CN100525200C - 一种控制协议报文攻击的方法 - Google Patents

Abstract

本发明公开了一种控制协议报文攻击的方法，主控板接收到业务板的当前受控单元发来的协议报文时，判断所述受控单元的当前报文流量增长率是否大于突发流量阈值，如果大于，则进行攻击控制，将上上次报文流量参值作为所述受控单元的最大传输带宽，并禁止该已发生攻击行为的受控单元向主控板发送协议报文，否则，更新所述受控单元的上上次报文流量参值、上次报文流量参值和当前报文流量参值。本发明方法能够在主控板侧判断攻击行为是否发生，并可及时有效地控制协议报文攻击，而且，攻击控制只针对已发生攻击行为的受控单元，不会影响其它受控单元，从而大大地提高了系统的性能。

Description

一种控制协议报文攻击的方法

技术领域

本发明涉及报文攻击技术，特别是涉及在分布式系统中控制协议报文攻击的方法。

背景技术

分布式系统是指主控模块和转发模块分别设置在不同物理单板的系统，一般由一个主控板和多个业务板构成。图1是主控板和业务板之间的连接关系示意图。参见图1，主控板是指主控模块所在的单板，主要完成设备维护、业务处理、用户管理和认证计费等功能，业务板是指转发模块所在的单板，主要完成报文转发功能。主控板和业务板之间通过背板总线进行通信。

主控板和业务板之间的报文主要是管理报文和控制报文。管理报文是主控板和业务板之间的内部报文，主要完成主控板对业务板的配置管理和状态维护，管理报文通过带外通道传输。控制报文主要是完成业务处理及用户控制等功能的协议报文。协议报文由用户发起，并由业务板接收后转发给主控板，再由主控板对其进行处理，协议报文通过带内通道传输。

管理报文的流量与系统设备有关，并且维持在稳定状态，起伏不大。协议报文的流量与用户数量有关，用户越多，则协议报文的流量越大，并使得协议报文占用的主控板与业务板之间的带内通道的带宽资源，以及占用的主控板协议报文队列的资源越多。但是，主控板的队列资源是有限的，而且协议报文具有严格的时效性，所以当用户在用户侧或者网络侧通过业务板向主控板发送大量的协议报文来攻击系统时，就会使主控板与业务板之间的通道堵塞，导致系统中的设备发生故障，无法进行正常的工作。

为了控制用户发起的协议报文攻击，现有技术的解决方法是：对发送给主控板的协议报文进行接入速率限制(CAR，Committed Acess Rate)。CAR的算法有两种：一种是单令牌桶算法，一种是双令牌桶算法。单令牌桶算法有三个参数：平均速率(average rate)，表示令牌桶中的令牌增加速度；正常突发长度(Normal burst size)；过分突发长度(Excess burst size)。

图2是现有技术采用单令牌桶算法控制协议报文攻击的流程图。参见图2，现有技术实现控制协议报文攻击的具体过程包括以下步骤：

步骤201、业务板接收用户发来的协议报文。

步骤202、在业务板侧，计算令牌桶中的当前令牌数，当前令牌数＝上次剩余令牌数+(接收到当前协议报文与接收到上一个协议报文的时间间隔×平均速率)。

步骤203、计算传输当前协议报文所需的令牌数，传输所需令牌数＝报文长度×加权值，其中，加权值是一个固定值，取决于通信协议。

步骤204、比较当前令牌数与传输所需令牌数，若当前令牌数<传输所需令牌数，则执行步骤205，若当前令牌数>传输所需令牌数，则执行步骤206，若当前令牌数＝传输所需令牌数，则执行步骤210。

步骤205、业务板将当前协议报文丢弃，并结束本流程。

步骤206、计算(当前令牌数-传输所需令牌数)。

步骤207、计算(过分突发长度-正常突发长度)。

步骤208、比较(当前令牌数-传输所需令牌数)与(过分突发长度-正常突发长度)，若(当前令牌数-传输所需令牌数)≥(过分突发长度-正常突发长度)，则执行步骤209，否则执行步骤210。

步骤209、业务板向主控板传输当前协议报文，并结束本流程。

步骤210、降低当前协议报文的传输优先级。

现有技术使用双令牌桶算法实现控制协议报文攻击过程的原理与使用单令牌桶算法实现控制协议报文攻击过程的原理相同。

可见，现有技术存在以下缺点：

1、主控板和业务板均不能判断攻击行为是否发生。

2、只在业务板侧对接收到的协议报文进行CAR处理，而在主控板侧未采取防止协议报文攻击的措施，所以不能对主控板发生的异常情况作出响应。

3、所有业务板均对接收到的协议报文进行CAR处理，不能针对单个用户的业务板发起的攻击进行控制，从而影响了业务板上其它未发起攻击的用户。

4、对于已发生攻击行为的业务板，无法进行有效的攻击控制处理。

发明内容

有鉴于此，本发明的目的在于提供一种控制协议报文攻击的方法，从而及时有效地控制用户的攻击行为。

为了达到上述目的，本发明的技术方案是这样实现的：

一种控制协议报文攻击的方法，应用于主控板和业务板处于不同物理单板的分布式系统中，预先将业务板中的当前受控单元的上上次报文流量参值和上次报文流量参值的初始值设置为所述当前受控单元的报文基流量，该方法包括以下步骤：

A、判断计算出的表征业务板中的当前受控单元发生攻击行为的攻击参数是否大于预先设定的攻击阈值，如果是，则执行步骤B，否则，判断是否需要对当前受控单元的上上次报文流量参值和上次报文流量参值进行更新设置，当需要进行更新设置时，将当前受控单元的上次报文流量参值作为其上上次报文流量参值，并将当前受控单元的当前报文流量参值作为其上次报文流量参值，结束本流程，

其中，所述攻击参数为所述当前受控单元的当前报文流量增长率，所述攻击阈值为主控板允许所述当前受控单元的报文突发流量阈值，且计算攻击参数的步骤包括：将上一次报文流量参值乘以加权值后，与主控板记录的已接收到协议报文数量的值相加，然后将所得的和值除以加权值与1相加后的和，计算出当前报文流量参值，将主控板记录的已接收到协议报文数量的值减去计算出的当前报文流量参值，然后用所得的差除以计算出的当前报文流量参值；

B、禁止业务板的当前受控单元向主控板发送协议报文，且主控板将上上次报文流量参值作为所述当前受控单元的最大传输带宽。

在所述步骤A之前进一步包括：预先设定信用同步周期，当主控板接收到所述当前受控单元发来的当前协议报文时，判断主控板在接收到来自所述当前受控单元的当前协议报文与上一个协议报文的时间间隔内已到达信用同步周期的数目是否为1，如果是，则执行步骤A，否则，结束本流程。

所述判断是否需要对所述当前受控单元的上上次报文流量参值和上次报文流量参值进行更新设置的步骤包括：判断计算出的所述当前受控单元的报文突升幅度是否大于计算出的所述当前受控单元的突升幅度阈值。

计算当前受控单元的报文突升幅度的步骤包括：将上一次报文流量参值减去上上次报文流量参值所得的差除以上上次报文流量参值。

计算当前受控单元的突升幅度阈值的步骤包括：将突发流量阈值除以距离上次更新上一次报文流量参值的时间内到达信用同步周期的数目。

该方法进一步包括：预先设置用于调度各个受控单元的最小链、中间链和最大链，以及不参加调度的空闲链和去激活链，将优先调度的受控单元链接到最小链中，将次优先调度的受控单元链接到中间链中，将最后调度的受控单元链接到最大链中，将已发送完报文的受控单元链接到空闲链中，将被禁止向主控板发送协议报文的受控单元链接到去激活链中。

可见，本发明提出的方法具有以下优点：

(1)、根据本发明提出的方法，主控板可通过多种方式判断受控单元是否已发生攻击行为。

(2)、根据本发明提出的方法，在与受控单元对应队列的队列资源使用率大于该受控单元队列使用率阈值时进行攻击控制，从而可直接对主控板侧报文队列资源使用的异常情况作出响应。

(3)、根据本发明提出的方法，在上层应用程序未在有效时间内接收到可到达的协议报文时进行攻击控制，从而可直接对主控板侧报文到达时间的异常情况作出响应，并可通过上层应用程序区分出发生攻击的协议报文的协议类型，进而可针对不同协议类型的报文进行攻击控制。

(4)、根据本发明提出的方法，只对发生攻击行为的受控单元进行带宽限制，控制攻击的结果只会影响已发生攻击行为的用户，而不会影响其它未发生攻击行为的用户。

(5)、根据本发明提出的方法，将未发生攻击时的上上次报文流量参值作为当前已发生攻击行为的受控单元的私有最大带宽，可限制该受控单元发送的报文流量，消除用户通过该受控单元再次发起攻击的隐患。

(6)、根据本发明提出的方法，对未发生攻击时正常状态的报文流量和带宽分配情况进行采样，并根据采样获得的报文流量和带宽分配样品作为标准以判断是否发生协议报文攻击，从而灵活地适应了业务量的变化情况，实现了动态监控攻击行为的目的。

(7)、根据本发明提出的方法，建立不同优先级别的链表，并根据链表的优先级别对各个受控单元进行调度，从而提高了存储空间利用率，节约了存储资源。

(8)、根据本发明提出的方法，主控板在接收到协议报文以及在受控单元发来当前协议报文与上一个协议报文的时间间隔满足进行攻击控制的时间周期时，才判断攻击行为是否发生以及是否对受控单元的攻击行为进行控制，从而节省了系统的资源开销。

(9)、本发明提出的方法根据实际业务量动态分配业务板带宽，从而保证了公平分配带宽资源，满足了业务变化的需求。

附图说明

图1是主控板和业务板之间的连接关系示意图。

图2是现有技术采用单令牌桶算法控制协议报文攻击的流程图。

图3是实现本发明的实施例1的流程图。

图4是实现本发明的实施例2的流程图。

图5是实现本发明的实施例3的流程图。

具体实施方式

本发明预先将一个进行攻击控制的时间周期设定为信用同步周期，并且在每一个信用同步周期开始时，主控板向业务板的各个受控单元分配带宽。

为了节省系统资源，在本发明中，是否进行协议报文攻击控制的处理由两个因素决定，第一个为是否接收到协议报文，即攻击控制由报文触发，没有接收到报文的时候不进行攻击是否发生的判断，第二个为在接收到受控单元发来的当前协议报文与上一个协议报文的时间间隔内到达信用同步周期的数目，即在该时间间隔内到达信用同步周期的数目不为1时，不进行攻击是否发生的判断。

当用户发送大量协议报文攻击主控板时，系统表现出的现象是：主控板接收的协议报文流量突然增大；主控板的队列资源被大量占用；上层应用程序不能在限定时间内接收到可到达的协议报文。因此，本发明采用三种判断攻击行为发生的方法，即当报文突升幅度大于突升幅度域值时，判定攻击行为发生，或者当队列资源使用率大于队列使用率阈值时，判定攻击行为发生，或者当上层应用程序等待报文到达时间大于时效响应域值时，判定攻击行为发生。

本发明预先设定基流量，基流量是一个经验值，表示在未发生攻击的正常情况下受控单元接收协议报文的流量。

本发明预先设定各个受控单元的三个报文流量值Avg_A、Avg_B和Avg_C，其中，Avg_A表示上上次报文流量参值，Avg_B表示上一次报文流量参值，Avg_C表示当前报文流量参值。同时，设定Avg_B和Avg_C的初始值为基流量。

本发明预先设置总带宽、已用带宽、公用最大带宽、公用最小带宽、私有最大带宽和私有最小带宽，其中，

总带宽是主控板与业务板之间传输协议报文的通信通道的带宽，表示在一个信用同步周期内，允许传输的协议报文的数量。总带宽在系统中是一个确定的值；

已用带宽是系统已占用的带宽，表示在一个信用同步周期内已传输的协议报文的数量；

公用最小带宽是受控单元在一个信用同步周期内必须保证传输的协议报文数量；

公用最大带宽是受控单元在一个信用同步周期内允许传输的协议报文数量；

私有最小带宽是受控单元在一个信用同步周期内必须保证传输的协议报文数量，其初始值为公用最小带宽。在一个信用同步周期内，受控单元每次向主控板发送一个协议报文后，则将该受控单元的私有最小带宽计数值减一；

私有最大带宽是允许受控单元在一个信用同步周期内传输的协议报文数量，其初始值为公用最大带宽。在一个信用同步周期内，受控单元每次向主控板发送一个协议报文后，则将该受控单元的私有最大带宽的计数值减一。受控单元的私有最大带宽计数始终大于其私有最小带宽计数。

本发明在每个信用同步周期开始时，更新公用最大带宽和公用最小带宽，更新方法为：公用最小带宽＝总带宽/受控单元数，公用最大带宽＝(总带宽/已激活受控单元数)×(总带宽/已用带宽)，已激活受控单元数表示当前传输周期内接收到协议报文的受控单元个数。

本发明预先设置用于调度受控单元的链表，包括最小链、中间链、最大链、空闲链和去激活链。其中，最小链的调度优先级别最高，中间链的调度优先级别较低，最大链的调度优先级别最低，空闲链和去激活链均不参加调度。

在本发明中，由于受控单元每次向主控板发送一个协议报文后，均将其私有最小带宽计数值和私有最大带宽计数值减一，并且受控单元的私有最大带宽计数始终大于其私有最小带宽计数，所以，

当受控单元的私有最小带宽计数大于0时，可知其私有最大带宽计数也大于0，则可认为该受控单元占用的带宽还未超过必须保证的最小带宽，即该受控单元在一个信用同步周期内发送的协议报文数量还未满足必须保证传输的协议报文数量。该受控单元的报文流量较小，不存在发生攻击的可能性，因此将该私有最小带宽计数大于0的受控单元连接到最小链中，并优先发送该最小链中的协议报文。

当受控单元的私有最小带宽计数小于0且私有最大带宽计数大于0时，可认为该受控单元占用的最小带宽已经得到保证，并且当前占用的带宽还未超过最大带宽限制，即该受控单元在一个信用同步周期内发送的协议报文数量已满足必须保证传输的协议报文数量，并且，已发送的协议报文数量还未超过允许发送的最大协议报文数量。该受控单元的报文流量正常，不会发生攻击行为，因此将该私有最小带宽计数小于0且私有最大带宽计数大于0的受控单元连接到中间链中，并次优先发送该中间链中的协议报文。

当受控单元的私有最大带宽计数小于0时，可知其私有最小带宽计数也小于0，则可认为该受控单元占用的带宽已超过最大带宽限制，即该受控单元在一个信用同步周期内发送的协议报文数量已超过了允许发送的最大协议报文数量。该受控单元的报文流量较大，存在发生攻击的可能性。因此，将私有最大带宽计数小于0的受控单元连接到最大链中，并最后发送该最大链中的协议报文。

将没有协议报文要发送的受控单元和已发送完协议报文的受控单元连接到空闲链中。

将已确认发生攻击行为的受控单元连接到去激活链中。

本发明方法在一个信用同步周期开始的时候，将所有有报文要发送的受控单元都被连接在最小链中，最小链被优先调度，随着最小链中的受控单元被循环调度，有些受控单元的报文被发送完毕，该受控单元被连接到空闲链中，有些受控单元的私有最小带宽计数小于0，该受控单元被连接到中间链中，最终最小链中不再有受控单元。此时，中间链被调度，随着中间链中的受控单元被循环调度，有些受控单元中的报文被发送完毕，该受控单元被连接到空闲链中，有些受控单元中的私有最大带宽计数小于0，该受控单元被连接到最大链中，最终中间链中不再有受控单元。此时，最大链被调度。如果在调度过程中，空闲链中的受控单元接收到报文，则根据其私有最大带宽计数和私有最小带宽计数，将其连接到相应的链表中参与调度。同时，将已确认发生攻击行为的受控单元连接到去激活链中，并在本信用同步周期内不对其进行调度。

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。

在以下各实施例中，受控单元是一个槽位的一个虚拟局域网(VLAN)，即接收协议报文和控制协议报文攻击均基于一个槽位的一个VLAN。

实施例1：

在本实施例中，预先设定突发流量阈值，突发流量阈值是一个比值，表示在报文流量突然增大时，系统可承受的报文流量变化率。

本实施例通过将当前报文流量增长率与突发流量阈值进行比较，判断攻击行为是否发生。

图3是实现本发明的实施例1的流程图，参见图3，本实施例实现控制协议报文攻击的具体过程包括以下步骤：

步骤301：主控板接收到业务板的一个槽位的一个VLAN发来的协议报文，更新报文计数器的值，即报文计数器的当前值Dyn_Speed＝(上一次报文计数器值+1)。

步骤302：统计在接收到该VLAN发来的当前协议报文与上一个协议报文的时间间隔内到达信用同步周期的数目，若在该时间间隔内到达信用同步周期的数目为0，可认为该时间间隔不满足进行攻击控制的时间周期，则执行步骤303，若在该时间间隔内到达信用同步周期的数目为1，可认为该时间间隔满足进行攻击控制的时间周期，则执行步骤305，若在该时间间隔内到达信用同步周期的数目大于1，可认为在一个较长时间内系统未出现异常情况，则执行步骤304。

步骤303：等待接收下一个协议报文，当接收到下一个协议报文时，返回步骤301。

步骤304：将报文计数器的值置零，然后返回步骤303。

步骤305：根据报文计数器的当前值Dyn_Speed更新当前报文流量参值Avg_C，Avg_C＝(Avg_B×Prop+Dyn_Speed)/(Prop+1)。

式中，Prop是计算加权值，在系统中是一个经验值，因为在正常情况下，Dyn_Speed与基流量相差不大，而Avg_B的初始值为基流量，所以在未发生攻击的情况下，每次计算出的当前报文流量参值Avg_C与Dyn_Speed相差不大。

步骤306：将报文计数器的值置零。

将报文计数器的值置零，是为了在下一个信用同步周期开始时，重新统计接收到协议报文的数量。

步骤307：计算(Dyn_Speed-Avg_C)/Avg_C，得到当前流量增长率，判断当前流量增长率是否大于突发流量阈值，如果大于，则表明当前VLAN已发生攻击行为，则执行步骤310，否则，表明当前VLAN未发生攻击行为，则执行步骤308。

步骤308：计算|(Avg_C-Avg_B)/Avg_B|，得到报文突升幅度，计算(突发流量阈值/X)，得到突升幅度阈值，公式中的X表示当前时间与上一次刷新Avg_A和Avg_B的时间间隔内到达信用同步周期的数目，然后比较报文突升幅度与突升幅度阈值，如果报文突升幅度大于突升幅度阈值，表示当前报文流量的增加幅度很大，则执行步骤309，否则，返回步骤303。

步骤309：刷新保存的当前VLAN的上一次报文流量参值Avg_B和上上次报文流量参值Avg_A，即将Avg_B的值赋给Avg_A，把Avg_C的值赋给Avg_B，然后返回步骤303。

步骤310：对当前槽位的当前VLAN进行攻击控制。因为当前报文流量参值Avg_C为已发生攻击时的报文流量，所以可认为上上次报文流量参值Avg_A为未发生攻击行为时的正常报文流量，则更新当前已发生攻击行为的VLAN的私有最大带宽，即将上上次报文流量参值Avg_A作为当前已发生攻击行为VLAN的私有最大带宽。

步骤311：将已发生攻击行为的当前VLAN连接到去激活链中，在本信用同步周期内，不对该VLAN进行调度。

实施例2：

在本实施例中，预先设定队列使用率阈值，队列使用率阈值是在未发生攻击的正常情况下根据主控板各队列使用情况设定的一个经验值。

本实施例通过将队列资源使用率与队列使用率阈值进行比较，判断攻击行为是否发生。

图4是实现本发明的实施例2的流程图，参见图4，本实施例实现控制协议报文攻击的具体过程为：

将实施例1中发明方法的步骤307换为本实施例发明方法的步骤401，即计算接收到协议报文队列的队列资源使用率，并比较队列资源使用率与队列使用率阈值，如果队列资源使用率大于队列使用率阈值，则表明与当前队列对应的VLAN已发生攻击行为，则执行步骤310，否则表明与当前队列对应的VLAN未发生攻击行为，则执行步骤308；

本实施例实现控制协议报文攻击的其它步骤与实施例1中实现控制协议报文攻击的其它步骤相同。

实施例3：

在本实施例中，预先将允许上层应用程序等待协议报文到达的时间设定为时效响应阈值。

本实施例通过将上层应用程序等待报文到达时间与时效响应阈值进行比较，判断攻击行为是否发生。

图5是实现本发明的实施例3的流程图，参见图5，本实施例实现控制协议报文攻击的具体过程为：

将实施例1中发明方法的步骤307换为本实施例发明方法的步骤501，即判断上层应用程序等待接收可到达协议报文的时间是否大于时效响应阈值，如果大于，则表明与当前上层应用程序对应的VLAN已发生攻击行为，则执行步骤310，否则表明与当前上层应用程序对应的VLAN未发生攻击行为，则执行步骤308；

本实施例实现控制协议报文攻击的其它步骤与实施例1中实现控制协议报文攻击的其它步骤相同。

总之，以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1、一种控制协议报文攻击的方法，应用于主控板和业务板处于不同物理单板的分布式系统中，其特征在于，预先将业务板中的当前受控单元的上上次报文流量参值和上次报文流量参值的初始值设置为所述当前受控单元的报文基流量，该方法包括以下步骤：

A、判断计算出的表征业务板中的当前受控单元发生攻击行为的攻击参数是否大于预先设定的攻击阈值，如果是，则执行步骤B，否则，判断是否需要对当前受控单元的上上次报文流量参值和上次报文流量参值进行更新设置，当需要进行更新设置时，将当前受控单元的上次报文流量参值作为其上上次报文流量参值，并将当前受控单元的当前报文流量参值作为其上次报文流量参值，结束本流程，

其中，所述攻击参数为所述当前受控单元的当前报文流量增长率，所述攻击阈值为主控板允许所述当前受控单元的报文突发流量阈值，且计算攻击参数的步骤包括：将上一次报文流量参值乘以加权值后，与主控板记录的已接收到协议报文数量的值相加，然后将所得的和值除以加权值与1相加后的和，计算出当前报文流量参值，将主控板记录的已接收到协议报文数量的值减去计算出的当前报文流量参值，然后用所得的差除以计算出的当前报文流量参值；

B、禁止业务板的当前受控单元向主控板发送协议报文，且主控板将上上次报文流量参值作为所述当前受控单元的最大传输带宽。

2、根据权利要求1所述的方法，其特征在于，在所述步骤A之前进一步包括：预先设定信用同步周期，当主控板接收到所述当前受控单元发来的当前协议报文时，判断主控板在接收到来自所述当前受控单元的当前协议报文与上一个协议报文的时间间隔内已到达信用同步周期的数目是否为1，如果是，则执行步骤A，否则，结束本流程。

3、根据权利要求1所述的方法，其特征在于，所述判断是否需要对所述当前受控单元的上上次报文流量参值和上次报文流量参值进行更新设置的步骤包括：判断计算出的所述当前受控单元的报文突升幅度是否大于计算出的所述当前受控单元的突升幅度阈值。

4、根据权利要求3所述的方法，其特征在于，计算当前受控单元的报文突升幅度的步骤包括：将上一次报文流量参值减去上上次报文流量参值所得的差除以上上次报文流量参值。

5、根据权利要求3或4所述的方法，其特征在于，计算当前受控单元的突升幅度阈值的步骤包括：将突发流量阈值除以距离上次更新上一次报文流量参值的时间内到达信用同步周期的数目。

6、根据权利要求1所述的方法，其特征在于，该方法进一步包括：预先设置用于调度各个受控单元的最小链、中间链和最大链，以及不参加调度的空闲链和去激活链，将优先调度的受控单元链接到最小链中，将次优先调度的受控单元链接到中间链中，将最后调度的受控单元链接到最大链中，将已发送完报文的受控单元链接到空闲链中，将被禁止向主控板发送协议报文的受控单元链接到去激活链中。

Images