[發明專利]限制拒絕服務攻擊的效力的設備、系統及方法

有效

• 申請號: 201410521259.0
• 申請日: 2014-09-30
• 公開（公告）號: CN104519049B
• 公開（公告）日: 2018-11-09
• 發明（設計）人: K·亞當斯;D·J·奎因蘭
• 申請（專利權）人: 瞻博網絡公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華;王冬

一種設備，可以檢測攻擊。該設備可以從客戶端設備接收對資源的請求。該設備可以基于檢測該攻擊來確定待被提供給客戶端設備的計算開銷問題，其中計算開銷問題需要由客戶端設備來解決計算開銷問題的計算。該設備可以通知客戶端設備提供計算開銷問題的解決方案。該設備可以從客戶端設備接收對計算開銷問題的解決方案，該設備可以基于該解決方案來向客戶端設備選擇性地提供對資源的訪問。

背景技術

拒絕服務(DoS)攻擊是一種使得目標設備諸如服務器、路由器或其他網絡資源對于該目標設備的預期用戶而言不可用的企圖。分布式拒絕服務(DDoS)攻擊是一種多于一次地使用源設備和/或位置來攻擊目標設備的DoS攻擊。一種通常的攻擊方法涉及使用很多外部通信請求來使目標設備飽和，以使得目標設備不能對正當的通信進行響應，或者響應得如此慢以至于致使其本質上不可用。DDoS攻擊可以使用僵尸網絡來實現，其中攻擊者使用病毒代碼來感染大量計算設備，并且通知這些計算設備向目標設備發送通信請求。

發明內容

根據一些可能的實現，一種設備可以包括被配置成進行以下操作的一個或多個處理器：檢測拒絕服務攻擊；從客戶端設備接收用于對資源進行訪問請求；基于請求以及另外基于檢測拒絕服務攻擊來確定待被提供給客戶端設備的計算開銷問題；向客戶端設備提供計算開銷問題，該計算開銷問題被提供以使客戶端設備解決該計算開銷問題；從客戶端設備接收對計算開銷問題的解決方案；以及基于該解決方案來授權或拒絕客戶端設備對資源進行訪問。

根據一些可能的實現，一種計算機可讀介質可以存儲在由一個或多個處理器執行時使一個或多個處理器進行以下操作的一個或多個指令：檢測攻擊；從客戶端設備接收對資源的請求；基于檢測攻擊來確定待被提供給客戶端設備的計算開銷問題，其中計算開銷問題需要由客戶端設備來解決計算開銷問題的計算；通知客戶端設備提供計算開銷問題的解決方案；從客戶端設備接收對計算開銷問題的解決方案；以及基于解決方案向客戶端設備選擇性地提供對資源進行訪問。

根據一些可能的實現，一種方法可以包括：由安全設備檢測拒絕服務攻擊；由該安全設備從客戶端設備接收請求；由該安全設備基于檢測拒絕服務攻擊來確定待被提供給客戶端設備的計算開銷問題；由該安全設備確定使客戶端設備解決計算開銷問題的代碼；由該安全設備通知客戶端設備執行代碼，該代碼使客戶端設備生成計算開銷問題的解決方案；由該安全設備從客戶端設備接收解決方案；以及由該安全設備基于該解決方案向客戶端設備提供對請求的響應。

附圖說明

圖1是本文中所描述的示例實現的概述的圖；

圖2是本文中所描述的系統和/或方法可以被實現于其中的示例環境的圖；

圖3是圖2的一個或多個設備的示例部件的圖；

圖4是用于通過增加客戶端資源需求來限制DoS攻擊的效力的示例過程的流程圖；以及

圖5A至5E是與圖4所示的示例過程有關的示例實現的圖。

具體實施方式

對以下示例實現的詳細描述參考附圖。不同附圖中的相同的附圖標記可以標識相同的或相似的元素。

攻擊者諸如黑客可以使用拒絕服務(DoS)攻擊諸如分布式拒絕服務(DDoS)攻擊(例如來自多于一個客戶端設備的DoS攻擊)，以企圖使得網絡設備對于網絡設備的預期用戶而言不可用，或者以降低網絡設備對來自用戶的請求進行響應的可用性。例如，攻擊者可以使用僵尸網絡來使大量客戶端設備向網絡設備發送請求。網絡設備可能被大量請求所壓垮，這可能降低網絡設備對正當請求進行響應的能力。利用僵尸網絡的DoS攻擊對于客戶端設備與網絡設備相比可能計算開銷不高。例如，與網絡設備對請求進行響應所需要的存儲器和/ 或處理能力的量相比，客戶端設備生成和發送請求可能需要較少的存儲器和/或處理能力。本文中所描述的實現可以通過增加客戶端設備向網絡設備發送請求所需要的計算開銷來降低DoS攻擊的效力。