[發明專利]一種用于防止TCP攻擊的連接管理方法

有效

• 申請號: 201510212942.0
• 申請日: 2015-04-29
• 公開（公告）號: CN104780178B
• 公開（公告）日: 2018-04-10
• 發明（設計）人: 吳志剛;李楠寧;何躍鷹;羅浩;朱海龍;林紳文;常為領;張樹壯;杜雄杰;李應博;劉成;房婧
• 申請（專利權）人: 北京郵電大學;國家計算機網絡與信息安全管理中心
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京聿宏知識產權代理有限公司11372
• 代理人: 鐘日紅,朱繪

1.一種用于防止TCP攻擊的連接管理方法，其特征在于，包括：

獲取TCP連接中原始數據包的連接狀態和五元組信息，基于原始數據包的五元組信息生成第一層流表的鏈表，所述第一層流表的鏈表包括第一HASH索引節點和第一用戶節點，將原始數據包的五元組信息和連接狀態記錄在第一用戶節點中；

基于第一層流表選擇TCP連接中連接狀態為第三次握手的原始數據包之后的數據包作為安全數據包；

根據安全數據包的五元組信息和負載數據生成第二層流表的鏈表，所述第二層流表的鏈表包括第二HASH索引節點、第二用戶節點和數據節點，將安全數據包的五元組信息存儲在第二用戶節點中，將安全數據包的負載數據存儲在數據節點中。

2.如權利要求1所述的用于防止TCP攻擊的連接管理方法，其特征在于，

當接收到安全數據包的FIN報文時，根據FIN報文中攜帶的五元組信息刪除第一層流表的第一用戶節點，并且刪除第二層流表的第二用戶節點和數據節點。

3.如權利要求1所述的用于防止TCP攻擊的連接管理方法，其特征在于，

當TCP連接中原始數據包的連接狀態發生改變時，更新第一層流表的第一用戶節點中記錄的連接狀態，其中，所述連接狀態為第一次握手、第二次握手或者第三次握手。

4.如權利要求1所述的用于防止TCP攻擊的連接管理方法，其特征在于，還包括：

為原始數據包創建第一時間戳，在第一層流表的第一HASH索引節點和第一用戶節點中記錄第一時間戳；

當原始數據包的連接狀態或者負載數據發生改變時，更新第一時間戳。

5.如權利要求4所述的用于防止TCP攻擊的連接管理方法，其特征在于，

在第一層流表的鏈表全部占用的情況下，根據第一時間戳刪除第一層流表中創建時間超過淘汰時間閾值的鏈表。

6.如權利要求4或5所述的用于防止TCP攻擊的連接管理方法，其特征在于，還包括：

為安全數據包創建第二時間戳，在第二層流表的第二HASH索引節點、第二用戶節點和數據節點中記錄第二時間戳；

當安全數據包的負載數據發生改變時，更新第二時間戳。

7.如權利要求6所述的用于防止TCP攻擊的連接管理方法，其特征在于，

遍歷第一層流表和第二層流表，根據第一時間戳刪除第一層流表中創建時間超過超時時間閾值的鏈表的第一用戶節點，以及根據第二時間戳刪除第二層流表中創建時間超過超時時間閾值的鏈表的第二用戶節點和數據節點。

8.如權利要求7所述的用于防止TCP攻擊的連接管理方法，其特征在于，第一層流表的鏈表的首節點為第一HASH索引節點，第一HASH索引節點具有指向首個第一用戶節點的地址指針，且第一用戶節點具有指向下一第一用戶節點的地址指針，從而構成第一用戶節點鏈。

9.如權利要求7所述的用于防止TCP攻擊的連接管理方法，其特征在于，第二層流表的鏈表的首節點為第二HASH索引節點，第二HASH索引節點具有指向首個第二用戶節點的地址指針，第二用戶節點具有指向下一第二用戶節點的地址指針，從而構成第二用戶節點鏈；

第二用戶節點具有指向數據節點的地址指針，屬于同一第二用戶節點的數據節點構成數據節點鏈。

10.如權利要求9所述的用于防止TCP攻擊的連接管理方法，其特征在于，所述將安全數據包的五元組信息存儲在第二用戶節點中的步驟包括：

判斷安全數據包的五元組信息是否已保存在第二層流表的第二用戶節點中；

若未保存，則分配第二用戶節點用于存儲所述五元組信息，使新分配的第二用戶節點作為尾節點加入第二用戶節點鏈中；

若已保存，則修改第二用戶節點的第二時間戳。

11.如權利要求9所述的用于防止TCP攻擊的連接管理方法，其特征在于，所述將安全數據包的負載數據存儲在數據節點的步驟包括：

為安全數據包的負載數據分配至少一個數據節點，用于存儲負載數據；

在數據節點為一個的情況下，使數據節點鏈接至與安全數據包的五元組信息對應的第二用戶節點；

在數據節點為多個的情況下，使數據節點構成數據節點鏈，并鏈接至與安全數據包的五元組信息對應的第二用戶節點。