[發(fā)明專利]一種確定網(wǎng)絡(luò)攻擊的方法、裝置及電子設(shè)備

在審

• 申請?zhí)枺?/td>: 202210265485.1
• 申請日: 2022-03-17
• 公開（公告）號: CN114697088A
• 公開（公告）日: 2022-07-01
• 發(fā)明（設(shè)計）人: 郭思奇;鄧軍;李明;賀艷;樊宇;李新亮;張昕
• 申請（專利權(quán)）人: 神州綠盟成都科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/141
• 代理公司: 北京同達(dá)信恒知識產(chǎn)權(quán)代理有限公司 11291
• 代理人: 周秀珍

1.一種確定網(wǎng)絡(luò)攻擊的方法，其特征在于，所述方法包括：

接收服務(wù)器發(fā)送的第一響應(yīng)報文；

基于服務(wù)器發(fā)送的第二響應(yīng)報文與所述第一響應(yīng)報文之間的時間差在預(yù)設(shè)時間段內(nèi)，確定建立所述服務(wù)器與防護(hù)對象的TCP連接；其中，所述第二響應(yīng)報文為所述服務(wù)器在發(fā)送第一響應(yīng)報文之后發(fā)送的響應(yīng)報文；和/或

響應(yīng)于所述服務(wù)器與所述防護(hù)對象建立TCP連接，根據(jù)所述服務(wù)器發(fā)送校正報文，確定所述服務(wù)器是否受到網(wǎng)絡(luò)攻擊。

2.如權(quán)利要求1所述的方法，其特征在于，所述基于服務(wù)器發(fā)送的第二響應(yīng)報文與所述第一響應(yīng)報文之間的時間差在預(yù)設(shè)時間段內(nèi)，確定建立所述服務(wù)器與防護(hù)對象的TCP連接，包括：

丟棄所述第一響應(yīng)報文，并向所述服務(wù)器發(fā)送重置會話報文；其中，所述第一響應(yīng)報文為所述服務(wù)器響應(yīng)于防護(hù)對象請求建立第一會話連接向所述防護(hù)對象發(fā)送的報文，所述重置會話報文為中斷所述第一會話的報文；

在發(fā)送所述重置會話報文后，接收所述服務(wù)器發(fā)送的第二響應(yīng)報文；其中，所述第二響應(yīng)報文為所述服務(wù)器響應(yīng)于所述防護(hù)對象請求建立第二會話連接向所述防護(hù)對象發(fā)送的報文；

計算接收所述第一響應(yīng)報文與接收所述第二響應(yīng)報文之間的時間差；

響應(yīng)于所述時間差在預(yù)設(shè)時間段內(nèi)，建立所述服務(wù)器與防護(hù)對象之間的TCP連接。

3.如權(quán)利要求2所述的方法，其特征在于，所述丟棄所述第一響應(yīng)報文，并向所述服務(wù)器發(fā)送重置會話報文，包括：

確定所述第一響應(yīng)報文的源IP地址；

響應(yīng)于白名單中存在所述源IP地址，判定所述服務(wù)器未受到網(wǎng)絡(luò)攻擊；

響應(yīng)于黑名單中存在所述源IP地址，判定所述服務(wù)器受到網(wǎng)絡(luò)攻擊；

響應(yīng)于所述白名單和所述黑名單中都不存在所述源IP地址，丟棄所述第一響應(yīng)報文，并向所述服務(wù)器發(fā)送重置會話報文。

4.如權(quán)利要求2所述的方法，其特征在于，在所述計算接收所述第一響應(yīng)報文與接收所述第二響應(yīng)報文之間的時間差之后，還包括：

響應(yīng)于所述時間差不在預(yù)設(shè)時間段內(nèi)，判定所述服務(wù)器受到網(wǎng)絡(luò)攻擊；

確定所述服務(wù)器的源IP地址，并將所述源IP地址加入黑名單中；其中，所述黑名單為預(yù)設(shè)周期更新的存儲受到網(wǎng)絡(luò)攻擊的源IP地址的數(shù)據(jù)庫。

5.如權(quán)利要求1所述的方法，其特征在于，所述響應(yīng)于所述服務(wù)器與所述防護(hù)對象建立TCP連接，根據(jù)所述服務(wù)器發(fā)送校正報文，確定所述服務(wù)器是否受到網(wǎng)絡(luò)攻擊，包括：

響應(yīng)于服務(wù)器與防護(hù)對象建立TCP連接，接收所述服務(wù)器發(fā)送的首個攜帶數(shù)據(jù)的數(shù)據(jù)報文；

丟棄接收的首個數(shù)據(jù)報文，并向所述服務(wù)器發(fā)送探測報文；其中，所述探測報文為不攜帶正確序列號的報文；

在發(fā)送所述探測報文后，接收所述服務(wù)器發(fā)送的校正報文；其中，所述校正報文為攜帶校正序列號的報文；

響應(yīng)于所述校正序列號加上指定數(shù)值與所述正確序列號一致，確定所述服務(wù)器未受到網(wǎng)絡(luò)攻擊。

6.如權(quán)利要求5所述的方法，其特征在于，在所述接收所述服務(wù)器發(fā)送的校正報文之后，還包括：

響應(yīng)于所述校正序列號加上指定數(shù)值與所述正確序列號不一致，判定所述服務(wù)器受到網(wǎng)絡(luò)攻擊；

確定所述服務(wù)器的源IP地址，并將所述源IP地址加入黑名單中；其中，所述黑名單為預(yù)設(shè)周期更新的存儲受到網(wǎng)絡(luò)攻擊的源IP地址的數(shù)據(jù)庫。

7.如權(quán)利要求5所述的方法，其特征在于，在所述確定所述服務(wù)器未受到網(wǎng)絡(luò)攻擊之后，還包括：

確定所述服務(wù)器的源IP地址，并將所述源IP地址加入白名單中；其中，所述白名單為預(yù)設(shè)周期更新的存儲未受到網(wǎng)絡(luò)攻擊的源IP地址的數(shù)據(jù)庫。