[發明專利]防御分布式拒絕服務攻擊的方法及系統

有效

• 申請號: 201610024274.3
• 申請日: 2016-01-14
• 公開（公告）號: CN105610851B
• 公開（公告）日: 2018-11-09
• 發明（設計）人: 馬思玄
• 申請（專利權）人: 北京樂動卓越科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京晟睿智杰知識產權代理事務所(特殊普通合伙) 11603
• 代理人: 于淼

本申請公開了一種防御分布式拒絕服務攻擊的方法及系統，包括：檢測設定時間片內訪問網絡的IP地址，并將檢測到的IP地址與數據庫的合法IP記錄集中保存的合法準許訪問IP地址相比較，確定單位時間內新IP地址數量增加速率；根據單位時間內新IP地址數量增加速率情況執行進一步操作：執行未受到攻擊時的處理方式，正常提供服務；執行受到試探性泛洪DDoS拒絕服務攻擊的處理方式；或，執行受到正式性泛洪DDoS拒絕服務攻擊的處理方式。如此方法和系統，能夠根據黑客的攻擊類型動態調整防御力，從而直接拒絕黑客的攻擊源。

技術領域

本申請涉及網絡安全技術領域，具體地說，涉及一種防御分布式拒絕服務攻擊的方法及系統。

背景技術

分布式拒絕服務攻擊(Distributed Denial of Service，DDoS)是網絡安全的重大威脅之一。這種攻擊曾經使得世界上幾家著名電子商務提供商的站點(如雅虎、eBay、亞馬遜等)陷入癱瘓長達數小時甚至數天，造成了巨大的經濟損失。拒絕服務攻擊非常容易發起，并不像其它攻擊一樣需要有一定技術基礎。

拒絕服務攻擊容易實施的根本原因是TCP/IP協議的脆弱性。TCP/IP協議是因特網的基石，它是按照在開放和彼此信任的群體中使用來設計的，在實現上力求效率，而沒有考慮安全因素(如數據認證、完整性、保密性服務等)。例如，網絡擁塞控制在TCP層實現，并且只能在終端結點實施控制，這就使得大量報文可以不受約束地到達終端結點；路由器可以只根據目的地址決定路由，用戶可以任意改變源IP地址，造成地址欺騙攻擊(IP Spoofing)容易實施，拒絕服務攻擊正是利用這個弱點，使得拒絕服務攻擊的真實源頭難以追蹤、拒絕服務攻擊報文的識別異常困難。

傳統的拒絕服務攻擊從一個攻擊源攻擊一個目標，可以很容易地根據流量來識別。但近年來，拒絕服務攻擊已經演變為同時從多個攻擊源攻擊一個目標的形式，即分布式拒絕服務攻擊。DDoS呈現的特征與正常的網絡訪問高峰非常相似，特別是攻擊者采用偽造、隨機變化報文源IP地址、隨機變化攻擊報文內容等辦法，使得DDoS的攻擊特征難以提取，攻擊源的位置難以確定。

專利CN 102891829A公開一種檢測與防御分布式拒絕服務攻擊的方法及系統，通過對設定時間內訪問網絡的報文數量和IP地址的判斷，若判定為泛洪DDoS拒絕服務攻擊時，則對非法的IP地址進行封堵。但現有技術的這種方案存在以下缺點：

第一、上述方案在識別到黑客攻擊后，僅將非法的IP地址進行封堵，不進行進一步的操作。但是如果黑客進行測試攻擊，試探出目標服務器的防御方式，然后針對測試出的防御方式調整攻擊方式，就會使得上述方案中的防御方式失效。

第二、當非法IP增加的速度超過服務器封堵的速度時，仍然會導致服務器宕機。

第三、上述方案中的服務器在接受新IP訪問的同時對非法IP進行拒絕，因為訪問量大，當一大波攻擊源對服務器進行攻擊時，服務器可能尚未來得及拒絕就已經宕機了。

發明內容

有鑒于此，本申請所要解決的技術問題是提供了一種防御分布式拒絕服務攻擊的方法及系統，能夠根據黑客的攻擊類型動態調整防御力，從而直接拒絕黑客的攻擊源。

為了解決上述技術問題，本申請有如下技術方案：

一種防御分布式拒絕服務攻擊的方法，其特征在于，包括：

檢測設定時間片內訪問網絡的IP地址，并將檢測到的IP地址與數據庫的合法IP記錄集中保存的合法準許訪問IP地址相比較，確定單位時間內新IP地址數量增加速率；

根據單位時間內新IP地址數量增加速率情況執行進一步操作：

當所述單位時間內新IP地址數量增加速率小于設定的第一速度閾值時，則判定未受到攻擊，執行未受到攻擊時的處理方式，正常提供服務；