[發明專利]一種UDP Flood攻擊的防護方法及裝置

有效

• 申請號: 201710566958.0
• 申請日: 2017-07-12
• 公開（公告）號: CN107454065B
• 公開（公告）日: 2020-07-10
• 發明（設計）人: 趙躍明;葉曉虎
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;H04L12/801
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 黃志華

1.一種用戶數據報協議泛濫UDP Flood攻擊的防護方法，其特征在于，應用于清洗設備，所述方法包括：

接收終端發送的UDP報文，判斷自身保存的信任列表或限制列表中是否記錄有所述終端的信息；

如果信任列表中記錄有所述終端的信息，將所述UDP報文轉發至服務器，如果限制列表中記錄有所述終端的信息，對所述UDP報文進行限速處理；

否則，基于傳輸控制協議TCP或控制報文協議ICMP向所述終端發送探測報文，判斷是否接收到所述終端發送的響應報文，如果是，在所述信任列表中添加所述終端的信息，并將所述UDP報文轉發至服務器，如果否，在所述限制列表中添加所述終端的信息，并對所述UDP報文進行限速處理；

其中，所述探測報文包括基于TCP協議的請求SYN報文、確認ACK報文和基于ICMP協議的回聲請求ICMP echo報文；

向所述終端發送SYN報文、ACK報文和ICMP echo報文，如果接收到SYN報文對應的響應報文、ACK報文對應的響應報文和ICMP echo報文對應的響應報文，則在所述信任列表中添加所述終端的信息，否則在所述限制列表中添加所述終端的信息；

所述對所述UDP報文進行限速處理包括：

獲取所述信任列表中的每個終端，在第二設定時間長度內發送的UDP報文的總流量；

判斷所述總流量是否大于所述服務器能接受的最大的理論流量；

如果是，確定對所述UDP報文限速處理后的轉發速率為0；

如果否，根據所述服務器能接受的最大的理論流量和所述總流量的差值，確定限速后的所述UDP報文的轉發速率，并根據限速后的轉發速率轉發所述UDP報文。

2.如權利要求1所述的方法，其特征在于，所述判斷自身保存的信任列表或限制列表中是否記錄有所述終端的信息之前，所述方法還包括：

獲取所述服務器的當前流量，判斷所述當前流量是否大于預設的流量閾值，如果是，確定存在UDP Flood攻擊，進行后續步驟。

3.如權利要求1所述的方法，其特征在于，所述判斷是否接收到所述終端發送的響應報文包括：

判斷在第一設定時間長度內是否接收到所述終端發送的響應報文。

4.一種用戶數據報協議泛濫UDP Flood攻擊的防護裝置，其特征在于，所述裝置包括：

接收判斷模塊，用于接收終端發送的UDP報文，判斷自身保存的信任列表或限制列表中是否記錄有所述終端的信息；

第一處理模塊，用于如果信任列表中記錄有所述終端的信息，將所述UDP報文轉發至服務器，如果限制列表中記錄有所述終端的信息，對所述UDP報文進行限速處理；

第二處理模塊，用于基于傳輸控制協議TCP或控制報文協議ICMP向所述終端發送探測報文，判斷是否接收到所述終端發送的響應報文，如果是，在所述信任列表中添加所述終端的信息，并將所述UDP報文轉發至服務器，如果否，在所述限制列表中添加所述終端的信息，并對所述UDP報文進行限速處理；

其中，所述探測報文包括基于TCP協議的請求SYN報文、確認ACK報文和基于ICMP協議的回聲請求ICMP echo報文；

向所述終端發送SYN報文、ACK報文和ICMP echo報文，如果接收到SYN報文對應的響應報文、ACK報文對應的響應報文和ICMP echo報文對應的響應報文，則在所述信任列表中添加所述終端的信息，否則在所述限制列表中添加所述終端的信息；

所述第一處理模塊和第二處理模塊，具體用于獲取所述信任列表中的每個終端，在第二設定時間長度內發送的UDP報文的總流量；判斷所述總流量是否大于所述服務器能接受的最大的理論流量；如果是，確定對所述UDP報文限速處理后的轉發速率為0；如果否，根據所述服務器能接受的最大的理論流量和所述總流量的差值，確定限速后的所述UDP報文的轉發速率，并根據限速后的轉發速率轉發所述UDP報文。

5.如權利要求4所述的裝置，其特征在于，所述裝置還包括：

獲取判斷模塊，用于獲取所述服務器的當前流量，判斷所述當前流量是否大于預設的流量閾值，如果是，確定存在UDP Flood攻擊，觸發接收判斷模塊。

6.如權利要求4所述的裝置，其特征在于，所述第二處理模塊，具體用于判斷在第一設定時間長度內是否接收到所述終端發送的響應報文。