[發明專利]一種基于核內存儲的SYN-Flood攻擊的容忍系統及容忍方法

在審

• 申請號: 201410234546.3
• 申請日: 2014-05-29
• 公開（公告）號: CN103986726A
• 公開（公告）日: 2014-08-13
• 發明（設計）人: 何慧;張偉哲;張宏莉;李喬;王耀;張永勝;王雅山
• 申請（專利權）人: 哈爾濱工業大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 哈爾濱市松花江專利商標事務所 23109
• 代理人: 楊立超

1.一種基于核內存儲的SYN-Flood攻擊的容忍系統，其特征在于它包括：

用于對核內接收的SYN包控制的SYN包控制模塊；

用于對核內接收的ACK包處理的ACK包處理模塊；

用于對核內連接隊列控制的連接隊列操作控制模塊；

用于對核內信息進行容忍的ICAT-LINK容忍模塊。

2.根據權利要求1所述的基于核內存儲的SYN-Flood攻擊的容忍系統，其特征在于：

所述SYN包控制模塊包括：

用于判斷半連接隊列是否已滿的模塊，若是，則在開啟ICAT容忍策略后進行ICAT-SYN容忍模塊，否則，進行SYN包正常處理模塊；

所述ICAT-SYN容忍模塊包括：

用于對SYN包內信息組進行容忍處理的模塊，該模塊包括用于提取SYN包內信息組的模塊，該模塊包括提取所述SYN包內至少5種信息作為信息組，將信息組保存至名為key的結構體中的模塊；

用于查找在內存中擴展半連接隊列中是否有相應的信息組的模塊，若是，則進行將信息組加入擴展半連接隊列中，更新節點狀態信息后退出的模塊；否則，進行檢查擴展半連接隊列是否已滿的模塊，若是，則進行直接退出的模塊，否則，進行在內存池中容忍處理的模塊，該模塊包括用于在內存池中申請內存空間的模塊，提取六元組利用散列函數計算六元組散列值并保存于數據庫的模塊，取出隊列頭指針并添加定時器到全局散列鏈表中，將節點加入隊列后，進行退出的模塊；

所述SYN包正常處理模塊包括：

用于對半連接隊列和連接隊列進行查找是否有相應信息組信息的模塊，若否，則將SYN包進行連接隊列操作控制的模塊，否則，進行直接將其報丟棄的模塊。

3.根據權利要求1所述的基于核內存儲的SYN-Flood攻擊的容忍系統，其特征在于，所述ACK包處理模塊包括：

用于查找擴展半連接隊列中是否有與所述ACK包相對應的SYN包的模塊，若是，則進行連接隊列操作控制模塊，否則進行丟棄所述ACK包的模塊。

4.根據權利要求2或3所述的基于核內存儲的SYN-Flood攻擊的容忍系統，其特征在于，所述連接隊列操作控制模塊包括：

用于判斷連接隊列是否已滿的模塊，若是，則進行判斷是否已開啟ICAT-LINK容忍策略的模塊，若是，則進行ICAT-LINK容忍模塊，否則進行開啟ICAT容忍策略的模塊；否則，進入連接隊列正常處理模塊，進行TCP協議棧正常的執行模塊；

所述連接隊列正常處理模塊包括：

用于將連接的散列索引值加入全局散列鏈表中，將新生成的連接節點加入連接隊列的模塊。

5.根據權利要求4所述的基于核內存儲的SYN-Flood攻擊的容忍系統，其特征在于，所述ICAT-LINK容忍模塊包括：

用于判斷擴展連接隊列是否已滿的模塊，若是，則進行丟棄連接直接退出的模塊，否則，進行將連接節點索引加入到全局散列鏈表中，將節點加入擴展連接隊列，設置定時器時間后退出的模塊。

6.一種基于核內存儲的SYN-Flood攻擊的容忍方法，其特征在于它包括：

用于對核內接收的SYN包控制的SYN包控制步驟；

用于對核內接收的ACK包處理的ACK包處理步驟；

用于對核內連接隊列控制的連接隊列操作控制步驟；

用于對核內信息進行容忍的ICAT-LINK容忍步驟。