[發(fā)明專利]一種防御網(wǎng)絡(luò)惡意攻擊的方法和裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 202210491880.1
• 申請(qǐng)日: 2022-05-05
• 公開(kāi)（公告）號(hào): CN114826755A
• 公開(kāi)（公告）日: 2022-07-29
• 發(fā)明（設(shè)計(jì)）人: 薛寶軍
• 申請(qǐng)（專利權(quán)）人: 烽火通信科技股份有限公司;成都烽火云網(wǎng)信息技術(shù)有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 深圳市六加知識(shí)產(chǎn)權(quán)代理有限公司 44372
• 代理人: 張甲一;向彬

1.一種防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于：

判定當(dāng)前報(bào)文是否為惡意報(bào)文，將惡意報(bào)文的源IP和/或目的IP加入黑名單；

判定惡意報(bào)文的惡意程度，將黑名單根據(jù)惡意程度分發(fā)至指定區(qū)間的防火墻設(shè)備，防火墻設(shè)備對(duì)惡意報(bào)文進(jìn)行攔截。

2.根據(jù)權(quán)利要求1所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，所述判定當(dāng)前報(bào)文是否屬于惡意報(bào)文，具體包括：

根據(jù)正常訪問(wèn)報(bào)文的源IP和目的IP生成連接跟蹤表；

判斷當(dāng)前報(bào)文是否命中連接跟蹤表、黑名單和/或白名單；

若當(dāng)前報(bào)文命中連接跟蹤表或命中白名單，判定報(bào)文為非惡意報(bào)文；

若當(dāng)前報(bào)文命中黑名單，判定報(bào)文為惡意報(bào)文。

3.根據(jù)權(quán)利要求1所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，所述判定當(dāng)前報(bào)文是否屬于惡意報(bào)文，還包括：

將報(bào)文轉(zhuǎn)發(fā)至陷阱系統(tǒng)，由陷阱系統(tǒng)對(duì)報(bào)文進(jìn)行偽裝回復(fù)；

若接收到偽裝回復(fù)的連接出現(xiàn)后續(xù)惡意行為，判定報(bào)文為惡意報(bào)文。

4.根據(jù)權(quán)利要求1所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，所述將惡意報(bào)文的源IP和/或目的IP加入黑名單，具體包括：

若惡意報(bào)文為lan口報(bào)文，將惡意報(bào)文的目的IP加入黑名單中；

若惡意報(bào)文為wan口報(bào)文，將惡意報(bào)文的源IP加入黑名單中。

5.根據(jù)權(quán)利要求1所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，所述判定惡意報(bào)文的惡意程度，具體包括：

在預(yù)設(shè)時(shí)間段內(nèi)，統(tǒng)計(jì)所有設(shè)備被單一惡意報(bào)文攻擊的總權(quán)重，其中，單臺(tái)設(shè)備每次被攻擊的權(quán)重值根據(jù)攻擊次數(shù)指數(shù)減少；

將總權(quán)重與預(yù)設(shè)惡意權(quán)重區(qū)間比較，獲取惡意報(bào)文的惡意程度。

6.根據(jù)權(quán)利要求5所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，其特征在于，所述統(tǒng)計(jì)所有設(shè)備被單一惡意報(bào)文攻擊的總權(quán)重，還包括：

若惡意報(bào)文的判定方式為通過(guò)陷阱系統(tǒng)判定，增加所述惡意報(bào)文對(duì)于單臺(tái)設(shè)備每次被攻擊的權(quán)重值。

7.根據(jù)權(quán)利要求5所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，還包括：

預(yù)設(shè)時(shí)間段結(jié)束后，若沒(méi)有再受到相同惡意報(bào)文的攻擊，總權(quán)重按照預(yù)設(shè)時(shí)間段為周期指數(shù)減小；

當(dāng)總權(quán)重小于預(yù)設(shè)總權(quán)重下限時(shí)，總權(quán)重值視為0。

8.根據(jù)權(quán)利要求1所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，所述指定區(qū)間的防火墻設(shè)備，具體包括：被攻擊的設(shè)備、同網(wǎng)段的防火墻設(shè)備、相鄰網(wǎng)段的防火墻設(shè)備和全網(wǎng)段的防火墻設(shè)備。

9.根據(jù)權(quán)利要求1所述的防御網(wǎng)絡(luò)惡意攻擊的方法，其特征在于，還包括：

若惡意報(bào)文的判定方式為通過(guò)連接跟蹤表和/或黑名單判定，根據(jù)惡意報(bào)文攻擊的總權(quán)重值變化對(duì)黑名單中惡意報(bào)文對(duì)應(yīng)的IP進(jìn)行刷新；

若惡意報(bào)文的判定方式為通過(guò)陷阱系統(tǒng)判定，惡意報(bào)文的對(duì)應(yīng)IP永久保留在黑名單中。

10.一種防御網(wǎng)絡(luò)惡意攻擊的系統(tǒng)，其特征在于：

包括管控平臺(tái)(1)、陷阱系統(tǒng)設(shè)備(2)和至少一臺(tái)防火墻設(shè)備(3)，管控平臺(tái)(1)、陷阱系統(tǒng)設(shè)備(2)和每臺(tái)防火墻設(shè)備(3)之間通過(guò)網(wǎng)絡(luò)進(jìn)行互連；

其中，管控平臺(tái)(1)、陷阱系統(tǒng)設(shè)備(2)和防火墻設(shè)備(3)中分別包括至少一個(gè)處理器和存儲(chǔ)器，所述至少一個(gè)處理器和存儲(chǔ)器之間通過(guò)數(shù)據(jù)總線連接，所述存儲(chǔ)器存儲(chǔ)能被所述至少一個(gè)處理器執(zhí)行的指令，所述指令在被所述處理器執(zhí)行后，用于完成權(quán)利要求1-9中任一項(xiàng)所述的防御網(wǎng)絡(luò)惡意攻擊的方法。