發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包進(jìn)行過濾；

將所述防護(hù)配置參數(shù)發(fā)送到多級流量清洗系統(tǒng)，以指示所述多級流量清洗系統(tǒng)根據(jù)接收到的所述防護(hù)配置參數(shù)對發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包進(jìn)行過濾，其中，所述多級流量清洗系統(tǒng)包括位于骨干網(wǎng)節(jié)點(diǎn)的第一流量清洗系統(tǒng)和位于互聯(lián)網(wǎng)數(shù)據(jù)中心IDC入口的第二流量清洗系統(tǒng)。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在將所述防護(hù)配置參數(shù)發(fā)送到多級流量清洗系統(tǒng)之后，還包括：

所述多級流量清洗系統(tǒng)根據(jù)接收到的所述防護(hù)配置參數(shù)對發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包進(jìn)行過濾，其中，所述第二流量清洗系統(tǒng)對經(jīng)過所述第一流量清洗系統(tǒng)過濾后的數(shù)據(jù)包進(jìn)行再次過濾；

所述第二流量清洗系統(tǒng)將執(zhí)行所述再次過濾后得到的數(shù)據(jù)包發(fā)送到所述業(yè)務(wù)服務(wù)器。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，在將所述防護(hù)配置參數(shù)發(fā)送到多級流量清洗系統(tǒng)之后，還包括：

接收到執(zhí)行完所述過濾后的反饋信息，其中，所述反饋信息包括以下至少之一：執(zhí)行完所述過濾后第一單位時(shí)間內(nèi)發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量、執(zhí)行完所述過濾后所述業(yè)務(wù)服務(wù)器在第二單位時(shí)間內(nèi)接收到的數(shù)據(jù)包的數(shù)量、執(zhí)行完所述過濾后連接所述業(yè)務(wù)服務(wù)器的連通率；

響應(yīng)所述反饋信息對所述防護(hù)配置參數(shù)進(jìn)行更新，得到更新后的防護(hù)配置參數(shù)；

將所述更新后的防護(hù)配置參數(shù)發(fā)送到所述多級流量清洗系統(tǒng)，以指示所述多級流量清洗系統(tǒng)根據(jù)接收到的所述更新后的防護(hù)配置參數(shù)對發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包進(jìn)行過濾。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述響應(yīng)所述反饋信息對所述防護(hù)配置參數(shù)進(jìn)行更新包括：

若所述反饋信息指示執(zhí)行完所述過濾后所述第一單位時(shí)間內(nèi)發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量大于執(zhí)行所述過濾前所述第一單位時(shí)間內(nèi)發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量，則更新所述防護(hù)配置參數(shù)，使得根據(jù)所述更新后的防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量大于根據(jù)更新前的所述防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量。

5.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述響應(yīng)所述反饋信息對所述防護(hù)配置參數(shù)進(jìn)行更新包括：

若所述反饋信息指示執(zhí)行完所述過濾后所述業(yè)務(wù)服務(wù)器在所述第二單位時(shí)間內(nèi)接收到的數(shù)據(jù)包的數(shù)量大于執(zhí)行所述過濾前所述業(yè)務(wù)服務(wù)器在所述第二單位時(shí)間內(nèi)接收到的數(shù)據(jù)包的數(shù)量，則更新所述防護(hù)配置參數(shù)，使得根據(jù)所述更新后的防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量大于根據(jù)更新前的所述防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量。

6.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述響應(yīng)所述反饋信息對所述防護(hù)配置參數(shù)進(jìn)行更新包括：

若所述反饋信息指示執(zhí)行完所述過濾后連接所述業(yè)務(wù)服務(wù)器的連通率小于執(zhí)行所述過濾前連接所述業(yè)務(wù)服務(wù)器的連通率，則更新所述防護(hù)配置參數(shù)，使得根據(jù)所述更新后的防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量大于根據(jù)更新前的所述防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量。

7.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述響應(yīng)所述反饋信息對所述防護(hù)配置參數(shù)進(jìn)行更新包括：

若所述反饋信息指示執(zhí)行完所述過濾后所述第一單位時(shí)間內(nèi)發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量小于執(zhí)行所述過濾前所述第一單位時(shí)間內(nèi)發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量，保持所述防護(hù)配置參數(shù)不變，或者，更新所述防護(hù)配置參數(shù)，使得根據(jù)所述更新后的防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量小于根據(jù)更新前的所述防護(hù)配置參數(shù)過濾掉的發(fā)送到所述業(yè)務(wù)服務(wù)器的數(shù)據(jù)包的數(shù)量。