[發明專利]SYN攻擊防御方法和裝置、存儲介質

有效

• 申請號: 201711367968.8
• 申請日: 2017-12-18
• 公開（公告）號: CN107864156B
• 公開（公告）日: 2020-06-23
• 發明（設計）人: 劉健男
• 申請（專利權）人: 東軟集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京清亦華知識產權代理事務所(普通合伙) 11201
• 代理人: 張潤

1.一種SYN攻擊防御方法，其特征在于，所述方法應用于多核處理器中的防御核，所述方法包括：

在防火墻處于報警模式時，獲取客戶端發送的SYN報文，判斷白名單中是否包含所述SYN報文中的源地址信息；所述SYN報文，為防火墻中的網卡從客戶端接收到且添加到防御核對應的網卡隊列中的SYN報文；

若所述白名單中包含所述源地址信息，則根據所述SYN報文中的五元組信息確定對應的轉發核，以使得所述轉發核正常處理所述SYN報文；

若所述白名單中不包含所述源地址信息，判斷黑名單中是否包含所述源地址信息；

若所述黑名單中不包含所述源地址信息，則將所述源地址信息添加到所述黑名單中，并丟棄所述SYN報文。

2.根據權利要求1所述的方法，其特征在于，當所述黑名單中包含所述源地址信息時，或將所述源地址信息添加到所述黑名單中之后，還包括：

判斷所述黑名單中所述源地址信息對應的write位是否為0；所述write位的初始值為0；

在所述源地址信息對應的write位為0時，根據所述源地址信息向所述客戶端發送SYN-ACK報文，直至接收到轉發核發送的與所述SYN-ACK報文對應的ACK報文，或者所述SYN-ACK報文的發送次數達到預設次數閾值時為止。

3.根據權利要求2所述的方法，其特征在于，還包括：

在所述源地址信息對應的write位不為0時，或接收到所述轉發核發送的與所述SYN-ACK報文對應的ACK報文時，刪除所述黑名單中的所述源地址信息；

將所述源地址信息添加到所述白名單中。

4.根據權利要求1所述的方法，其特征在于，還包括：

在單位時間內丟棄所述SYN報文的數量小于預設數量閾值時，將所述防火墻由所述報警模式轉換為非報警模式，以使得所述轉發核處理所述客戶端發送的SYN報文。

5.一種SYN攻擊防御方法，其特征在于，所述方法應用于多核處理器中的轉發核，所述方法包括：

在防火墻處于非報警模式時，獲取接收到的ACK報文的數量，以及未接收到對應的ACK報文的SYN-ACK報文的數量；

在所述未接收到對應的ACK報文的SYN-ACK報文的數量與所述接收到的ACK報文的數量的比值大于第一比值時，將所述防火墻由非報警模式轉換為報警模式；

在防火墻處于報警模式時，向網卡發送第一配置信息，使得所述網卡根據第一配置信息，將客戶端發送的SYN報文添加到防御核對應的網卡隊列中，以便所述防御核在所述SYN報文的源地址信息不包含在白名單和黑名單中時，將所述源地址信息添加到所述黑名單中，并丟棄所述SYN報文。

6.根據權利要求5所述的方法，其特征在于，還包括：

在防火墻處于報警模式時，判斷是否接收到客戶端發送的與SYN-ACK報文對應的ACK報文；所述SYN-ACK報文為黑名單中源地址信息對應的write位為0時，由防御核根據所述源地址信息發送到所述客戶端的；

在接收到客戶端發送的所述ACK報文時，將所述黑名單中所述源地址信息對應的write位修改為非零值，和/或，將所述ACK報文轉發給所述防御核。

7.一種SYN攻擊防御裝置，其特征在于，所述裝置設置在多核處理器的防御核中，所述裝置包括：

判斷模塊，用于在防火墻處于報警模式時，獲取客戶端發送的SYN報文，判斷白名單中是否包含所述SYN報文中的源地址信息；所述SYN報文，為防火墻中的網卡從客戶端接收到且添加到防御核對應的網卡隊列中的SYN報文；

確定模塊，用于在所述白名單中包含所述源地址信息時，根據所述SYN報文中的五元組信息確定對應的轉發核，以使得所述轉發核正常處理所述SYN報文；

所述判斷模塊，還用于在所述白名單中不包含所述源地址信息時，判斷黑名單中是否包含所述源地址信息；

添加模塊，用于在所述黑名單中不包含所述源地址信息時，將所述源地址信息添加到所述黑名單中，并丟棄所述SYN報文。