CN101447996A - 分布式拒绝服务攻击防护方法、系统及设备 - Google Patents

Abstract

本发明公开了一种分布式拒绝服务攻击防护方法、系统及设备，所述方法包括：定时扫描被保护服务器的端口，确定所述端口的服务类型；根据所述端口的服务类型生成对应所述被保护服务器的服务策略；利用所述服务策略对访问所述被保护服务器的数据流进行过滤。利用本发明，可以保障应用层数据的安全性，提高网络对分布式拒绝服务攻击的防护能力。

Description

分布式拒绝服务攻击防护方法、系统及设备

技术领域

本发明涉及网络技术，具体涉及一种分布式拒绝服务攻击防护方法、系统及设备。

背景技术

拒绝服务(DOS，Denial of Service)是指使用超出被攻击目标处理能力的海量数据包消耗系统可用带宽资源，致使网络服务瘫痪的一种攻击手段。DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了。此时，分布式拒绝服务攻击(DDOS，Distributed Denialof Service)应运而生。

DDOS是在传统的DoS攻击基础之上产生的一类攻击方式。如图1所示，整个DDOS攻击主要是指攻击者利用主控主机做跳板(可能多级多层)控制大量受感染而被控制的主机(受控主机)组成攻击网络来对受害主机进行大规模的拒绝服务攻击。这种攻击往往能把单个攻击者的攻击以级数形式进行放大，从而对用户主机造成重大影响，对网络也会造成严重拥塞。

DDoS的攻击类型目前主要包括三种方式，即TCP-SYN Flood(传输控制协议同步洪水)攻击、UDP Flood(用户数据报协议洪水)攻击以及提交脚本攻击。

为了防御运营商难以避免的而且日益严重的网络威胁，一些安全厂商也相应发布了自己的DoS/DDoS防御安全解决方案。其中一种方案是在运营商的城域网或IDC(Internet Data Center，互联网数据中心)内构建一个DoS/DDoS流量清洗中心，即将两台DoS/DDoS防御设备旁路部署在两台城域网核心路由器上，两台DoS/DDoS防御设备构成了城域网安全防护/DDoS清洗中心，安全防护中心监听网络的下行数据，当安全防护中心发现攻击后通知清洗中心进行清洗，清洗中心通知核心路由器将被保护网段的数据流导向到清洗中心，达到过滤掉DDOS攻击流量，放行正常访问流量的目的。

在实现本发明的过程中，发明人发现这种解决方案至少还存在以下问题：

由于目前常规防护算法大都是采用的三层、四层防护技术，而没有针对于应用层的防护，即清洗中心无法对应用数据进行过滤。

发明内容

本发明实施例提供一种分布式拒绝服务攻击防护方法、系统及设备，以保障应用层数据的安全性，提高网络对DDOS攻击的防护能力。

本发明实施例提供的一种分布式拒绝服务攻击防护方法，包括：

定时扫描被保护服务器的端口，确定所述端口的服务类型；

根据所述端口的服务类型生成对应所述被保护服务器的服务策略；

利用所述服务策略对访问所述被保护服务器的数据流进行过滤。

本发明实施例提供的一种分布式拒绝服务攻击防护系统，包括：

扫描装置，用于定时扫描被保护服务器的端口，确定所述端口的服务类型；并根据所述端口的服务类型生成对应所述被保护服务器的服务策略；

清洗装置，利用所述服务策略对访问所述被保护服务器的数据流进行过滤。

本发明实施例提供的一种扫描装置，包括：

端口选择单元，用于选择被保护服务器的一个或多个端口；

状态检查单元，用于检查所述端口是否处于开放状态；

服务类型确定单元，用于向经所述状态检查单元检查确定处于开放状态的端口发送预定的数据包，根据所述端口返回的数据包确定所述端口的服务类型；

策略生成单元，用于根据所述端口的服务类型生成对应所述被保护服务器的服务策略。

本发明实施例提供的分布式拒绝服务攻击防护方法及系统，通过定时扫描被保护服务器的端口，确定所述端口的服务类型，根据所述端口的服务类型生成对应所述被保护服务器的服务策略，利用所述服务策略对访问所述被保护服务器的数据流进行过滤。从而可以防止无状态服务的类似UDP上的应用服务洪水攻击，保证应用层数据的安全，提高网络对DDOS攻击的防护能力。

附图说明

图1是现有技术中DDOS攻击的原理示意图；

图2是本发明实施例分布式拒绝服务攻击防护方法的流程图；

图3是本发明实施例方法中对被保护服务器进行扫描的流程图；

图4是本发明实施例分布式拒绝服务攻击防护系统的一种结构示意图；

图5是本发明实施例分布式拒绝服务攻击防护系统的另一种结构示意图；

图6是本发明实施例分布式拒绝服务攻击防护系统的一种应用组网示意图；

图7是本发明实施例分布式拒绝服务攻击防护系统的另一种应用组网示意图；

图8是本发明实施例扫描装置的结构示意图；

图9是本发明实施例清洗装置的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例的方案，下面结合附图和实施方式对本发明实施例作进一步的详细说明。

如图2所示，是本发明实施例分布式拒绝服务攻击防护方法的流程图，主要包括以下步骤：

步骤201，定时扫描被保护服务器的端口，确定所述端口的服务类型；

在扫描被保护服务器的端口，确定所述端口的服务类型时，可以选择被保护服务器的一个或多个端口，检查所述端口是否处于开放状态，然后向处于开放状态的端口发送预定的数据包，根据所述端口返回的数据包确定所述端口的服务类型；

在检查所述端口是否处于开放状态时，向所述端口发送请求消息，如果收到所述端口的回复消息，则可以确定所述端口处于开放状态；

在一个网络系统中，需要被保护的服务器可以有多个，而且可以分布于不同的网段。这样，可以依次对这些服务器的一个或多个端口进行扫描，来确定各端口的服务类型；

当然，需要扫描的服务器以及服务器的端口这些信息，是可以预先配置的，可以将其存放在一个列表文件中，需要扫描时，从该列表文件中依次读取各服务器的地址进行扫描；

步骤202，根据所述端口的服务类型生成对应所述被保护服务器的服务策略；

所述服务策略可以包括以下一种或任意多种：非法端口过滤、协议内容检查、协议数据限速；当然，本发明实施例并不仅限于这几种，还可以生成更细的服务策略；

步骤203，利用所述服务策略对访问所述被保护服务器的数据流进行过滤。

比如，首先进行非法端口过滤，对访问未开放端口的数据流直接丢弃；对访问开放端口的数据流进行协议内容检查，即利用应用协议的协议格式进行数据包格式校验，不符合的数据包直接丢弃；除此之外，还可以进一步进行协议数据限速处理，比如，根据服务的重要性和用户确认的服务优先级动态生成各个服务的限速阈值，保证用户的重要流量能优先通过。

可见，本发明实施例通过对被保护服务器进行扫描，根据所述端口的服务类型生成对应所述被保护服务器的服务策略，因而可以根据其端口类型即可过滤到流经该端口的一些非法数据流，即使对访问该被保护服务器的UDP等无状态的数据，也可以根据相应的服务策略进行过滤，从而保证了被保护服务器的安全。

在前面提到，在一个网络系统中，需要被保护的服务器可以有多个，而且可以分布于不同的网段。针对这种情况，可以将需要扫描的服务器以及服务器的端口这些信息，存放在一个列表文件中，需要扫描时，从该列表文件中依次读取各服务器的地址进行扫描。

图3示出了本发明实施例方法中对被保护服务器进行扫描的流程图，主要包括以下步骤：

步骤301，读取服务器列表文件；

步骤302，读取文件中服务器的地址；

步骤303，检查所述服务器的一个或多个端口是否处于开放状态；如果是，执行步骤304；否则执行步骤306；

步骤304，向处于开放状态的端口发送预定的数据包；

步骤305，根据所述端口返回的数据包确定所述端口的服务类型；

步骤306，检查服务器列表文件中是否还有服务器待扫描；如果是，则执行步骤302；否则执行步骤307；

步骤307，根据扫描结果生成对应各服务器的服务策略。

需要说明的是，通过生成的服务策略主要可以解决无状态服务的类似UDP上的应用服务洪水安全问题，保证应用层数据的安全。

本发明实施例的方法，可以对访问所述被保护服务器的数据流进行实时过滤，而且由于是根据对被保护服务器的端口扫描结果生成相应的服务策略，因而可以根据该服务策略可以过滤到无状态服务的类似UDP上的应用服务洪水攻击，以及非法的应用数据。也可以同时结合现有的对三层、四层的防护算法，同时实现对三层、四层以及应用层的防护。

比如，实时检测访问所述被保护服务器的数据流，如果发现所述数据流中有攻击数据，则根据预设的防护算法对所述数据流进行清洗。

在具体实现时，可以设置一个清洗中心，在发现所述数据流中有攻击数据时，通知清洗中心，由清洗中心通知核心路由器将访问所述被保护服务器的数据流导向到该清洗中心，由清洗中心根据预设的防护算法对所述数据流进行清洗。所述预设的防护算法可以是常规的对三层、四层的防护算法。同时，还需要将生成的服务策略也发送给清洗中心。这样，清洗中心根据首先预设的防护算法对所述数据流进行清洗后，然后再根据所述服务策略对清洗后的数据流进行过滤，从而既可以保证被保护服务器的安全性，又可以提高清洗中心的处理效率。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，所述的存储介质，如：ROM/RAM、磁碟、光盘等。

如图4所示，是本发明实施例分布式拒绝服务攻击防护系统的结构示意图。

该系统包括：扫描装置401和清洗装置402。其中，扫描装置401用于定时扫描被保护服务器的端口，确定所述端口的服务类型；并根据所述端口的服务类型生成对应所述被保护服务器的服务策略；清洗装置402利用所述服务策略对访问所述被保护服务器的数据流进行过滤。

针对在网络中有多个需要被保护的服务器的情况，所述系统还可以进一步包括：存储装置403，用于存储被保护服务器列表，在该被保护服务器列表中包括服务器的IP地址，还可进一步包括各服务器需要扫描的端口。当然，各服务器需要扫描的端口也可以设为默认值，比如，扫描服务器的所有端口，或者仅扫描HTTP端口(默认值为80)等。

优选地，所述扫描装置401包括：端口选择单元411、状态检查单元412、服务类型确定单元413和策略生成单元414。其中：

端口选择单元411用于选择所述被保护服务器列表中的被保护服务器的一个或多个端口；状态检查单元412用于检查所述端口是否处于开放状态；服务类型确定单元413用于向经所述状态检查单元检查确定处于开放状态的端口发送预定的数据包，根据所述端口返回的数据包确定所述端口的服务类型；策略生成单元414用于根据所述端口的服务类型生成对应所述被保护服务器的服务策略，所述服务策略可以包括以下一种或任意多种：非法端口过滤、协议内容检查、协议数据限速。当然，本发明实施例中的服务策略并不仅限于这几种，根据实际应用需要，还可以生成更细的服务策略。

利用本发明实施例分布式拒绝服务攻击防护系统，可以实现对DDOS攻击的防护，解决无状态服务的类似UDP上的应用服务洪水安全问题，保证应用层数据的安全，具体过程可参照前面本发明方法实施例中的描述，在此不再详细赘述。

如图5所示，是本发明实施例分布式拒绝服务攻击防护系统的另一种结构示意图。

与图4所示实施例的区别在于，在该实施例中，所述系统还包括：监控装置404，用于实时检测访问所述被保护服务器的数据流，并在发现所述数据流中有攻击数据后，通知清洗装置402。这样，清洗装置402还可以根据预设的防护算法对所述数据流进行清洗，所述预设的防护算法可以是常规的对三层、四层的防护算法。

利用本发明实施例分布式拒绝服务攻击防护系统，可以同时实现对三层、四层以及应用层的防护。不仅可以保证被保护服务器的安全性，而且可以提高清洗中心的处理效率。

在具体应用时，本发明实施例分布式拒绝服务攻击防护系统，与网络中的设备的连接可以有多种方式。

如图6所示，是本发明实施例分布式拒绝服务攻击防护系统的一种应用组网示意图。

在该组网方式中，本发明实施例分布式拒绝服务攻击防护系统60串接在路由器67和路由器65之间的网路上，其中的清洗装置602用来对访问被保护服务器61、62、63、64的数据流进行实时清洗，以防止三层、四层的DDOS攻击。同时，所述系统60中的扫描装置601通过路由器65定时对所述被保护服务器进行扫描，并生成相应的服务策略，清洗装置602根据该服务策略对清洗后的数据流进行过滤，比如，首先进行非法端口过滤，对访问未开放端口的数据流直接丢弃；对访问开放端口的数据流进行协议内容检查，即利用应用协议的协议格式进行数据包格式校验，不符合的数据包直接丢弃；除此之外，还可以进一步进行协议数据限速处理，比如，根据服务的重要性和用户确认的服务优先级动态生成各个服务的限速阈值，保证用户的重要流量能优先通过。

如图7所示，是本发明实施例分布式拒绝服务攻击防护系统的另一种应用组网示意图。

在该组网方式中，本发明实施例分布式拒绝服务攻击防护系统70通过并联方式实时监听网络的上下行数据流，在监控装置703中可以设置各种检测算法对监听到的网络数据进行分析、判断，一旦判断有攻击数据，则通知清洗装置702。清洗装置702能够和网络中的核心路由器通信，接到通知后便向上层路由器发送一个更新路由的信息，这样下行数据便会经过清洗装置702，清洗装置702根据监控装置703的检测结果和预置的防护算法对下行数据流进行清洗。同时，扫描装置701通过网络中的核心路由器定时对被保护服务器71、72、73进行扫描，并根据扫描结果生成对应于各被保护服务器的服务策略，并将所述服务策略发送给清洗装置702。这样，清洗装置702根据该服务策略对清洗后的数据流进一步过滤，比如，首先进行非法端口过滤，对访问未开放端口的数据流直接丢弃；对访问开放端口的数据流进行协议内容检查，即利用应用协议的协议格式进行数据包格式校验，不符合的数据包直接丢弃；除此之外，还可以进一步进行协议数据限速处理，比如，根据服务的重要性和用户确认的服务优先级动态生成各个服务的限速阈值，保证用户的重要流量能优先通过。这样，不仅可以保证被保护服务器的安全性，而且可以提高清洗中心的处理效率。

由上述实施例可见，不论哪种组网方式，利用本发明实施例分布式拒绝服务攻击防护系统，可以同时实现对三层、四层以及应用层的防护。

本发明实施例还提供了一种扫描装置，如图8所示，是该扫描装置的结构示意图。

在该实施例中，所述扫描装置包括：端口选择单元801、状态检查单元802、服务类型确定单元803和策略生成单元804。其中，端口选择单元801，用于选择被保护服务器的一个或多个端口；状态检查单元802，用于检查所述端口是否处于开放状态；服务类型确定单元803，用于向经所述状态检查单元检查确定处于开放状态的端口发送预定的数据包，根据所述端口返回的数据包确定所述端口的服务类型；策略生成单元804，用于根据所述端口的服务类型生成对应所述被保护服务器的服务策略，所述服务策略包括以下一种或任意多种：非法端口过滤、协议内容检查、协议数据限速。

利用本发明实施例的扫描装置，可以扫描被保护服务器的端口，确定所述端口的服务类型，并根据所述端口的服务类型生成对应所述被保护服务器的服务策略。具体扫描过程可参照前面本发明实施例的方法中的描述。

本发明实施例还提供了一种清洗装置，如图9所示，是该清洗装置的结构示意图。

在该实施例中，所述清洗装置900包括：过滤单元901和清洗单元902。其中，过滤单元901，用于利用预先根据服务器端口的服务类型生成的服务策略对访问被保护服务器的数据流进行过滤；清洗单元902，用于根据预设的防护算法对被保护服务器的数据流中的攻击数据进行清洗。

其中，服务策略的生成可以有多种实现方式，同样，预设的防护算法也可以有多种。利用本发明实施例的清洗装置，可以同时实现对三层、四层以及应用层的防护，保证被保护服务器的安全性。

以上对本发明实施例进行了详细介绍，本文中应用了具体实施方式对本发明进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及设备；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (12)

1、一种分布式拒绝服务攻击防护方法，其特征在于，包括：

定时扫描被保护服务器的端口，确定所述端口的服务类型；

根据所述端口的服务类型生成对应所述被保护服务器的服务策略；

利用所述服务策略对访问所述被保护服务器的数据流进行过滤。

2、根据权利要求1所述的方法，其特征在于，所述定时扫描被保护服务器的端口，确定所述端口的服务类型包括：

选择被保护服务器的一个或多个端口，检查所述端口是否处于开放状态；

向处于开放状态的端口发送预定的数据包；

根据所述端口返回的数据包确定所述端口的服务类型。

3、根据权利要求2所述的方法，其特征在于，所述检查所述端口是否处于开放状态包括：

向所述端口发送请求消息；

如果收到所述端口的回复消息，则确定所述端口处于开放状态。

4、根据权利要求1所述的方法，其特征在于，所述服务策略包括以下一种或任意多种：非法端口过滤、协议内容检查、协议数据限速。

5、根据权利要求1至4任一项所述的方法，其特征在于，所述方法还包括：

实时检测访问所述被保护服务器的数据流；

如果发现所述数据流中有攻击数据，则根据预设的防护算法对所述数据流进行清洗。

6、一种分布式拒绝服务攻击防护系统，其特征在于，包括：

扫描装置，用于定时扫描被保护服务器的端口，确定所述端口的服务类型；并根据所述端口的服务类型生成对应所述被保护服务器的服务策略；

清洗装置，利用所述服务策略对访问所述被保护服务器的数据流进行过滤。

7、根据权利要求6所述的系统，其特征在于，所述扫描装置包括：

端口选择单元，用于选择被保护服务器的一个或多个端口；

状态检查单元，用于检查所述端口是否处于开放状态；

服务类型确定单元，用于向经所述状态检查单元检查确定处于开放状态的端口发送预定的数据包，根据所述端口返回的数据包确定所述端口的服务类型；

策略生成单元，用于根据所述端口的服务类型生成对应所述被保护服务器的服务策略。

8、根据权利要求6所述的系统，其特征在于，所述系统还包括：

存储装置，用于存储被保护服务器列表；

所述端口选择单元根据所述被保护服务器列表选择被保护服务器的一个或多个端口。

9、根据权利要求6所述的系统，其特征在于，所述服务策略包括以下一种或任意多种：非法端口过滤、协议内容检查、协议数据限速。

10、根据权利要求6至9任一项所述的系统，其特征在于，所述系统还包括：

监控装置，用于实时检测访问所述被保护服务器的数据流，并在发现所述数据流中有攻击数据后，通知所述清洗装置；

所述清洗装置还用于根据预设的防护算法对所述数据流进行清洗。

11、一种扫描装置，其特征在于，包括：

端口选择单元，用于选择被保护服务器的一个或多个端口；

状态检查单元，用于检查所述端口是否处于开放状态；

服务类型确定单元，用于向经所述状态检查单元检查确定处于开放状态的端口发送预定的数据包，根据所述端口返回的数据包确定所述端口的服务类型；

策略生成单元，用于根据所述端口的服务类型生成对应所述被保护服务器的服务策略。

12、根据权利要求11所述的扫描装置，其特征在于，所述服务策略包括以下一种或任意多种：非法端口过滤、协议内容检查、协议数据限速。

Images