CN101895543A - 一种基于网络交换设备的有效防御洪水攻击的方法 - Google Patents

一种基于网络交换设备的有效防御洪水攻击的方法 Download PDF

Info

Publication number
CN101895543A
CN101895543A CN 201010225620 CN201010225620A CN101895543A CN 101895543 A CN101895543 A CN 101895543A CN 201010225620 CN201010225620 CN 201010225620 CN 201010225620 A CN201010225620 A CN 201010225620A CN 101895543 A CN101895543 A CN 101895543A
Authority
CN
China
Prior art keywords
physical interface
equipment
forwarding
arp
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN 201010225620
Other languages
English (en)
Other versions
CN101895543B (zh
Inventor
邝俊
冉宇晖
胡建鹤
刘健
丁贤根
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ding Xiangen
Original Assignee
JIANGSU HUALI NETWORK ENGINEERING Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by JIANGSU HUALI NETWORK ENGINEERING Co Ltd filed Critical JIANGSU HUALI NETWORK ENGINEERING Co Ltd
Priority to CN 201010225620 priority Critical patent/CN101895543B/zh
Publication of CN101895543A publication Critical patent/CN101895543A/zh
Application granted granted Critical
Publication of CN101895543B publication Critical patent/CN101895543B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种基于网络交换设备的有效防御洪水攻击的方法，用于通过网络设备对物理接口的控制抵御网络中的洪水攻击。所述方法步骤为：(1)网络交换设备收集设备的系统负荷状态、各个物理接口的数据流量突发状态以及各个物理接口的ARP安全状态；(2)当监测到一个物理接口出现了ARP病毒，则将该物理接口标记为危险；(3)当监测到系统负荷状态超过了安全上限，停止该物理接口的转发处理或将数据流量突发状态最大的物理接口进行流量控制；(4)在安全待定时间内，如果设备的系统负荷状态始终保持平稳，则将被停止转发的物理接口的转发处理开启。本发明一种基于网络交换设备的有效防御洪水攻击的方法，能够有效防御洪水攻击。

Description

一种基于网络交换设备的有效防御洪水攻击的方法
(一)技术领域
本发明涉及一种基于网络交换设备的有效防御洪水攻击的方法，用于通过网络设备对物理接口的控制抵御网络中的洪水攻击。
(二)背景技术
洪水攻击是现在黑客比较常用的一种攻击技术，特点是实施简单，威力巨大，大多是无视防御的。从定义上说，攻击者对网络资源发送过量数据时就发生了洪水攻击，这个网络资源可以是router、switch、host或application等。洪水攻击针对网络设备主要手段集中在依靠大量的合法或者非法数据包使得网络设备因为处理这些数据包而耗尽系统资源，无法正常工作。
现在出现的所有网络防御方法或者网络防御工具基本上都是针对ARP病毒的防御，对于正常数据包的洪水攻击没有丝毫办法，并且当ARP病毒包的数量达到一个数量级的时候，网络设备因为性能限制，会出现两种状况：第一种是网络设备因为性能上已经无法处理如此多的ARP病毒报文，而导致ARP病毒包的放行，从而使网络遭到威胁；第二种是因为网络设备把大部分的系统资源全部用来处理大量的ARP病毒包，而导致网络设备已经无法正常的工作，比如无法正常转发数据、VLAN隔离失效、汇聚功能失效等，甚至严重点会导致网络设备直接当机。
(三)发明内容
本发明的目的在于克服上述不足，提供一种能够有效防御洪水攻击的基于网络交换设备的有效防御洪水攻击的方法。
本发明的目的是这样实现的：一种基于网络交换设备的有效防御洪水攻击的方法，所述方法步骤为：
(1)网络交换设备通过内置的信息收集程序收集设备的系统负荷状态、各个物理接口的数据流量突发状态以及各个物理接口的ARP安全状态；
(2)当监测到一个物理接口出现了ARP病毒，并且突发频率超过了危险界限，则将该物理接口标记为危险；
(3)当监测到系统负荷状态超过了安全上限，如果有物理接口被标记为危险，则停止该物理接口的转发处理，否则，将数据流量突发状态最大的物理接口进行流量控制；
(4)在安全待定时间内，如果设备的系统负荷状态始终保持平稳，则将被停止转发的物理接口的转发处理开启，或者将被控制了流量的物理接口流量复原；
上述步骤(2)中还包括：判断一个物理接口出现了ARP病毒的步骤如下：
(A1)在设备中建立一种包括设备的物理接口安全范围、MAC地址基于物理接口的安全定义、IP地址基于MAC地址的安全定义的安全机制；
(A2)设备在接收到ARP报文后，会自动将ARP报文中包括数据包的源IP地址、数据包的源MAC地址的安全定义模块提取出来；
(A3)根据接收到ARP报文的物理接口判断该物理接口是否属于安全范围，如果是的话，则进入下述第(A4)步；如果不是，则正常转发；
(A4)将安全定义模块中的源MAC地址进行安全级别定义，即源MAC地址是否被基于物理接口安全定义过：如果该MAC地址被安全定义过，即则进入下述第(A5)步；如果该MAC地址未被安全定义过，则将该ARP报文被判定为ARP病毒，并将数据包丢弃；
(A5)将安全定义模块中的源IP地址进行安全级别定义，即源IP地址是否被基于MAC地址安全定义过：如果该IP地址被安全定义过，则正常转发；如果该IP地址未被安全定义过，则将该ARP报文被判定为ARP病毒，并将数据包丢弃；
上述步骤(4)中物理接口的转发功能归还步骤如下：
(B1)当网络设备停止了物理接口的转发处理或者对物理接口进行了流量控制之后就开始进入安全待定状态；
(B2)判断是否存在被停止了转发处理的物理接口，如果有则进入下述第(B3)步；如果没有则进入下述第(B4)步；
(B3)判断被监听的物理接口是否仍然在接收ARP病毒报文，如果有则返回到(B1)步；如果没有则进入下述第(B4)步；
(B4)开始进行安全待定时间倒计时；
(B5)判断安全待定时间是否已经倒计时结束，如果是则将转发功能规划或者将流量复原；如果不是，则进入下述第(B6)步；
(B6)判断网络设备的系统负荷状态是否稳定，如果是则继续(B4)步；如果不是则重置安全待定时间，且继续(B4)步。
本发明一种基于网络交换设备的有效防御洪水攻击的方法，所述步骤(1)中网络交换设备内置的信息收集程序运行在CPU或转发芯片中。
本发明一种基于网络交换设备的有效防御洪水攻击的方法，所述步骤(3)中停止物理接口的转发处理的手段为强行将物理接口关闭或在不关闭物理接口的情况下禁止物理接口转发数据包。
本发明一种基于网络交换设备的有效防御洪水攻击的方法，被停止转发处理的物理接口为直连终端机的接口或级联网络设备的物理接口。
本发明一种基于网络交换设备的有效防御洪水攻击的方法，网络设备在停止了物理接口的转发处理之后，会继续监控物理接口接收的数据包情况，如果持续发现ARP病毒包，则网络设备始终处于安全待定状态，否则，开启安全待定时间倒计时。
本发明的有益效果是：
本发明一种基于网络交换设备的有效防御洪水攻击的方法，能在一定程度上解决上述的问题，因为直接对物理接口的工作状态进行控制，所以能将洪水攻击遏制在网络设备之外，从而达到不让洪水攻击影响网络设备的正常工作。并且由于大部分的策略都可以通过手工配置，所以大大增加了本方法对不同网络环境、不同用户需求的适应。
(四)附图说明
图1为本发明所述方法的实施例流程图；
图2为本发明物理接口被标记为“危险”流程；
图3为本发明ARP报文的安全定义流程；
图4为本发明物理接口转发功能归还流程。
(五)具体实施方式
参见图1，本发明涉及一种基于网络交换设备的有效防御洪水攻击的方法，其步骤为：
(1)网络交换设备通过在CPU或转发芯片中内置的信息收集程序收集设备的系统负荷状态、各个物理接口的数据流量突发状态以及各个物理接口的ARP安全状态；
(2)当监测到一个物理接口出现了ARP病毒，并且突发频率超过了危险界限，则将该物理接口标记为危险；
(3)当监测到系统负荷状态超过了安全上限，如果有物理接口被标记为危险，则停止该物理接口的转发处理，否则，将数据流量突发状态最大的物理接口进行流量控制。停止物理接口的转发处理的手段可以是强行将物理接口关闭或在不关闭物理接口的情况下禁止物理接口转发数据包。被停止转发处理的物理接口可以是直连终端机的接口或级联网络设备的物理接口；
(4)在安全待定时间内，如果设备的系统负荷状态始终保持平稳，则将被停止转发的物理接口的转发处理开启，或者将被控制了流量的物理接口流量复原。
如图2和图3所示，基于网络交换设备的有效防御洪水攻击的方法中物理接口被标记为“危险”的步骤如下：
(A1)在设备中建立一种包括设备的物理接口安全范围、MAC地址基于物理接口的安全定义、IP地址基于MAC地址的安全定义的安全机制；
(A2)设备在接收到ARP报文后，会自动将ARP报文中包括数据包的源IP地址、数据包的源MAC地址的安全定义模块提取出来；
(A3)根据接收到ARP报文的物理接口判断该物理接口是否属于安全范围，如果是的话，则进入下述第(A4)步；如果不是，则正常转发；
(A4)将安全定义模块中的源MAC地址进行安全级别定义，即源MAC地址是否被基于物理接口安全定义过：如果该MAC地址被安全定义过，即则进入下述第(A5)步；如果该MAC地址未被安全定义过，则将该ARP报文被判定为ARP病毒；
(A5)将安全定义模块中的源IP地址进行安全级别定义，即源IP地址是否被基于MAC地址安全定义过：如果该IP地址被安全定义过，则正常转发；如果该IP地址未被安全定义过，则将该ARP报文被判定为ARP病毒。
如图4所示，基于网络交换设备的有效防御洪水攻击的方法中物理接口转发功能归还的步骤如下：
(B1)当网络设备停止了物理接口的转发处理或者对物理接口进行了流量控制之后就开始进入安全待定状态；
(B2)判断是否在被停止了转发处理的物理接口，如果有则进入下述第(B3)步；如果没有则进入下述第(B4)步；
(B3)判断被监听的物理接口是否仍然在接收ARP病毒报文，如果有则返回到(B1)步；如果没有则进入下述第(B4)步；
(B4)开始进行安全待定时间倒计时；
(B5)判断安全待定时间是否已经倒计时结束，如果是则将转发功能规划或者将流量复原；如果不是，则进入下述第(B6)步；
(B6)判断网络设备的系统负荷状态是否稳定，如果是则继续(B4)步；如果不是则重置安全待定时间，继续(B4)步。

Claims (6)

1.一种基于网络交换设备的有效防御洪水攻击的方法，其特征在于：所述方法步骤为：
(1)网络交换设备通过内置的信息收集程序收集设备的系统负荷状态、各个物理接口的数据流量突发状态以及各个物理接口的ARP安全状态；
(2)当监测到一个物理接口出现了ARP病毒，并且突发频率超过了危险界限，则将该物理接口标记为危险；
(3)当监测到系统负荷状态超过了安全上限，如果有物理接口被标记为危险，则停止该物理接口的转发处理，否则，将数据流量突发状态最大的物理接口进行流量控制；
(4)在安全待定时间内，如果设备的系统负荷状态始终保持平稳，则将被停止转发的物理接口的转发处理开启，或者将被控制了流量的物理接口流量复原；
上述步骤(2)中还包括：判断一个物理接口出现了ARP病毒的步骤如下：
(A1)在设备中建立一种包括设备的物理接口安全范围、MAC地址基于物理接口的安全定义、IP地址基于MAC地址的安全定义的安全机制；
(A2)设备在接收到ARP报文后，会自动将ARP报文中包括数据包的源IP地址、数据包的源MAC地址的安全定义模块提取出来；
(A3)根据接收到ARP报文的物理接口判断该物理接口是否属于安全范围，如果是的话，则进入下述第(A4)步；如果不是，则正常转发；
(A4)将安全定义模块中的源MAC地址进行安全级别定义，即源MAC地址是否被基于物理接口安全定义过：如果该MAC地址被安全定义过，即则进入下述第(A5)步；如果该MAC地址未被安全定义过，则将该ARP报文被判定为ARP病毒，并将数据包丢弃；
(A5)将安全定义模块中的源IP地址进行安全级别定义，即源IP地址是否被基于MAC地址安全定义过：如果该IP地址被安全定义过，则正常转发；如果该IP地址未被安全定义过，则将该ARP报文被判定为ARP病毒，并将数据包丢弃；
上述步骤(4)中物理接口的转发功能归还步骤如下：
(B1)当网络设备停止了物理接口的转发处理或者对物理接口进行了流量控制之后就开始进入安全待定状态；
(B2)判断是否存在被停止了转发处理的物理接口，如果有则进入下述第(B3)步；如果没有则进入下述第(B4)步；
(B3)判断被监听的物理接口是否仍然在接收ARP病毒报文，如果有则返回到(B1)步；如果没有则进入下述第(B4)步；
(B4)开始进行安全待定时间倒计时；
(B5)判断安全待定时间是否已经倒计时结束，如果是则将转发功能规划或者将流量复原；如果不是，则进入下述第(B6)步；
(B6)判断网络设备的系统负荷状态是否稳定，如果是则继续(B4)步；如果不是则重置安全待定时间，且继续(B4)步。
2.根据权利要求1所述的一种基于网络交换设备的有效防御洪水攻击的方法，其特征在于：所述步骤(1)中网络交换设备内置的信息收集程序运行在CPU或转发芯片中。
3.根据权利要求1所述的一种基于网络交换设备的有效防御洪水攻击的方法，其特征在于：所述步骤(3)中停止物理接口的转发处理的手段为强行将物理接口关闭或在不关闭物理接口的情况下禁止物理接口转发数据包。
4.根据权利要求1或3所述的一种基于网络交换设备的有效防御洪水攻击的方法，其特征在于：被停止转发处理的物理接口为直连终端机的接口或级联网络设备的物理接口。
5.根据权利要求1或3所述的一种基于网络交换设备的有效防御洪水攻击的方法，其特征在于：网络设备在停止了物理接口的转发处理之后，会继续监控物理接口接收的数据包情况，如果持续发现ARP病毒包，则网络设备始终处于安全待定状态，否则，开启安全待定时间倒计时。
6.根据权利要求4所述的一种基于网络交换设备的有效防御洪水攻击的方法，其特征在于：网络设备在停止了物理接口的转发处理之后，会继续监控物理接口接收的数据包情况，如果持续发现ARP病毒包，则网络设备始终处于安全待定状态，否则，开启安全待定时间倒计时。
CN 201010225620 2010-07-12 2010-07-12 一种基于网络交换设备的有效防御洪水攻击的方法 Expired - Fee Related CN101895543B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN 201010225620 CN101895543B (zh) 2010-07-12 2010-07-12 一种基于网络交换设备的有效防御洪水攻击的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN 201010225620 CN101895543B (zh) 2010-07-12 2010-07-12 一种基于网络交换设备的有效防御洪水攻击的方法

Publications (2)

Publication Number Publication Date
CN101895543A true CN101895543A (zh) 2010-11-24
CN101895543B CN101895543B (zh) 2012-12-05

Family

ID=43104610

Family Applications (1)

Application Number Title Priority Date Filing Date
CN 201010225620 Expired - Fee Related CN101895543B (zh) 2010-07-12 2010-07-12 一种基于网络交换设备的有效防御洪水攻击的方法

Country Status (1)

Country Link
CN (1) CN101895543B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104883340A (zh) * 2014-02-28 2015-09-02 华为技术有限公司 防范入侵的方法及接入设备
CN107770114A (zh) * 2016-08-15 2018-03-06 台山市金讯互联网络科技有限公司 一种优化的分布式监测的洪水攻击检测方法
CN109561111A (zh) * 2019-01-24 2019-04-02 新华三技术有限公司 一种攻击源的确定方法及装置

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101197809A (zh) * 2006-12-08 2008-06-11 北京大学 一种阻断蠕虫传播的方法及实现该方法的装置
CN100464548C (zh) * 2005-10-10 2009-02-25 广东省电信有限公司研究院 一种阻断蠕虫攻击的系统和方法
US20090132839A1 (en) * 2007-11-15 2009-05-21 Rothman Michael A Method and device to handle denial of service attacks on wake events
CN101483515A (zh) * 2009-02-26 2009-07-15 杭州华三通信技术有限公司 Dhcp攻击防护方法和客户端设备
CN101616131A (zh) * 2008-06-24 2009-12-30 重庆广用通信技术有限责任公司 一种防御Arp病毒攻击的方法
US20100122344A1 (en) * 2005-07-06 2010-05-13 Fortinet, Inc. Systems and methods for detecting and preventing flooding attacks in a network environment

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100122344A1 (en) * 2005-07-06 2010-05-13 Fortinet, Inc. Systems and methods for detecting and preventing flooding attacks in a network environment
CN100464548C (zh) * 2005-10-10 2009-02-25 广东省电信有限公司研究院 一种阻断蠕虫攻击的系统和方法
CN101197809A (zh) * 2006-12-08 2008-06-11 北京大学 一种阻断蠕虫传播的方法及实现该方法的装置
US20090132839A1 (en) * 2007-11-15 2009-05-21 Rothman Michael A Method and device to handle denial of service attacks on wake events
CN101616131A (zh) * 2008-06-24 2009-12-30 重庆广用通信技术有限责任公司 一种防御Arp病毒攻击的方法
CN101483515A (zh) * 2009-02-26 2009-07-15 杭州华三通信技术有限公司 Dhcp攻击防护方法和客户端设备

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104883340A (zh) * 2014-02-28 2015-09-02 华为技术有限公司 防范入侵的方法及接入设备
WO2015127831A1 (zh) * 2014-02-28 2015-09-03 华为技术有限公司 防范入侵的方法及接入设备
CN107770114A (zh) * 2016-08-15 2018-03-06 台山市金讯互联网络科技有限公司 一种优化的分布式监测的洪水攻击检测方法
CN109561111A (zh) * 2019-01-24 2019-04-02 新华三技术有限公司 一种攻击源的确定方法及装置
CN109561111B (zh) * 2019-01-24 2021-07-23 新华三技术有限公司 一种攻击源的确定方法及装置

Also Published As

Publication number Publication date
CN101895543B (zh) 2012-12-05

Similar Documents

Publication Publication Date Title
EP3253025B1 (en) Sdn-based ddos attack prevention method, device and system
CN101330464B (zh) 网络接口系统、数据包传输方法及计算机系统
US8611220B2 (en) Network system, controller, and network control method
EP2382512B1 (en) Communication module with network isolation and communication filter
CN101286996A (zh) 一种风暴攻击抵抗方法与装置
CN101247353B (zh) 流老化方法及网络设备
CN103051605A (zh) 一种数据包处理方法、装置和系统
KR20160002058A (ko) 모드버스 통신 패턴 학습에 기반한 비정상 트래픽 탐지 장치 및 방법
CN101547187B (zh) 宽带接入设备的网络攻击防护方法
CN104539600B (zh) 一种支持过滤iec104协议的工控防火墙实现方法
CN102594814A (zh) 基于端末的网络访问控制系统
CN101018156A (zh) 防止带宽型拒绝服务攻击的方法、设备及系统
JP2012209633A (ja) スイッチングハブ及び検疫ネットワークシステム
CN104519065A (zh) 一种支持过滤Modbus TCP协议的工控防火墙实现方法
CN107360182B (zh) 一种用于嵌入式的主动网络防御系统及其防御方法
CN101895543B (zh) 一种基于网络交换设备的有效防御洪水攻击的方法
WO2014075485A1 (zh) 网络地址转换技术的处理方法、nat设备及bng设备
CN101984693A (zh) 终端接入局域网的监控方法和监控装置
CN105429974B (zh) 一种面向sdn的入侵防御系统和方法
CN103117946A (zh) 基于隔离装置与隔离网关结合应用的流量分担方法
WO2014161205A1 (zh) 一种网络拥塞处理方法、系统及装置
CN108418794B (zh) 一种智能变电站通信网络抵御arp攻击的方法及系统
CN101977154A (zh) 一种智能的流量安全处理控制方法及装置
JP2008178100A (ja) コンピュータネットワークをパケットフラッド（ｆｌｏｏｄ）から保護するための方法及びシステム
CN112822211B (zh) 电力工控便携式自学习工业防火墙系统、装置及使用方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of invention: Method for effectively defending flood attack based on network switching equipment

Effective date of registration: 20130114

Granted publication date: 20121205

Pledgee: Jiangyin Jiangsu rural commercial bank Limited by Share Ltd. fortress branch

Pledgor: Jiangsu Huali Networks Engineering Co.,Ltd.

Registration number: 2013990000032

PLDC Enforcement, change and cancellation of contracts on pledge of patent right or utility model
PC01 Cancellation of the registration of the contract for pledge of patent right

Date of cancellation: 20150107

Granted publication date: 20121205

Pledgee: Jiangyin Jiangsu rural commercial bank Limited by Share Ltd. fortress branch

Pledgor: Jiangsu Huali Networks Engineering Co.,Ltd.

Registration number: 2013990000032

PLDC Enforcement, change and cancellation of contracts on pledge of patent right or utility model
ASS Succession or assignment of patent right

Owner name: TANG WENJIE

Free format text: FORMER OWNER: JIANGSU HUALI NETWORK ENGINEERING CO., LTD.

Effective date: 20150504

C41 Transfer of patent application or patent right or utility model
COR Change of bibliographic data

Free format text: CORRECT: ADDRESS; FROM: 214433 WUXI, JIANGSU PROVINCE TO: 215600 SUZHOU, JIANGSU PROVINCE

TR01 Transfer of patent right

Effective date of registration: 20150504

Address after: 215600 Jiangsu city of Zhangjiagang Province Tang Qiao Zhen Heng Jing Cun Jing Dong Pan Bridge Group No. 5

Patentee after: Tang Wenjie

Address before: 214433 No. 9 Xincheng Road, Chengjiang Town, Jiangsu, Jiangyin

Patentee before: Jiangsu Huali Networks Engineering Co.,Ltd.

TR01 Transfer of patent right

Effective date of registration: 20200922

Address after: Room 603, building 52, Hongqiao 5 village, Jiangyin City, Wuxi City, Jiangsu Province

Patentee after: Ding Xiangen

Address before: 215600 Jiangsu city of Zhangjiagang Province Tang Qiao Zhen Heng Jing Cun Jing Dong Pan Bridge Group No. 5

Patentee before: Tang Wenjie

TR01 Transfer of patent right
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20121205

CF01 Termination of patent right due to non-payment of annual fee