CN101547187B

CN101547187B - 宽带接入设备的网络攻击防护方法

Info

Publication number: CN101547187B
Application number: CN2008100891161A
Authority: CN
Inventors: 刘建基
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2008-03-28
Filing date: 2008-03-28
Publication date: 2012-01-11
Anticipated expiration: 2028-03-28
Also published as: CN101547187A

Abstract

本发明公开了一种宽带接入设备的网络攻击防护方法，在接入设备上设置黑名单列表、黑名单判断阈值和黑名单受控功能开关；黑名单列表为存放用户报文的发送速率超过黑名单判断阈值的介质访问控制层MAC地址的列表；黑名单受控功能开关用于打开或者关闭所述黑名单列表；黑名单判断阈值是以MAC地址标识的用户单位时间送往CPU的用户报文的个数；接入设备CPU接收用户报文，当用户报文的发送速率超过黑名单判断阈值时，提取出用户报文的源MAC地址；当源MAC地址不属于上联设备，并且源MAC地址存在于所述黑名单列表中时，丢弃所述黑名单列表中的MAC地址对应的用户报文。本发明能够有效应对通讯设备上CPU可能受到的网络攻击。

Description

宽带接入设备的网络攻击防护方法

技术领域

本发明涉及一种通讯技术，尤其涉及一种宽带接入网络设备的网络攻击防护方法。

背景技术

随着网络扁平化的发展趋势，接入网设备也在向扁平化发展，从原来的单纯的两层功能扩充到了能处理一些基本的三层功能，在增强处理功能的同时，也对设备的中央处理器(CPU，Central Processor Unit)的处理能力提出了考验。目前网上攻击日益频繁，使得接入网络设备在网络使用中出现了较多问题。为了增强网络设备特别是接入网设备的防攻击能力，使其具备更强的网络适应性，需要对网络设备的抗攻击性能进一步加强。

网络攻击的类型主要分为：对网络设备CPU的流量攻击、对网络协议的攻击、对设备的表项的攻击等几种类型。不过目前在网络上比较常见的是对网络设备CPU的流量攻击，包括：阻绝服务攻击(DoS，Denial of Service)、扫描窥探攻击、协议报文攻击等，这些攻击都表现为可以在短时间内用大量报文攻击CPU，因为CPU处理能力有限，会影响其他协议和用户报文的接收，同时影响到网络的连通性、业务的连续性和可管理性。随着网络规模的扩大、接入用户增多，各地组网和应用情况各异，病毒、恶意用户攻击网络的案例不断增加，网络安全问题对我们接入设备的应用影响越来越大。对于接入设备，由于处理能力的限制，如果有大量的报文涌向主控板，则CPU占有率太高，影响到正常的业务处理。因此，加强对CPU的保护对提高网络设备特别是接入网络产品的稳定性有着重要意义。

目前对于CPU抗攻击方法主要分为硬件和软件两种类型。对于硬件防护方法，一般是采用预先设置硬件访问控制列表(ACL，Access Control List)规则来对报文进行过滤；对于软件防护方法，一般是采用在网络设备中设置专门的软件，用该软件限制报文速率，从而实现对网络设备接收的报文进行过滤，以抵抗对CPU的攻击。对于硬件预先设置ACL规则的方法，以数字用户线接入复用设备(DSLAM，Digital subscriber line access multiplexer)为例，在DSLAM正常工作时，也占用ACL的规则，消耗硬件资源。同时缺少自动分析和防御CPU攻击的能力，无法自动完成对芯片的设置，或是只有在使用者干预下才能完成芯片的设置，因而无法及时对攻击报文进行响应。对于软件限制报文速率的方法，需要使用软件对报文特征进行分析，对超速率的报文进行限速。但在受到大流量报文攻击的时候，软件限制报文速率的方法需要对CPU接收到的所有报文进行分析，会占用较多的CPU资源，且攻击报文仍然会占用端口正常业务报文的硬件队列的带宽，无法避免与攻击报文在同一个硬件接收队列的其他业务报文被攻击报文淹没的情形，导致软件分析的效率低下。

发明内容

本发明要解决的技术问题是提供一种宽带接入设备的网络攻击防护方法，能够有效应对通讯设备上CPU可能受到的网络攻击。

技术方案如下：

一种宽带接入设备的网络攻击防护方法，步骤包括：

(1)在接入设备上设置黑名单列表、黑名单判断阈值和黑名单受控功能开关；所述黑名单列表为存放用户报文的发送速率超过所述黑名单判断阈值的介质访问控制层MAC地址的列表；所述黑名单受控功能开关用于打开或者关闭所述黑名单列表；黑名单判断阈值是以源MAC地址标识的用户单位时间送往CPU的用户报文的个数；

(2)所述接入设备CPU接收用户报文，当所述用户报文的发送速率超过所述黑名单判断阈值时，提取出所述用户报文的源MAC地址；

(3)当所述源MAC地址不属于上联设备时，所述接入设备CPU判断所述源MAC地址是否存在于黑名单列表中；当所述黑名单受控功能开关打开，并且所述源MAC地址存在于所述黑名单列表中时，丢弃所述黑名单列表中的MAC地址对应的用户报文。

进一步，步骤(3)中，如果所述源MAC地址是上联设备的MAC地址，将所述用户报文送往上联设备继续处理。

进一步，步骤(3)中，当所述源MAC地址不在黑名单列表中时，查找所述源MAC地址是否在于MAC统计表中；如果不存在，将所述源MAC地址插入到所述MAC统计表中，然后更新MAC统计值；所述MAC统计表为送往所述CPU处理的以用户报文的源MAC地址区分不同用户报文的统计值列表；所述MAC统计值用于统计所有送入所述接入设备CPU的MAC地址对应用户报文的个数。

进一步，步骤(3)中，当统计周期到时，对黑名单列表进行更新，步骤包括：

(31)轮询所述黑名单列表，当所述MAC统计值大于设定阈值时轮询所述MAC统计表，所述设定阈值为所述黑名单判断阈值和统计周期的乘积；

(32)将所述MAC统计值超过所述设定阈值的MAC地址加入到所述黑名单列表中，同时向网管服务器发送黑名单告警TRAP消息；

(33)当所述MAC统计表轮询完成，清空所述MAC统计表中存放的各个表项，进入下一统计周期的统计处理工作。

进一步，步骤(31)中，将所述MAC统计值与所述设定阈值进行比较，以决定黑名单列表中MAC地址的增加或者删除；如果所述MAC统计值小于所述设定阈值，则向网管服务器发送黑名单告警TRAP消息，同时置黑名单列表该项标志为未使用。

进一步，步骤(3)中，如黑名单列表存满，则结束对MAC统计表的轮询；当所述MAC统计表或黑名单表存满时，对新的MAC地址用户或者黑名单用户不作处理，留待下一次的统计周期到来时识别。

进一步，步骤(3)中，当所述黑名单受控功能开关关闭时，对送入所述接入设备CPU的用户报文不做安全防护，对进入黑名单列表的用户报文送往上联设备继续处理。

进一步，步骤(3)中，在用户进入所述黑名单列表或者离开所述黑名单列表时，分别对应发送告警信息或者告警恢复信息给网管。

进一步，步骤(3)中，当丢弃所述黑名单列表中的MAC地址对应的用户报文后，更新丢包统计值；所述丢包统计值是送入所述接入设备CPU的经过安全防护处理并被丢弃的MAC地址对应的用户报文个数；所述告警信息或者告警恢复信息中携带有所述丢包统计值。

进一步，步骤(3)中，当所述源MAC地址不在黑名单列表中时，所述告警信息或者告警恢复信息中携带有所述MAC统计值。

本发明以简单高效的处理方法来应对通讯设备上CPU可能受到的网络攻击行为。与现有技术相比，本发明基于MAC地址来识别攻击者，可以减少系统对各种协议报文分别进行识别及过滤所消耗的CPU处理时间和复杂度，同时，相对于ACL硬件过滤丢弃的方法，增加了防攻击处理的灵活性，减少了对ACL资源的占用。

附图说明

图1是本发明中宽带接入设备的网络攻击防护方法的流程图；

图2是本发明中统计周期到期(定时器超时)时的黑名单列表和mac统计表的处理流程图。

具体实施方式

本发明在接入设备上，对送往CPU处理的各种报文以源介质访问控制层(MAC，Media Access Control)地址为特征进行统计，提供对基于MAC地址的数据包分析，判别用户设备是否存在威胁网元安全或严重影响性能的异常，以此进行决策。在接入设备的主用控制板上，每收到一个以太网数据包，则提取其源MAC地址，以源MAC地址为关键字对用户报文进行统计；底层转发平面正常转发用户报文。

在进行安全防护之前，在接入设备中还需要设置以下参数：预置黑名单判断阈值、统计周期、黑名单受控功能开关、安全防护的总开关等。当安全防护总开关关闭时，对送入网络设备CPU的用户报文不做安全防护。

黑名单判断阈值：以源MAC地址标识的用户单位时间送往CPU的用户报文个数，当用户报文的个数超过该黑名单判断阈值时，被认为是攻击CPU，应该列入黑名单列表。

统计周期：即统计MAC地址用户数据包的周期，此周期到时，进行黑名单列表的添加或者删除处理。

黑名单受控功能开关：用于开启或者关闭黑名单列表，当黑名单受控开关打开，将丢弃存在于黑名单列表中的用户报文；当受控开关关闭，则不作丢弃处理。

安全防护的总开关：打开该开关，即进行黑名单列表以及MAC统计表等相应安全防护处理；关闭该开关，则对进入CPU的数据报文不做安全防护处理。

下面参照附图对本发明的优选实施例做详细说明。

本发明提出的宽带接入设备的业务安全防护方法包括以下步骤：

如图1所示，为宽带接入设备的业务安全防护方法的流程图，该方法包括如下步骤：

步骤S101，接入设备接收到用户报文。

该用户报文指的是经过底层芯片的过滤，被送往接入设备CPU的各种报文，包括各种协议报文以及目的MAC地址为设备桥MAC地址的报文等。在这里，为了减轻网络攻击对通讯设备CPU的影响，对于底层芯片的大流量业务报文经过芯片转发而不送往CPU，因此在本发明中不做考虑。

步骤S102，CPU提取出报文的源MAC地址，该源MAC地址将作为关键参数进行后续处理。

步骤S103，CPU判断该源MAC地址是否为上联设备的MAC地址；如果该源MAC地址是上联设备的MAC地址，则结束本处理流程，将该报文送往上联设备继续处理；否则，执行步骤S104。

对于接入设备，其上联端口连接的设备与接入设备的通讯报文较用户端口与接入设备的通讯报文要多，因此，需要把上联端口和用户端口区分开来，对于上联设备的报文将不做防护处理，直接返回给上层继续处理。

步骤S104，判断该源MAC地址是否在黑名单列表中；如果该源MAC地址在黑名单列表中，则执行步骤S106；如果该源MAC地址不在黑名单列表中，则执行步骤S105。

该黑名单列表在此被定义为存放用户报文的发送速率超过预置黑名单判断阈值的MAC地址的列表。

步骤S105，当该源MAC地址不在黑名单列表中时，在MAC统计表中查找是否有该源MAC地址；如果查找到该源MAC地址，则MAC统计值加1；如果没有查找到该源MAC地址，进行MAC统计表的插入操作，将该源MAC地址插入到MAC统计表中，然后将MAC统计值加1。

MAC统计值用于统计所有送入CPU的某个MAC地址对应用户报文个数，该MAC统计值的作用是为黑名单列表的增加或删除提供依据，该MAC统计表在此被定义为送往CPU处理的以用户报文的源MAC地址区分不同用户的报文统计值列表。

步骤S106，判断黑名单列表的受控功能开关是否打开，黑名单受控功能开关用于打开或者关闭黑名单列表。

当黑名单受控功能开关关闭时，对送入接入设备CPU的用户报文不做安全防护，对进入黑名单列表的用户报文不作丢弃处理，而是送往上层继续处理；如果受控功能打开，执行步骤S107。

无论黑名单受控功能开关打开与否，在用户进入黑名单列表或者离开黑名单列表时，系统均会发送告警信息或告警恢复信息给网管，以便于网管监控接入网络设备受攻击的情况。

步骤S107，当黑名单受控功能开关打开时，对进入黑名单列表的用户报文进行丢弃处理，即丢弃黑名单列表中的MAC地址对应的用户报文，同时更新丢包统计值，将丢包统计值加1。

丢包统计值是送入CPU被经过安全防护处理并认为应该被提前丢弃以减轻后续处理负担的某个MAC地址对应的用户报文的个数，丢包统计值的作用是提供统计值给设备维护人员查看。MAC统计值统计的是所有送入CPU的某个MAC地址的用户报文个数，可以将丢包统计值看作是MAC统计值的子集。

最后，结束报文的安全防护处理流程，系统根据安全防护流程的结果来丢弃报文或者送上层继续处理。

如图2所示，为统计周期到期(定时器超时)时的黑名单列表和MAC统计表的处理流程图。

黑名单列表的处理依赖于预先设定的定时器，如果定时器超时则进行黑名单列表的更新，步骤如下：

步骤S201，定时器超时，准备进行黑名单列表的更新。

定时器的时间间隔就是预先设定的统计周期，该统计周期就是后续的轮询间隔。

步骤S202，轮询黑名单列表，判断MAC统计值是否大于设定阈值，设定阈值的大小为黑名单判断阈值和统计周期的乘积，统计周期就是这里的轮询间隔。

在统计周期到时，MAC统计值将与该设定阈值进行比较，以决定黑名单列表的增加或者删除。如果MAC统计值大于设定阈值，执行步骤S203；如果MAC统计值小于设定阈值，则向网管服务器发送黑名单告警TRAP消息，同时置黑名单列表该项标志为未使用。

步骤S203，轮询MAC统计表，将MAC统计值超过设定阈值的MAC地址加入到黑名单列表中，同时向网管服务器发送黑名单告警(TRAP)消息。

本发明的黑名单列表具体可采用一维数组结构，维数可取16；MAC统计表可采用二维数组结构，如采用macStat[M][N](可以取M＝64，N＝4)。MAC统计表的查找和插入可采用哈希的方法，以提高处理效率。

如黑名单列表存满，则结束对MAC统计表的轮询。本发明中，对于黑名单列表以及MAC统计表的大小采用了尽量较小的维度，当出现MAC统计表或黑名单表存满的情况时，对新的MAC地址用户或者黑名单用户不作处理，留待下一次的统计周期到来时识别，采取此种策略的目的是尽可能的减少生成MAC统计表和黑名单列表消耗的内存空间以及CPU的占有时间。

步骤S204，当MAC统计表轮询完成，清空MAC统计表中存放的各个表项。

步骤S205，进入下一周期的统计处理工作。

综上所述，借助于本发明的技术方案，可以通过显式命令或者在网管服务器上随时查看系统当前由黑名单信息反应出的网络攻击防护信息，使网管人员能够及时地掌握设备的状态，有效地维护设备。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种宽带接入设备的网络攻击防护方法，步骤包括：

2.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，如果所述源MAC地址是上联设备的MAC地址，将所述用户报文送往上联设备继续处理。

3.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，当所述源MAC地址不在黑名单列表中时，查找所述源MAC地址是否在于MAC统计表中；如果不存在，将所述源MAC地址插入到所述MAC统计表中，然后更新MAC统计值；所述MAC统计表为送往所述CPU处理的以用户报文的源MAC地址区分不同用户报文的统计值列表；所述MAC统计值用于统计所有送入所述接入设备CPU的MAC地址对应用户报文的个数。

4.根据权利要求3所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，当统计周期到时，对黑名单列表进行更新，步骤包括：

(31)轮询所述MAC统计表，将所述MAC统计值与设定阈值进行比较，所述设定阈值为所述黑名单判断阈值和统计周期的乘积；

5.根据权利要求4所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(31)中，将所述MAC统计值与所述设定阈值进行比较，以决定黑名单列表中MAC地址的增加或者删除；如果所述MAC统计值小于所述设定阈值，则向网管服务器发送黑名单告警TRAP消息，同时置黑名单列表该项标志为未使用。

6.根据权利要求4所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，如黑名单列表存满，则结束对MAC统计表的轮询；当所述MAC统计表或黑名单表存满时，对新的MAC地址用户或者黑名单用户不作处理，留待下一次的统计周期到来时识别。

7.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，当所述黑名单受控功能开关关闭时，对送入所述接入设备CPU的用户报文不做安全防护，对进入所述黑名单列表的用户报文送往上联设备继续处理。

8.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，在用户进入所述黑名单列表或者离开所述黑名单列表时，分别对应发送告警信息或者告警恢复信息给网管。

9.根据权利要求8所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，当丢弃所述黑名单列表中的MAC地址对应的用户报文后，更新丢包统计值；所述丢包统计值是送入所述接入设备CPU的经过安全防护处理并被丢弃的MAC地址对应的用户报文个数；所述告警信息或者告警恢复信息中携带有所述丢包统计值。

10.根据权利要求8所述的宽带接入设备的网络攻击防护方法，其特征在于，步骤(3)中，当所述源MAC地址不在黑名单列表中时，所述告警信息或者告警恢复信息中携带有所述MAC统计值。