CN101741815B

CN101741815B - 统计值刷新系统以及方法

Info

Publication number: CN101741815B
Application number: CN2008101784311A
Authority: CN
Inventors: 夏展宏; 陈平; 甘云慧
Original assignee: O2 Tech International Ltd
Current assignee: O2Micro Inc
Priority date: 2008-11-26
Filing date: 2008-11-26
Publication date: 2012-07-04
Anticipated expiration: 2028-11-26
Also published as: CN101741815A

Abstract

本发明提供一种统计值刷新系统以及方法，特别涉及一种非周期的统计值刷新方法以及系统，用于刷新存储器中的基于速率的统计值，其包括：获得与一组统计目标相关的基于速率的统计值的第一时间戳；将一第一统计目标的第二时间戳和所述第一时间戳相比较，其中所述第一统计目标与所述一组统计目标相关；以及若所述第一时间戳和所述第二时间戳不相等，则刷新所述一组统计目标的基于速率的统计值至一预设值，否则增加所述统计值；与现有技术相比，本发明的统计值刷新方法以及系统消耗较少的时间，占用较少的存储器的带宽。

Description

统计值刷新系统以及方法

技术领域

本发明涉及反DoS攻击/反DDoS攻击领域，尤指一种应用于反DoS攻击/反DDoS攻击领域中基于速率统计的统计值刷新系统以及方法。

背景技术

拒绝服务(Denial-of-service，DoS)攻击或分布式拒绝服务(Distributed denial-of-service，DDoS)攻击使用户不能使用计算机资源。DoS攻击/DDoS攻击的症状包括异常慢的网络响应速度，无法登陆特定网站，无法登陆任何网站以及垃圾邮件数量的剧增。

DoS攻击/DDoS攻击的目标通常为处于备受关注的网页服务器上的站点或服务，例如，银行服务器、信用卡支付的网关和域名系统根服务器(DNS root servers)等。典型的DoS攻击/DDoS攻击方法为采用外部通讯请求使目标饱和，特别是向目标发送大量数据包。

在目前的网络安全设备中，一种常用的反DoS攻击/DDoS攻击的方法为基于速率的统计值(rate-based statistics)测量来自相同IP地址的数据包，并将该基于速率的统计值与一阈值相比较。基于速率的统计值通常为时间函数，例如，每秒的字节数(bytes per second，BPS)，每秒的数据包数(packets persecond，PPS)或者建立会话连接的速率(session buildup rate，SR)等。若基于速率的统计值超过该阈值，则认为这些数据包为DoS攻击，并由网络安全设备阻拦这些数据包。

更具体地说，以用一个特定源IP地址的PPS的统计值来为例，其中该PPS存储在存储器中，例如，DDR SDRAM(doubledata rate，synchronous dynamic random access memory)。当收到来自于该特定源地址的一个数据包，该PPS的值加一，然后根据上述所描述的方法，将该PPS的值与一阈值相比较。每一秒均刷新该PPS，并开始一次新的计量。

这样，每秒钟更新/刷新存储的基于速率的统计值。如上所述，DDR SDRAM中存储对应每个IP地址的基于速率的统计值。由于可能需监控大量的IP地址，所以就有大量的基于速率的统计值存储在DDR SDRAM中。因此，每秒更新/刷新这些统计值不仅耗时，而且占用DDR SDRAM的带宽。

发明内容

本发明要解决的技术问题在于提供一种统计值刷新系统以及方法，所述统计值刷新系统以及方法相较与现有技术而言，消耗较少的时间，并降低对存储器的带宽的占用。

为解决上述技术问题，本发明提供了一种统计值刷新系统，用于刷新存储在一存储器中的基于速率的统计值。所述统计值刷新系统包括时钟和统计更新器。所述时钟用于提供一时间值作为每个统计目标的时间戳，其中所述统计目标至少包括属于同一组的第一目标和第二目标。所述统计值更新器耦合到所述时钟，用于非周期地更新与所述组相关的基于速率的统计值。

本发明所述的统计值刷新系统，所述第一目标的源IP地址和所述第二目标的源IP地址相同。

本发明所述的统计值刷新系统，仅当所述第一目标的时间戳和所述第二目标的时间戳相等时，更新与所述组相关的基于速率的统计值。

本发明所述的统计值刷新系统，若所述第一目标的时间戳和所述第二目标的时间戳不相等时，初始化所述组的基于速率的统计值。

本发明所述的统计值刷新系统，所述组还包括一第三目标，其在所述第一目标和所述第二目标之后到达所述统计值刷新系统，仅当关于所述组的基于速率的统计值的时间戳和所述第三目标的时间戳相等时，更新所述组的基于速率的统计值至包含所述第三目标的统计值。

本发明所述的统计值刷新系统，所述组还包括一第三目标，其在所述第一目标和所述第二目标之后到达所述统计值刷新系统，若与所述组相关的基于速率的统计值的时间戳和所述第三目标的时间戳不相等时，初始化所述组的基于速率的统计值；若初始化所述组的基于速率的统计值，将与所述组相关的基于速率的统计值的时间戳改为所述第三目标的时间戳。

本发明所述的统计值刷新系统，还包括：统计值刷新器，其耦合到所述统计值更新器，用于和所述统计值更新器一起周期地刷新所述存储器中的基于速率的统计值，当一预设刷新周期结束时，所述统计值刷新器刷新所述存储器中的基于速率的统计值。

本发明所述的统计值刷新系统，若所述时钟为一n比特的时钟，则所述预设刷新周期介于1秒至2n-1秒之间。

本发明还提供了一种统计值刷新方法，用于刷新存储器中的基于速率的统计值，所述统计值刷新方法包括：获得与一组统计目标相关的基于速率的统计值的第一时间戳；将一第一统计目标的第二时间戳和所述第一时间戳相比较，其中所述第一统计目标与所述一组统计目标相关；以及若所述第一时间戳和所述第二时间戳不相等，则刷新所述一组统计目标的基于速率的统计值至一预设值，否则增加所述统计值。

本发明所述的统计值刷新方法，还包括：若所述基于速率的统计值初始化为所述预设值，则将所述第一时间戳变为与所述第二时间戳相等。

本发明所述的统计值刷新方法，还包括：获得与所述第一统计目标相关的识别信息；以及使用所述识别信息标记所述第一时间戳和所述一组统计目标的基于速率的统计值。

本发明所述的统计值刷新方法，所述识别信息包括一源IP地址。

本发明所述的统计值刷新方法，还包括：当一预设的刷新周期结束，自动更新与所述一组统计目标相关的所述基于速率的统计值。

本发明所述的统计值刷新方法，使用一n比特的时钟产生所述预设的刷新周期时，则所述预设的刷新周期介于1秒至(2n-1)秒之间。

本发明还提供了一种统计值刷新方法，用于刷新存储器中的基于速率的统计值，所述统计值刷新方法包括：识别有相同源IP地址的第一数据包和第二数据包；判断所述第一数据包和所述第二数据包是否是在同一统计值收集周期中被接受的；以及若所述第一数据包和所述第二数据包在所述同一统计值收集周期中，增加与所述源IP地址相关的基于速率的统计值，否则，初始化与所述源IP地址相关的基于速率的统计值。

本发明所述的统计值刷新方法，所述判断还进一步包括将所述第一数据包的第一时间戳和所述第二数据包的第二时间戳相比较，若所述第一和第二时间戳相等，则所述第一数据包和所述第二数据包是在同一统计值收集周期中被接受的。

本发明所述的统计值刷新方法，若所述第一时间戳和所述第二时间戳不等，则所述的统计值刷新方法还包括：将所述第一时间戳和所述第二时间戳中较晚的时间戳和与所述源IP地址相关的统计值相联系。

本发明所述的统计值刷新方法，若所述第一时间戳和所述第二时间戳相等，则所述的统计值刷新方法还包括：

将所述第一时间戳和所述第二时间戳和与所述源IP地址相关的统计值相联系。

本发明所述的统计值刷新方法，所述统计值刷新方法包括：当一预设的刷新周期结束，自动更新所述在同一统计值收集周期中被接受的数据包的统计值。

本发明所述的统计值刷新方法，使用一n比特的时钟产生所述预设的刷新周期时，所述预设的刷新周期介于1秒至(2n-1)秒之间。

与现有技术相比，采用本发明的统计值刷新系统以及方法能够减少消耗时间，降低对存储器带宽的占用。

附图说明

以下通过对本发明的一些实施例结合其附图的描述，可以进一步理解本发明的目的、具体结构特征和优点。

图1是根据本发明的一个实施例的的基于速率的统计值刷新系统的方框示意图；以及

图2是根据本发明的一个实施例的基于速率的统计值刷新方法的流程图。

具体实施方式

虽然本发明将结合以下实施例进行阐述，但应理解为这并非意指将本发明限定于这些实施例。相反，本发明旨在涵盖由所附权利要求书所界定的本发明精神和范围内所定义的各种可选项、可修改项和等同项。

此外，在以下对本发明的详细描述中，为了提供针对本发明的完全的理解，阐明了大量的具体细节。然而，本领域技术人员将理解，没有这些具体细节，本发明同样可以实施。在另外的一些实例中，对于大家熟知的方案、流程、元件和电路未作详细描述，以便于凸显本发明的主旨。

图1为根据本发明的一个实施例的统计值刷新系统100，该统计值刷新系统100用于刷新用于反DoS攻击/反DDoS攻击的基于速率的统计值。该统计值刷新系统100包括更新模块110，刷新模块120、系统时钟130、存储器(例如，DDR SDRAM)140和仲裁器150。仲裁器150耦合到更新模块110，刷新模块120和存储器140之间，其起到数据通道的作用。还可以称更新模块110为统计更新器，还可以称刷新模块120为统计刷新器。

在图1中，每个模块都执行一个或多个功能，然而，在实际应用中，所述的功能模块可以由一个或者多个元件实现，和/或由软件、硬件或者软硬件结合的方式实现。此外，该统计值刷新系统100还可以包括图示以外的元件，例如处理器一类的本技术领域的熟知元件。

数据包102输入更新模块110。可以认为单个数据包为一个组的数据包中的一个(例如，该组的数据包可能为DoS攻击/DDoS攻击的一组数据包)。在一个实施例中，每个数据包中的源IP地址用于识别同一组的数据包。在数据包102中的单个数据包输入到更新模块110之前，都对其进行解析。这样，每个数据包所携带的源IP地址和数据包内的其他信息(例如，字节的数量)对于更新模块110而言都是已知的。

时间戳和统计值存储在存储器140中。这些统计值根据源IP地址进行分类或标记；也就是说，对于每个被监测的源IP地址，在存储器140中有相应的一组统计值。以图1为例，时间戳_0和统计_0对应于第一IP地址，时间戳_1和统计_1对应于第二IP地址。

系统时钟130向刷新模块120和更新模块110提供一系统时间132。一般而言，在统计值刷新系统100中，基于系统时间132的时间戳对于每个数据包为相同的。例如，系统时间132可以用于表示各数据包进入更新模块110的时间。在一个实施例中，系统时钟130为n位的时钟，该时钟从零开始，且每秒加一。在本实施例中，在同1秒间隔内到达的数据包具有相同的时间戳。

在一个实施例中，对于大量来自相同IP地址的包，为了测量其基于速率的统计值，在存储器140中存储来自该IP地址的最近一个(最新的)数据包的时间戳和与该IP地址相关的时间戳和统计值(例如，BPS、PPS和/或SR)。更新模块110更新存储器140中的时间戳和统计值将在下文作详细描述。在一个实施例中，刷新模块120周期地刷新存储器140中的时间戳和统计值——更具体的说，如下所述，当一具体的时间周期结束时，刷新模块120自动更新时间戳和刷新统计值。更新模块110和刷新模块120刷新每个统计值是将每个值设为一初始值。当更新时间戳时，更新模块110和刷新模块120将需刷新的时间戳设为当前的系统时间132。

当数据包102中一个新的数据包(例如数据包N)进入更新模块110时，更新模块110采用该数据包N的源IP地址归类和读取存储器140中与该源IP地址相关的时间戳160和统计值162(例如，BPS，PPS和/或SR)。

最新的数据包N的时间戳166为数据包N进入更新模块110时的系统时间132。存储的时间戳160为数据包(N-1)进入更新模块110时的系统时间132，其中数据包N和数据包(N-1)的源IP地址相同，均为IP_N。数据包(N-1)为前一个到达统计值刷新系统100的包，该数据包的源IP地址为IP_N(换句话说，在源地址为IP_N的一组数据包中，数据包(N-1)和数据包N为连续的数据包)。在存储器140中，源地址IP_N用于归类存储的时间戳160。将数据包N的新时间戳166和存储的时间戳160相比较，其目的为判断数据包N和数据包(N-1)是否在同一统计值收集周期内；若存储的时间戳160和新时间戳166相等，则两个数据包在同一统计值收集周期内。

在一个实施例中，每个统计值收集周期为一秒。在本实施例中，若两时间戳160和166相等，则数据包N和数据包(N-1)是在同一秒间隔内进入更新模块110。

若两时间戳160和166相等，则不更新存储器140中的存储的时间戳160，且将与IP地址IP_N相关的新的数据包N的统计值和存储的统计值162相加得到与该IP地址IP_N相关的的新的统计值168。例如，增加新的数据包N的由IP地址IP_N归类的统计值BPS、PPS和/或SR。

反之，若两时间戳160和166不等，则新的数据包N和前一个数据包(N-1)进入更新模块110的时间间隔超过一秒(换句话说，数据包N和数据包(N-1)不在同一统计值收集周期内)。相应地，将存储的时间戳160设为新的数据包N的时间戳166，且刷新存储的统计值162(例如，设置为一初始值，该值可以为零)。例如，可以设置PPS或SR为一初始值1，且可以设置BPS为当前进入的数据包的包长(字节)。因此，在存储器140中，对于一特定源IP地址的时间戳和统计值，并非每秒更新/刷新。相反，根据何时收到来自与该特定源IP地址相关的数据包，非周期地刷新/更新(不规则的间断)该时间戳和统计值。换句话说，更新/刷新为由事件驱动(event-driven)，而非时间驱动(time-driven)。由此，减少了更新时间，同时降低了对反DoS/DDoS带宽的占用。

在一个实施例中，除了上述由事件驱动(非周期)的刷新，针对源IP地址，刷新模块120周期地更新存储器140中的时间戳，并周期地刷新存储器140中的统计值，以防止由长时间内没有来自该源IP地址的数据包进入更新模块110而可能造成的错误。例如，如上所述，系统时钟130可以为一n位时钟，该时钟从零开始，每秒增加一；这样，在第2ⁿ秒时，系统时钟130复零。假设，在第一秒时，源IP地址为IP_N1的第一个数据包P1进入更新模块110，该数据包的时间戳为零；则更新模块110向存储器140发送新的时间戳166(为零)，且更新存储器140中的统计值(例如，增加统计值，并存储该统计值)。然后，假设在第二秒和第2ⁿ秒之间，没有一个源IP地址为IP_N的数据包进入更新模块110。在第(2ⁿ+1)秒时，源IP地址为IP_N1(和第一个数据包P1的源IP地址相同)的第二个数据包P2进入更新模块110，其时间戳为零，虽然第一个数据包P1和第二个数据包P2的间隔为(2ⁿ+1)秒。即使两个数据包P1和P2不在同一统计值收集周期内，因为其时间戳相同，所以关于源IP地址的存储的统计值将被更新，除非有一机制防止该错误的发生。相应地，在一个实施例中，当一刷新周期结束时，刷新模块120周期且自动地更新时间戳并刷新统计值。其中，自动刷新周期可以介于一秒至(2ⁿ-1)秒之间。

更具体地说，在一个实施例中，在刷新周期的末期，刷新模块120从存储器140中读取每个IP地址的存储的时间戳160，且将这些时间戳和由系统时钟130提供的系统时间132相比较。若一IP地址的存储的时间戳160和系统时间132不等，则刷新模块120更新存储器140中关于该IP地址的时间戳，且刷新与该IP地址相关的存储的统计值162。也就是说，在每个刷新周期的末期，对于其时间戳不等于系统时间132的每个IP地址，刷新周期120将该IP地址的存储的时间戳160设为系统时间132，并将存储的统计值162设为初始值(例如，零)。若在每个刷新周期的末期，与一IP地址相关的存储的时间戳160和系统时间132相等，则不更新与该IP地址相关的存储的统计值162。

刷新周期越短，越频繁地更新/刷新存储器中的时间戳和统计值。为使刷新不太频繁，可以选择接近(2ⁿ-1)秒的一个值为刷新周期。

图1的统计值刷新系统100不仅可以应用在反DoS攻击/反DDoS攻击领域，可以应用在其它的需要刷新基于速率的统计值的场合。

图2为一计算机实施的统计值刷新方法的流程图200，该统计值刷新方法用于刷新统计目标的基于速率的统计值。在这里，统计目标为能够以基于速率的统计值进行统计的目标。例如，来自同一IP地址的数据包构成一统计目标。在一个实施例中，该流程图是由存储在一计算机可读介质中的计算机可执行的指令而实施的。结合图1描述图2。以下描述是基于相同源IP地址的数据包，其它源IP地址的数据包应以同样方式对待。

在步骤202，将进入更新模块110的前一个数据包的时间戳(数据包N-1)和与该时间戳相关的统计值(也就是，在时间戳所定义的时间段里积累得到的统计值)存储到存储器140中。当一数据包进入更新模块110时，系统时钟130提供的系统时间132为该数据包的时间戳。

在步骤204，更新模块110比较一新的数据包(数据包N)的时间戳和数据包(N-1)的时间戳。更具体地说，当新的数据包N进入更新模块110，更新模块110从存储器140中读取存储的时间戳160，该时间戳160为数据包(N-1)的时间戳，并将新的数据包N的时间戳和该存储的时间戳160相比较。

在步骤206，根据时间戳的比较结果，更新模块110更新/刷新存储器140中的时间戳和统计值。更具体地说，若比较结果为不相等，发送新的时间戳166(新的数据包N的时间戳)以更新存储的时间戳160，且刷新存储的统计值(例如，设置为0)。若比较结果为相等，不更新存储器140中的时间戳，但更新存储的统计值(增加)。

在步骤208，刷新模块120周期地更新/刷新存储器140中的时间戳和统计值，以防止由于长时间没有数据包进入更新模块110而可能产生的错误。

总的来说，现有技术中，周期地刷新基于速率的统计值(例如，每秒刷新)。相反地，根据本发明的实施例，采用非周期地刷新基于速率的统计值：若在一统计值收集周期(例如，1秒钟内)收到与统计值相关的一个数据包，且在该统计值收集周期中再没有收到这类的数据包，则不刷新统计值(除非，在一实施例中，确定一特定的刷新周期以前述方式周期地刷新)。实际上，与源IP地址相关的计数器闲置且保持它们的当前值，直到收到与该源IP地址相关的数据包或者自动刷新周期结束。相应地，相对于现有技术，本发明的刷新次数减少(刷新频率降低)，所以，降低了对带宽的占用，且减少刷新所耗费的时间。

上文具体实施方式和附图仅为本发明的常用实施例。显然，在不脱离所附权利要求书所界定的本发明精神和保护范围的前提下可以有各种增补、修改和替换。本领域技术人员应该理解，本发明在实际应用中可根据具体的环境和工作要求在不背离发明准则的前提下在形式、结构、布局、比例、材料、元素、组件及其它方面有所变化。因此，在此披露的实施例仅用于说明而非限制，本发明的范围由所附权利要求及其合法等同物界定，而不限于此前的描述。

Claims

1.一种统计值刷新系统，用于刷新存储在一存储器中的基于速率的统计值，其特征在于，该统计值刷新系统包括：

时钟，用于提供一时间值作为每个统计目标的时间戳，其中所述统计目标至少包括第一目标和第二目标，且所述第一目标和所述第二目标属于同一组；以及

统计值更新器，其耦合到所述时钟，用于非周期地更新与所述组相关的基于速率的统计值；当所述第一目标的时间戳和所述第二目标的时间戳相等时，更新与所述组相关的基于速率的统计值；当所述第一目标的时间戳和所述第二目标的时间戳不相等时，初始化所述组的基于速率的统计值。

2.根据权利要求1所述的统计值刷新系统，其特征在于，所述第一目标的源IP地址和所述第二目标的源IP地址相同。

3.根据权利要求1所述的统计值刷新系统，其特征在于，所述组还包括一第三目标，其在所述第一目标和所述第二目标之后到达所述统计值刷新系统，仅当关于所述组的基于速率的统计值的时间戳和所述第三目标的时间戳相等时，更新所述组的基于速率的统计值至包含所述第三目标的统计值。

4.根据权利要求1所述的统计值刷新系统，其特征在于，所述组还包括一第三目标，其在所述第一目标和所述第二目标之后到达所述统计值刷新系统，若与所述组相关的基于速率的统计值的时间戳和所述第三目标的时间戳不相等时，初始化所述组的基于速率的统计值；若初始化所述组的基于速率的统计值，将与所述组相关的基于速率的统计值的时间戳改为所述第三目标的时间戳。

5.根据权利要求1所述的统计值刷新系统，其特征在于，还包括：

统计值刷新器，其耦合到所述统计值更新器，用于和所述统计值更新器一起周期地刷新所述存储器中的基于速率的统计值，当一预设刷新周期结束时，所述统计值刷新器刷新所述存储器中的基于速率的统计值。

6.根据权利要求5所述的统计值刷新系统，其特征在于，若所述时钟为一n比特的时钟，则所述预设刷新周期介于1秒至2ⁿ-1秒之间。

7.一种统计值刷新方法，用于刷新存储器中的基于速率的统计值，其特征在于，所述统计值刷新方法包括：

获得与一组统计目标相关的基于速率的统计值的第一时间戳；

将一第一统计目标的第二时间戳和所述第一时间戳相比较，其中所述第一统计目标与所述一组统计目标相关；以及

若所述第一时间戳和所述第二时间戳不相等，则刷新所述一组统计目标的基于速率的统计值至一预设值，否则增加所述统计值。

8.根据权利要求7所述的统计值刷新方法，其特征在于，还包括：

若所述基于速率的统计值初始化为所述预设值，则将所述第一时间戳变为与所述第二时间戳相等。

9.根据权利要求7所述的统计值刷新方法，其特征在于，还包括：

获得与所述第一统计目标相关的识别信息；以及

使用所述识别信息标记所述第一时间戳和所述一组统计目标的基于速率的统计值。

10.根据权利要求9所述的统计值刷新方法，其特征在于，所述识别信息包括一源IP地址。

11.根据权利要求7所述的统计值刷新方法，其特征在于，还包括：

当一预设的刷新周期结束，自动更新与所述一组统计目标相关的所述基于速率的统计值。

12.根据权利要求11所述的统计值刷新方法，其特征在于，使用一n比特的时钟产生所述预设的刷新周期时，则所述预设的刷新周期介于1秒至(2ⁿ-1)秒之间。

13.一种统计值刷新方法，用于刷新存储器中的基于速率的统计值，其特征在于，所述统计值刷新方法包括：

识别有相同源IP地址的第一数据包和第二数据包；

判断所述第一数据包和所述第二数据包是否是在同一统计值收集周期中被接受的，其中，将所述第一数据包的第一时间戳和所述第二数据包的第二时间戳相比较，若所述第一和第二时间戳相等，则所述第一数据包和所述第二数据包是在同一统计值收集周期中被接受的；以及

若所述第一数据包和所述第二数据包在所述同一统计值收集周期中，增加与所述源IP地址相关的基于速率的统计值，否则，初始化与所述源IP地址相关的基于速率的统计值。

14.根据权利要求13所述的统计值刷新方法，其特征在于，若所述第一时间戳和所述第二时间戳不等，则所述的统计值刷新方法还包括：

将所述第一时间戳和所述第二时间戳中较晚的时间戳和与所述源IP地址相关的统计值相联系。

15.根据权利要求13所述的统计值刷新方法，其特征在于，若所述第一时间戳和所述第二时间戳相等，则所述的统计值刷新方法还包括：

16.根据权利要求13所述的统计值刷新方法，其特征在于，所述统计值刷新方法包括：

当一预设的刷新周期结束，自动更新在所述同一统计值收集周期中被接受的数据包的统计值。

17.根据权利要求16所述的统计值刷新方法，其特征在于，使用一n比特的时钟产生所述预设的刷新周期时，所述预设的刷新周期介于1秒至(2ⁿ-1)秒之间。