[發明專利]異常網絡流量的攔截方法、裝置、攔截設備及介質

在審

• 申請號: 202210586010.2
• 申請日: 2022-05-26
• 公開（公告）號: CN114793180A
• 公開（公告）日: 2022-07-26
• 發明（設計）人: 王方圓;尚程;何文杰;傅強;梁彧;楊滿智;王杰;田野;金紅;陳曉光
• 申請（專利權）人: 恒安嘉新(北京)科技股份公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L43/08;H04L69/163
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 王瑞云

1.一種異常網絡流量的攔截方法，其特征在于，由與網絡交換設備并聯的攔截設備執行，所述方法包括：

從網絡交換設備上旁路采集復制數據流量，并在復制數據流量中，識別用于建立傳輸控制協議TCP連接的連接建立過程信息，連接建立過程信息為非加密信息；

在連接建立過程信息中，提取終端所需訪問的網站的域名信息，并根據域名信息進行異常網站的檢測；

在根據目標連接建立過程信息確定目標終端所需訪問的目標網站為異常網站時，生成與所述目標終端匹配的TCP連接終端阻斷信息；

將TCP連接終端阻斷信息發送至目標終端，以對目標終端訪問目標網站的行為進行攔截。

2.根據權利要求1所述的方法，其特征在于，從網絡交換設備上旁路采集復制數據流量，包括：

采用鏈路分光，或者交換機鏡像的方式，從網絡交換設備上旁路采集復制數據流量。

3.根據權利要求2所述的方法，其特征在于，從網絡交換設備上旁路采集復制數據流量，包括：

從網絡交換設備上旁路采集基于超文本傳輸協議HTTP的復制數據流量。

4.根據權利要求1所述的方法，其特征在于，在復制數據流量中，識別用于建立TCP連接的連接建立過程信息，包括：

在所述復制數據流量中，獲取終端和/或網站所發送的，與TCP三次握手過程匹配的連接建立過程信息。

5.根據權利要求1所述的方法，其特征在于，根據域名信息進行異常網站的檢測，包括：

將所述域名信息與預先建立的異常網站域名庫進行比對，檢測所述異常網站域名庫中是否存儲所述域名信息。

6.根據權利要求1-5任一項所述的方法，其特征在于，在生成與所述目標終端匹配的TCP連接終端阻斷信息的同時，還包括：

生成與所述目標網站匹配的TCP連接網站阻斷信息；

將所述TCP連接網站阻斷信息發送至所述目標網站，以對所述目標網站向目標終端反饋響應信息的行為進行攔截。

7.根據權利要求1-5任一項所述的方法，其特征在于，生成與所述目標終端匹配的TCP連接終端阻斷信息，包括：

根據所述目標終端和所述目標網站的身份識別信息，構建由所述目標網站指向所述目標終端的拒絕服務信息，作為所述TCP連接終端阻斷信息；

生成與所述目標網站匹配的TCP連接網站阻斷信息，包括：

根據所述目標終端和所述目標網站的身份識別信息，構建由所述目標終端指向所述目標網站的斷開連接信息，作為所述TCP連接網站阻斷信息。

8.一種異常網絡流量的攔截裝置，其特征在于，配置于與網絡交換設備并聯的攔截設備上，包括：

復制數據流量采集模塊，用于從網絡交換設備上旁路采集復制數據流量，并在復制數據流量中，識別用于建立傳輸控制協議TCP連接的連接建立過程信息，連接建立過程信息為非加密信息；

域名提取模塊，用于在連接建立過程信息中，提取終端所需訪問的網站的域名信息，并根據域名信息進行異常網站的檢測；

終端阻斷信息生成模塊，用于在根據目標連接建立過程信息確定目標終端所需訪問的目標網站為異常網站時，生成與所述目標終端匹配的TCP連接終端阻斷信息；

終端阻斷信息發送模塊，用于將TCP連接終端阻斷信息發送至目標終端，以對目標終端訪問目標網站的行為進行攔截。

9.一種攔截設備，其特征在于，所述攔截設備包括：

至少一個處理器；以及

與所述至少一個處理器通信連接的存儲器；其中，

所述存儲器存儲有可被所述至少一個處理器執行的計算機程序，所述計算機程序被所述至少一個處理器執行，以使所述至少一個處理器能夠執行權利要求1-7中任一項所述的異常網絡流量的攔截方法。

10.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有計算機指令，所述計算機指令用于使處理器執行時實現權利要求1-7中任一項所述的異常網絡流量的攔截方法。