[發明專利]檢測及防御DDoS攻擊的裝置及方法

有效

• 申請號: 201710005758.8
• 申請日: 2017-01-05
• 公開（公告）號: CN106657126B
• 公開（公告）日: 2019-11-08
• 發明（設計）人: 單哲;馬千里
• 申請（專利權）人: 盛科網絡（蘇州）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 蘇州集律知識產權代理事務所(普通合伙) 32269
• 代理人: 安紀平

1.一種檢測及防御分布式拒絕服務DDoS攻擊的裝置，其特征在于，包括報文接收模塊，DDoS報文識別模塊，DDoS報文處理引擎模塊，以及報文轉發模塊；

所述報文接收模塊接收報文正常處理后發送至DDoS報文識別模塊進行DDoS報文識別；

所述DDoS報文識別模塊對報文進行匹配，將匹配的報文標示為需要DDoS報文處理引擎模塊處理的報文，并發送至DDoS報文處理引擎模塊進行相應的處理，DDoS報文識別模塊通過訪問控制列表項，以及本地CPU協議報文識別表項對報文進行匹配，將匹配的報文標示為需要DDOS報文處理引擎模塊處理的報文，所述DDoS報文識別模塊根據所述訪問控制列表項，以及本地CPU協議報文識別表項匹配報文，獲得配置表項Index，根據所述配置表項Index讀取相應的配置表項FlowProfile，所述配置表項FlowProfile包括DDoS門限字段、流細分字段、檢測周期字段，以及阻斷時間長度字段，所述DDoS門限字段用于設置數據報文的數量，所述流細分字段用于對數據報文進一步的篩選，所述檢測周期字段用于設置DDOS報文處理引擎模塊對數據報文的檢測周期，所述阻斷時間長度字段用于設置對數據報文的阻斷時間；

所述DDoS報文處理引擎模塊對標示為需要DDoS報文處理引擎模塊處理的報文檢測處理，若處理結果為丟棄報文，則丟棄報文，否則，將報文發送至報文轉發模塊進行轉發。

2.根據權利要求1所述的裝置，其特征在于，所述流細分字段包括IP頭和TCP頭中的字段，通過選取所述IP頭和TCP頭中的字段并進行哈希計算對報文進行篩選。

3.一種基于權利要求1的檢測及防御分布式拒絕服務DDoS攻擊的裝置的檢測及防御分布式拒絕服務DDoS攻擊方法，其特征在于，包括如下步驟：

步驟1，接收報文并對所述報文進行DDoS報文識別，將匹配的報文標示為需要DDoS處理引擎模塊處理的報文，所述DDoS報文識別包括根據訪問控制列表項，以及本地CPU協議報文識別表項對報文進行匹配，獲得配置表項Index，根據所述配置表項Index讀取相應的配置表項FlowProfile；

步驟2，所述DDoS報文處理引擎模塊對需要DDoS處理引擎模塊處理的報文檢測處理，判斷是否發生DDoS攻擊，若是，則對所述報文進行阻斷，否則，將所述報文發送至報文轉發模塊進行轉發處理；所述步驟2還包括如下步驟：

步驟201，接收需要DDoS處理引擎模塊處理的報文，獲得所述報文的配置表項Index，讀取相應的配置表項FlowProfile；

步驟202，配置所述配置表項FlowProfile中的流細分字段對所述需要DDoS處理引擎模塊處理的報文進行篩選，獲得DDoSRecord表項，所述DDoSRecord表項包括Count字段，以及阻斷標志位字段，所述Count字段表示報文篩選后存在的報文數量，所述阻斷標志位字段用于對報文是否進行阻斷；

步驟203，選擇DDoSRecord表項，判斷是否設置阻斷標志位，若設置，則阻斷報文；否則，執行步驟204；

步驟204，判斷DDoSRecord表項中統計的報文數量是否大于預設閾值，若是，則阻斷報文一個周期；否則，轉發報文。

4.根據權利要求3所述的方法，其特征在于，阻斷周期內DDoS報文處理引擎模塊對DDoSRecord表項的處理方法包括如下步驟：

步驟301，判斷時鐘是否達到預設閾值，若否，時鐘加一操作繼續判斷是否大于預設閾值，若是，執行步驟302；

步驟302，判斷是否達到阻斷時間長度字段中的數值，若是，則清空阻斷標志位，指定下一條DDoSRecord表項，否則，執行步驟303；

步驟303，將阻斷時間長度字段中的數值減一，指定下一條DDoSRecord表項，并將時鐘清零，執行步驟S301～S303。