[發明專利]一種攻擊防御方法及裝置

有效

• 申請號: 201910341198.2
• 申請日: 2019-04-25
• 公開（公告）號: CN110061998B
• 公開（公告）日: 2022-03-22
• 發明（設計）人: 仇宏迪
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙) 11413
• 代理人: 孟維娜;高鶯然

1.一種攻擊防御方法，其特征在于，應用于檢測設備，所述方法包括：

接收用戶設備向服務器發送的第一報文；

檢測所述服務器當前是否處于正常工作狀態；

若處于正常工作狀態，則檢測所述第一報文是否為掃描報文；所述檢測所述第一報文是否為掃描報文的步驟，包括：

檢測所述第一報文的目的端口是否為所述服務器提供服務的端口，并檢測所述第一報文請求的內容是否為所述服務器提供的服務內容；如果為所述服務器提供服務的端口且為所述服務器提供服務內容，則確定所述第一報文不是掃描報文；否則，則確定所述第一報文是掃描報文；

若是掃描報文，則將所述第一報文發送給監測設備，以使所述監測設備記錄所述第一報文的源網絡協議IP地址與所述第一報文的目的端口的對應關系，根據已記錄的所述第一報文的源IP地址對應的目的端口，確定所述用戶設備的威脅等級，根據所述用戶設備的威脅等級進行反攻擊處理；

若處于異常工作狀態，則檢測所述第一報文是否為探測報文；

若是探測報文，則將所述第一報文發送給監測設備，以使所述監測設備檢測是否已記錄所述第一報文的源IP地址；若記錄，則更新所述用戶設備的威脅等級，根據所述用戶設備更新后的威脅等級進行反攻擊處理；若未記錄，則記錄所述第一報文的源IP地址。

2.根據權利要求1所述的方法，其特征在于，所述檢測所述服務器當前是否處于正常工作狀態的步驟，包括：

檢測所述服務器當前處理的流量值是否大于預設流量閾值；

若不大于所述預設流量閾值，則確定所述服務器當前處于正常工作狀態；

若大于所述預設流量閾值，則確定所述服務器當前處于異常工作狀態。

3.根據權利要求1所述的方法，其特征在于，所述檢測所述第一報文是否為探測報文的步驟，包括：

檢測所述第一報文是否為ping報文，并檢測所述第一報文的源IP地址是否在端口掃描數據庫中，所述端口掃描數據庫存儲有掃描報文的源IP地址；

如果所述第一報文為ping報文，和/或所述第一報文的源IP地址在所述端口掃描數據庫中，則確定所述第一報文為探測報文；

否則，確定所述第一報文不是探測報文。

4.一種攻擊防御方法，其特征在于，應用于監測設備，所述方法包括：

接收檢測設備發送的第一報文，所述第一報文為所述檢測設備接收的用戶設備向服務器發送的報文；

若所述第一報文為所述檢測設備在所述服務器處于正常工作狀態下發送的掃描報文，記錄所述第一報文的源網絡協議IP地址與所述第一報文的目的端口的對應關系；

根據已記錄的所述第一報文的源IP地址對應的目的端口，確定所述用戶設備的威脅等級，根據所述用戶設備的威脅等級進行反攻擊處理；

若所述第一報文為所述檢測設備在所述服務器處于異常工作狀態下發送的探測報文，檢測是否已記錄所述第一報文的源IP地址；

若已記錄，則更新所述用戶設備的威脅等級，根據所述用戶設備更新后的威脅等級進行反攻擊處理；若未記錄，則記錄所述第一報文的源IP地址。

5.根據權利要求4所述的方法，其特征在于，所述方法還包括：

記錄所述第一報文的源IP地址與所述第一報文的接收時間的對應關系；

所述根據已記錄的所述第一報文的源IP地址對應的目的端口，確定所述用戶設備的威脅等級的步驟，包括：

根據已記錄的所述第一報文的源IP地址對應的目的端口，確定所述第一報文的源IP地址對應的目標掃描范圍參數，并根據已記錄的所述第一報文的源IP地址對應的接收時間，確定所述第一報文的源IP地址對應的目標掃描時間參數，所述目標掃描范圍參數包括所述第一報文的源IP地址對應的目的端口的個數和/或所述第一報文的源IP地址對應的目的端口號，所述目標掃描時間參數包括所述第一報文的源IP地址對應的接收時間之間的最大時間間隔和/或單位時間接收源IP地址與所述第一報文的源IP地址相同的報文的個數；

根據預先存儲的掃描范圍參數、掃描時間參數與威脅等級的對應關系，以及所述目標掃描范圍參數和所述目標掃描時間參數，確定所述用戶設備的威脅等級。