CN101478539B

CN101478539B - 一种防止网络攻击的方法和网络设备

Info

Publication number: CN101478539B
Application number: CN2008102422252A
Authority: CN
Inventors: 王勇
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2008-12-31
Filing date: 2008-12-31
Publication date: 2012-05-23
Anticipated expiration: 2028-12-31
Also published as: CN101478539A

Abstract

本发明涉及通信领域，公开了一种防止网络攻击的方法和网络设备，解决了现有技术中网络攻击效果不佳的问题。该方法为进入网络设备的每一种协议的报文预先设置至少两个约定访问速率CAR速率通道和至少一个速率阈值；根据通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率与所述预先为每一种协议的报文设置的速率阈值之间的关系，选择相应的CAR速率通道上送所述每一种协议的报文。能够有效解决目前网络设备对报文只使用一个CAR进行统一速率限定，而可能出现合法用户的正常上送报文被攻击报文挤掉，导致通信中断的缺陷。本发明还公开了一种防止网络攻击的网络设备。

Description

一种防止网络攻击的方法和网络设备

技术领域

本发明涉及通信领域，特别涉及一种防止网络攻击的方法和网络设备。

背景技术

随着因特网的迅速发展，网络攻击也日益频繁，攻击除了针对终端设备也包括网络设备，例如针对路由器，交换机等，攻击者一般通过在短时间内向其发送大量的需要其处理的伪造报文，导致系统忙于处理这些报文，而使其他正常的任务处理受到影响以达到攻击的目的。在严重的情况，这种攻击会导致系统资源耗尽，使设备宕机。

为了防止这类网络攻击，在网络设备上采用CAR(CommittedAccess Rate，约定访问速率)进行限制是一种较常见的方法。CAR是通信领域中经常采用的流量控制技术，通常在网络设备通过设置CAR来控制报文以约定的速率进出，达到提供特定网络服务质量的目的。

采用CAR进行流量的控制，能够有效的保护网络设备，网络上即使出现了攻击报文，网络设备也仍然能够正常工作。但是，目前利用CAR技术进行防攻击一般是对所有上送处理的报文进行统一的速率限定，而不关心报文从哪里来、是什么类型的报文等等。如果来自某一个端口的攻击报文流量过大，则即使采用了CAR进行流量的控制，来自其他端口正常上送的报文仍然可能会被挤掉。类似的，如果来自某一种协议的攻击报文流量过大，那么即使采用了CAR进行流量的控制，来自其他协议正常上送的报文仍然可能会被挤掉。这两种情况都会导致合法用户的正常通信中断。

发明内容

有鉴于此，本发明的实施例提供了一种防止网络攻击的方法和网络设备，以改善现有技术中防止网络攻击效果。

一种防止网络攻击的方法，包括：

为进入网络设备的每一种协议的报文预先设置至少两个约定访问速率CAR速率通道和至少一个速率阈值；

根据通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率与所述预先为每一种协议的报文设置的速率阈值之间的关系，选择相应的CAR速率通道上送所述每一种协议的报文。

一种防止网络攻击的网络设备，包括：

设置模块，用于为进入所述网络设备的每一种协议的报文预先设置至少两个CAR速率通道和至少一个速率阈值；

上送模块，用于根据通过所述网络设备的每一个端口的每一种协议的报文的上送速率与所述设置模块预先为所述每一种协议的报文设置的速率阈值之间的关系，选择相应的CAR速率通道上送所述每一种协议报文。

在本发明的实施例中，通过为每种协议的报文设置多个CAR速率通道，统计进入网络设备每一个端口的各种协议报文的速率，判断其是否超过相应的阈值，设定进入网络设备的每一种协议的报文走不同的CAR速率通道，能够有效解决目前网络设备对报文只使用一个CAR进行统一速率限定，而可能出现合法用户的正常上送报文被攻击报文挤掉，导致通信中断的缺陷。

附图说明

图1为本发明一个实施例中防止网络攻击的方法流程图；

图2为本发明另一实施例中防止网络攻击的方法流程图；

图3为本发明又一实施例中防止网络攻击的网络设备的结构图；

图4为本发明又一实施例中防止网络攻击的网络设备的结构图；

图5为本发明又一实施例中设置模块300的结构图；

图6为本发明又一实施例中统计模块320的结构图。

具体实施方式

为使本发明实施例的目的、技术方案及优点更加清楚明白，以下参照附图，对本发明的实施例作进一步地详细说明。

在本发明的实施例中，为进入网络设备每一种协议的报文预先设置至少两个CAR速率通道，并且，也为每一种协议的报文预先设置至少一个速率阈值；根据通过网络设备的每一个端口的每一种协议报文的上送速率与预先为每一种协议报文设置的速率阈值之间的关系，选择相应的CAR速率通道上送每一种协议报文。

在本发明的实施例中，CAR速率通道是指可以保证报文以不高于指定CAR速率进行上送的数据通道。

一般情况下，为每一种协议的报文预先设置速率阈值时，会考虑这一种协议的报文在网络中的正常流量值，例如，较常用的，就可以预先设置速率阈值的值与该协议报文在网络中的正常流量值大致相匹配，或者是稍大于该协议报文在网络中的正常流量值。

在本发明的一个实施例中，为进入网络设备的每一种协议报文预先设置两个CAR速率通道，并且，还预先为每一种协议的报文设置了一个速率阈值。如图1所示，本实施例中防止网络攻击的方法，包括：

100、统计通过网络设备每一个端口的每一种协议报文的上送速率。

其中，报文的上送速率，可以是单位时间内通过某一个端口上送的报文个数，也可以是单位时间内通过某一个端口上送的报文字节数。

110、判断每一种协议报文的上送速率与预先为该种协议的报文设置的速率阈值之间的关系。

120、当某一种协议报文的上送速率大于预先为这种协议的报文设置的速率阈值，即：某一种协议报文的上送速率超过了预先为其设置的速率阈值，则设定这种协议的报文通过上送速率较低的CAR速率通道上送。

130、当某一种协议报文的上送速率小于或等于预先为这种协议的报文设置的速率阈值，即：某一种协议报文的上送速率没有超过预先为其设置的速率阈值，则设定这种协议的报文通过上送速率较高的CAR速率通道上送。

为便于理解，下面介绍一个具体的应用场景。

在本应用场景中，为进入网络设备的每一种协议的报文预先设置两个CAR速率通道和一个速率阈值。如，为进入网络设备的ARP(Address Resolution Protocol，地址解析协议)报文预先设置两个CAR速率通道，分别称为第一CAR速率通道和第二CAR速率通道，其中第一CAR速率通道允许的上送速率V1，比第二CAR速率通道允许的上送速率V2大。而预先为进入网络设备的ARP报文设置的速率阈值为Vt，并且，V1＞Vt＞V2。当然，Vt与V2的大小关系可能根据实际情况而有所不同，Vt也可以小于V2或者等于V2，本应用场景仅以V1＞Vt＞V2为例进行说明。

统计通过网络设备的每一个端口的各种协议报文的上送速率。假设网络设备只有端口A和端口B。则在本应用场景中，就是统计通过网络设备的端口A和端口B的各种协议报文的上送速率。如，可以对进入网络设备的报文进行解析，获取报文的输入端口号和协议类型，知道了报文的输入端口号和协议类型，就能够知道是什么协议的报文、通过哪一个端口上送的。本应用场景中，根据该输入端口号(A或B)和协议类型(ARP)，就能够分别得到通过端口A的ARP报文的上送速率，和通过端口B的ARP报文的上送速率。

在本应用场景中，假设经过统计知道：

通过端口A上送的ARP报文的速率超过了预设设置的速率阈值Vt，则设定在端口A上ARP报文通过第二CAR速率通道上送，即：通过端口A上送的ARP报文的速率不超过V2。

通过端口B上送的ARP报文的速率没有超过预设设置的速率阈值Vt，则设定在端口B上ARP报文通过第一CAR速率通道上送，即通过端口B上送的ARP报文的速率不超过V1。

可见，通过端口A的ARP报文的上送速率太大，超过了预先设置的速率阈值，则认为端口A可能遭到了ARP报文的攻击，将对通过端口A的ARP报文的上送速率进行限制，使其通过第二CAR速率通道上送。这样，通过端口B的ARP报文的上送速率就不会受到影响，仍然能够正常上送。

在本发明的另一个实施例中，为进入网络设备的每一种协议报文预先设置三个CAR速率通道，并且，还预先为每一种协议的报文设置了两个速率阈值。如图2所示，本实施例中防止网络攻击的方法，包括；

200、统计通过网络设备每一个端口的每一种协议报文的上送速率。

210、判断每一种协议报文的上送速率与预先为该种协议的报文设置的速率阈值之间的关系。

220、当某一种协议报文的上送速率小于或等于最小的速率阈值时，设定这种协议的报文通过最高速率的CAR速率通道上送。

230、当某一种协议报文的上送速率大于最小的速率阈值、且小于或者等于最大的速率阈值时，设定这种协议的报文通过中间速率的CAR速率通道上送。

240、当某一种协议报文的上送速率大于最大的速率阈值时，设定这种协议的报文通过最低速率的CAR速率通道上送。

同样，为了便于理解，下面介绍一个具体的应用场景。

在本应用场景中，为进入网络设备每一种协议的报文预先设置的三个CAR速率通道。如为进入网络设备的OSPF(Open ShortestPath First，开放最短路径优先)报文预先设置三个CAR速率通道，分别称为第三CAR速率通道、第四CAR速率通道和第五CAR速率通道，其中，第四CAR速率通道允许的上送速率V4，比第三CAR速率通道允许的上送速率V3小、但是比第五CAR速率通道允许的上送速率V5大，即：V3＞V4＞V5。而预先为进入网络设备的OSPF报文设置的两个速率阈值分别为Vx和Vy，其中，V3＞Vx＞V4＞Vy＞V5。当然，Vx与V4、V5的大小关系可能根据实际情况而有所不同，但是不影响本申请实施例的实现；类似的，Vy与V4、V5的大小关系也可能根据实际情况而有所不同，本应用场景仅以V3＞Vx＞V4＞Vy＞V5为例进行说明。

统计通过网络设备的每一个端口的各种协议报文的上送速率。假设网络设备只有端口C、端口D和端口E。则在本应用场景中，就是统计通过网络设备的端口C、端口D和端口E的各种协议报文的上送速率。如，同样也可以对进入网络设备的报文进行解析，获取报文的输入端口号和协议类型，知道了报文的输入端口号和协议类型，就能够知道是什么样的报文、从哪一个端口进入网络设备的；而根据该输入端口号(C、D或E)和协议类型(OSPF)，就能够统计得到通过端口C的OSPF报文的上送速率、通过端口D的OSPF报文的上送速率、以及通过端口E的OSPF报文的上送速率。

在本应用场景中，假如经过统计知道：

通过端口C上送的OSPF报文的速率小于Vy时，则在端口C上，设定OSPF报文通过第三CAR速率通道上送，即：通过端口C上送的OSPF报文的速率不超过V3。

通过端口D上送的OSPF报文的速率大于Vy、小于或等于Vx，则在端口D上，设定OSPF报文通过第四CAR速率通道上送，即：通过端口D上送的OSPF报文的速率不超过V4。

通过端口E上送的OSPF报文的速率大于Vx，则在端口E上，设定OSPF报文通过第五CAR速率通道上送，即：通过端口E上送的OSPF报文的速率不超过V5。

在本发明的实施例中，通过为每种协议的报文设置多个CAR速率通道，统计进入网络设备每一个端口的各种协议报文的速率，判断其是否超过相应的阈值，设定每一个端口进入的每一种协议的报文走不同的CAR速率通道，能够有效解决目前网络设备对所有报文只使用一个CAR进行统一速率限定，而可能出现合法用户的正常上送报文被攻击报文挤掉，导致通信中断的缺陷。

可选的，在本发明的实施例中，可以是周期性的对通过某一个端口的各种协议的报文的上送速率进行统计，也可以是根据实际的需求随时启动对通过某一个端口的各种协议的报文的上送速率进行统计。例如，可以是每个一段时间进行统计，也可以是根据网管的指令进行统计。

可选的，在本发明的实施例中，对于初始进入的某一种、或某几种协议的报文，可以分别设定其都通过某一个CAR速率通道上送，具体来说，可以是速率较大的CAR速率通道，也可以是速率较小的CAR速率通道。经过一段时间的统计之后，再根据实际的情况进行CAR速率通道的调整。例如某些对于延时性能要求比较高的协议报文，可以在初始时都设定其通过速率较大的CAR速率通道上送。而对于某些比较容易被攻击者利用的协议报文，像是本发明实施例中的ARP报文，就可以设定，初始的时候所有的ARP报文都通过第二CAR速率通道上送。在经过速率的统计之后，若通过端口A上送的ARP报文的速率没有超过预先设定的速率阈值，则可调整上送ARP报文的CAR速率通道为第一CAR速率通道；若通过端口A上送的ARP报文的速率超过了预先设定的速率阈值，则可以维持其现在的第二CAR速率通道不变。

可选的，在本发明的实施例中，当通过某一个端口的某一种协议的报文的上送速率超过了为其预先设置速率阈值中最大的那一个速率阈值时，可以将进入该端口的该种协议的报文丢弃，或者，也可以设置缓存队列，将进入该端口的该种协议的报文放入缓存队列中，以便于后续进行攻击源的查找等相关处理。

可选的，在本发明的实施例中，为报文预先设置的CAR速率通道和速率阈值都是可调整的，例如，当进入端口A的各种报文总体流量不是很大、且某一种协议的报文流量占比较大的比例时，则可以适当调高这类协议的报文速率阈值和CAR速率通道，使这类报文的处理效率能更高些。反之，当进入端口A的各种报文总体流量开始增加时，则可适当调低这类协议的报文速率阈值和CAR速率通道。当然，在实际的应用中还可以根据具体的情况来进行调整，此处不做具体限定。如某类协议的报文QoS(Quality of Service，服务质量)等级较高，则可以调高这类报文的速率阈值和CAR速率通道。

可选的，在本发明实施例中，预先为报文设置的CAR速率通道是可以随时增加或者删减的。例如，如果在具体的应用中，对报文的上送进行控制管理的要求不高，则可以随时删掉一个CAR速率通道。而如果在具体的应用中需要对报文的上送进行更为细致的控制管理，则可以根据需求增加一个CAR速率通道。相应的，预先为报文设置的速率阈值也是可以随时增加或者删减的。

可见，本实施例通过对CAR速率通道和速率阈值的灵活设置和选取，不仅能够有效解决目前网络设备对报文只使用一个CAR进行统一速率限定，而可能出现合法用户的正常上送报文被攻击报文挤掉，导致通信中断的缺陷；还能够提高报文的上送效率，对报文的上送进行精细化控制管理。

在本发明的又一实施例中，如图3所示，提供了一种防止网络攻击的网络设备，包括：

设置模块300，用于为进入网络设备的每一种协议的报文预先设置至少两个CAR速率通道和至少一个速率阈值；

上送模块310，用于根据通过网络设备的每一个端口的每一种协议报文的上送速率与预先为每一种协议报文设置的速率阈值之间的关系，选择相应的CAR速率通道上送每一种协议报文。

进一步的，如图4所示，所述网络设备还包括：

统计模块320，用于统计进入该网络设备的每一个端口的每一种协议报文的上送速率；

判断模块330，用于判断统计模块320得到的每一种协议报文的上送速率与设置模块300预先为每一种协议报文设置的速率阈值之间的关系。

进一步的，如图5所示，设置模块300具体包括：

CAR设置子模块301，用于为进入网络设备的每一种协议报文预先设置至少两个不同的CAR速率通道；

阈值设置子模块302，用于为进入网络设备的每一种协议报文预先设置至少一个速率阈值。

进一步的，如图6所示，统计模块320具体包括：

解析子模块321，用于解析进入该网络设备的报文，获取报文的输入端口号和协议类型；

统计子模块322，用于根据解析子模块321得到的输入端口号和协议类型，统计进入网络设备每一个端口的每一种协议报文的上送速率。

通过本实施例，如果攻击者发送的伪造某种协议报文从网络设备的某个端口或者多个端口进入，网络设备会发现通过这个端口或这几个端口的此种协议报文速率超过阈值，从而令这个或这几个端口进入的该种协议报文上送走速率比较低的CAR速率通道，这样即使攻击报文流量较大，也只能影响从某个或几个端口进入的正常协议报文，而无法影响其它端口进入的正常协议报文。

通过以上的实施方式的描述，本领域的普通技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备、或者服务器、或者其他网络设备执行本发明各个实施例或者实施例的某些部分所述的方法。

以上仅为本发明的较佳实施例，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种防止网络攻击的方法，其特征在于，包括：

2.如权利要求1所述的方法，其特征在于，在所述根据通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率与所述预先为每一种协议的报文设置的速率阈值之间的关系，选择相应的CAR速率通道上送所述每一种协议的报文之前，所述方法还包括：

统计通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率；

判断所述每一种协议的报文的上送速率与所述预先为每一种协议的报文设置的速率阈值之间的关系。

3.如权利要求2所述的方法，其特征在于，所述统计通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率，包括：

解析进入所述网络设备的报文；

获取所述进入所述网络设备的报文的输入端口号和协议类型；

根据所述输入端口号和所述协议类型，统计得到通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率。

4.如权利要求2或3所述的方法，其特征在于，所述统计通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率，为周期性进行统计，或根据需求进行统计。

5.如权利要求1或2或3所述的方法，其特征在于，所述方法还包括：

为初始进入所述网络设备的至少一种协议的报文，选择固定的CAR速率通道上送。

6.如权利要求1或2或3所述的方法，其特征在于，所述根据通过所述网络设备的每一个端口的所述每一种协议的报文的上送速率与所述预先为每一种协议的报文设置的速率阈值之间的关系，选择相应的CAR速率通道上送所述每一种协议的报文，包括：

当通过所述网络设备的第一端口的第一协议报文的上送速率超过预先为所述第一协议报文设置的速率阈值中最大的速率阈值时，丢弃进入所述第一端口的第一协议报文，或缓存进入所述第一端口的第一协议报文。

7.一种防止网络攻击的网络设备，其特征在于，包括：

8.如权利要求7所述的网络设备，其特征在于，所述网络设备还包括：

统计模块，用于统计进入所述网络设备的每一个端口的每一种协议的报文的上送速率；

判断模块，用于判断所述统计模块得到的所述每一种协议的报文的上送速率与所述设置模块预先为所述每一种协议的报文设置的速率阈值之间的关系。

9.如权利要求7所述的网络设备，其特征在于，所述设置模块包括：

CAR设置子模块，用于为进入所述网络设备的所述每一种协议的报文预先设置所述至少两个不同的CAR速率通道；

阈值设置子模块，用于为进入所述网络设备的所述每一种协议的报文预先设置所述至少一个速率阈值。

10.如权利要求8所述的网络设备，其特征在于，所述设置模块包括：

11.如权利要求10所述的网络设备，其特征在于，所述统计模块包括：

解析子模块，用于解析进入所述网络设备的报文，获取所述报文的输入端口号和协议类型；

统计子模块，用于根据所述解析子模块得到的所述输入端口号和所述协议类型，统计进入所述网络设备的每一个端口的所述每一种协议报文的上送速率。