CN102026199A - 一种WiMAX系统及其防御DDoS攻击的装置和方法 - Google Patents

Abstract

本发明公开了一种WiMAX系统及其防御DDoS攻击的装置和方法，在WiMAX系统中配置一个或多个非法包拦截模块，非法包拦截模块配置于基站和接入网关之间，所述非法包拦截模块对终端经基站发送的上行数据进行合法性检测，若判断为合法数据，则直接转发给接入网关通过主干网络发送给应用服务器；若判断为非法数据，则将上行数据进行拦截。进一步用于在拦截非法数据后，通知基站对发送该非法数据的终端进行带宽限制，记录检测日志及生成告警。本发明能有效防御由网内大量终端发起的DDoS攻击，增强网络的安全性，保证了无线网络的稳定。

Description

一种WiMAX系统及其防御DDoS攻击的装置和方法

技术领域

本发明涉及无线移动通讯领域中的网络安全防御技术，尤其涉及一种WiMAX(Worldwide Interoperability for Microwave Access，全球互操作性微波接入)系统及其防御DDoS攻击的装置和方法。

背景技术

分布式拒绝服务攻击DDoS(Distributed Denial of service)是一种常见的网络攻击技术。最基本的DDoS攻击是利用合理的服务请求来占用过多的服务资源，使服务器无法处理合法用户的指令，而很多DoS攻击源一起攻击某台服务器就组成了DDoS攻击。WiMAX(Worldwide Interoperability forMicrowave Access，全球互操作性微波接入)系统是基于IEEE 802.16d/e标准的宽带无线接入城域网技术，具有最大数据传输速率高、容量大、支持在线用户多等特点。WiMAX网络系统的在线用户数量庞大以及具备动态IP不易追溯的特点，使之成为DDoS攻击源的极佳选择，因此随着WiMAX商用网络的增多，WiMAX的网络安全防御则变得至关重要。

目前关于WiMAX系统的安全性的理论和研究，主要关注于网络接入和监听用户的合法性，没有涉及DDoS防御等问题的描述。例如专利申请号为CN200710080323.6的专利“一种应用于WiMAX网络的警用监听系统和方法”以及专利申请号为CN200710166459.9的专利“用于微波接入全球互通系统的监听标识的处理方法”，提到了警用信息中心和对用户布控和监听的方法，用于在鉴权授权计费服务器和接入服务网关中对需要监听的用户进行布控和监控。但是都没有涉及WiMAX网络中如何防御攻击的问题。

另外关于防御DDoS攻击的网络系统的研究，还没有发现结合WiMAX网络的特点的防御方法。例如专利申请号为CN200810116196.5的专利“一种检测分布式拒绝服务攻击的方法及设备”公开了一种检测分布式拒绝服务攻击的方法和设备，设备部署在互联网的省际主干线的入口处。但在省际主干线上部署防御DDoS的设备的方法实现过于复杂，对于主干线上流量大且源头多的数据包很难做到一一解析和对比，而且在主干线实现这样的防御，会极大地增大数据包的传输时延。如果网络中的终端用户被植入的木马软件，在发起DDoS攻击服务器的时候，网络中将充斥着大量的无用的数据包且源地址为假，占用了无线网络大量的上行资源，使得合法用户上行速率不足，严重影响用户使用效果。

因此，WiMAX系统迫切需要一种能有效防御DDoS攻击的机制和方法来保证用户和运营商的合法权益，但目前缺乏有效的方法和解决方案。

发明内容

本发明所要解决的技术问题在于，提供一种WiMAX系统及其防御DDoS攻击的装置和方法，用于解决目前在WiMAX系统中缺少应对DDoS攻击的机制，无法保证网络安全的问题，达到在WiMAX系统中有效防御DDoS攻击的效果。

为了解决上述问题，本发明提出了一种WiMAX网络系统，包括应用服务器，主干网络，接入网关，一个或多个基站，一个或多个终端，还包括配置于基站和接入网关之间的一个或多个非法包拦截模块，其中：

所述非法包拦截模块，用于对终端经基站发送的上行数据进行合法性检测，若判断为合法数据，则直接转发给接入网关通过主干网络发送给应用服务器；若判断为非法数据，则将上行数据进行拦截。

所述非法包拦截模块，进一步用于在拦截非法数据后，通知基站对发送该非法数据的终端进行带宽限制。

所述非法包拦截模块，进一步用于记录检测日志及生成告警，所述告警包括当前攻击告警和过往攻击告警。

所述非法包拦截模块包括如下单元：

IP地址获取单元，用于对上行数据进行分析获取该终端的IP地址，发送给合法性分析单元；

合法IP地址库，用于存储合法用户的IP地址；

合法性分析单元，用于分析发送上行数据的终端的IP地址是否为合法IP地址库中的IP地址，若是则判定该上行数据为合法数据直接转发给接入网关，若不是则判定该上行数据为非法数据进行拦截。

所述合法性分析单元，还通知基站对发送上行非法数据的终端进行带宽限制；

非法包拦截模块还包括，用于记录检测日志的日志记录单元，以及用于生成告警的告警单元，该告警单元生成的告警包括当前攻击告警和过往攻击告警。

所述非法包拦截模块是单独配置在基站和接入网关之间的独立网元，或者是配置在基站中，或者是配置在接入网关中。

本发明还提供一种非法包拦截模块，配置在基站和接入网关之间，或者是配置在基站中，或者是配置在接入网关中，包括如下单元：

IP地址获取单元，用于对上行数据进行分析获取该终端的IP地址，发送给合法性分析单元；

合法IP地址库，用于存储合法用户的IP地址；

合法性分析单元，用于分析发送上行数据的终端的IP地址是否为合法IP地址库中的IP地址，若是则判定该上行数据为合法数据直接转发给接入网关，若不是则判定该上行数据为非法数据进行拦截。

所述合法性分析单元，还通知基站对发送上行非法数据的终端进行带宽限制。

非法包拦截模块还包括，用于记录检测日志的日志记录单元，以及用于生成告警的告警单元，该告警单元生成的告警包括当前攻击告警和过往攻击告警。

本发明还提供一种WiMAX网络系统中用于防御分布式拒绝服务攻击的方法，包括：

在基站和接入网关之间配置非法包拦截模块，用于对上行数据进行合法性检测，若检测判断为合法数据，则直接转发给接入网关通过主干网络发送给应用服务器；若检测判断为非法数据，则将上行数据进行拦截。

所述方法进一步包括：

在非法包拦截模块检测到非法数据后，通知基站对发送上行非法数据的终端进行带宽限制。

所述方法进一步包括：

记录检测日志，以及检测到非法数据后生成告警，所生成的告警包括当前攻击告警和过往攻击告警。

本发明的技术方案应用在WiMAX系统，在WiMAX的终端接入网络后，当该终端电脑成为傀儡机发起DDoS攻击时，安全系统能有效识别，并将非法的报文拦截丢弃；通过识别IP，可将内部伪造的大量IP报文视为非法进行丢弃处理，确保了合法业务的正常开展。因而，本发明能有效防御由网内大量终端发起的DDoS攻击，增强网络的安全性，保证了无线网络的稳定。

附图说明

图1是本发明实施例中可防御DDoS攻击的WiMAX系统的示意图；

图2是本发明实施例中另一种防御DDoS攻击的WiMAX系统示意图；

图3是图1所示WiMAX系统中接入网关与非法包拦截模块合设时的示意图；

图4是图2所示WiMAX系统中接入网关与非法包拦截模块合设时的示意图；

图5是图2所示WiMAX系统中基站与非法包拦截模块合设时的示意图；

图6是非法包拦截模块的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，以下结合附图对本发明作进一步地详细说明。

如图1所示，给出了具有防御DDoS攻击的WiMAX网络系统示意图。该系统的网元包括：

鉴权、授权及计费服务器101，是用于提供鉴权、授权和计费功能的WiMAX网络的网元之一。该鉴权、授权及计费服务器101用于存储合法用户的服务质量信息(QoS profile)和用户名、密码、证书等信息，在用户接入网络时和用户在线的过程中，完成鉴权授权计费流程。

应用服务器102，是指网络服务提供商的应用服务器，例如Web服务器和FTP服务器等，其通常是DDoS攻击的攻击目标，接受大量来至终端的攻击报文，当攻击发生时，如果应用服务器超负荷就会失去对正常用户提供服务的能力。

主干网络103，是指电信运营商的主干网络，是主要传输网络，包括路由器和有线或无线传输媒介等等。

WiMAX接入网关104，是连接无线网络设备(通常包括终端、基站、非法包拦截模块)和核心网设备(如主干网络、应用服务器，鉴权、授权及计费服务器)的连接桥梁，起到数据转发作用；同时存储合法终端的IP网段，集成和具备了DHCP功能。

非法包拦截模块105，布置于WiMAX基站和WiMAX接入网关连接中间位置，所有基站上行数据首先经过非法包拦截模块105再发往WiMAX接入网关。用于监控、检测和过滤上行数据包，还具备反向跟踪和告警以及与基站106/107进行信令交互的功能。所述非法包拦截模块可只监控终端发向接入网关的上行链路数据包，对下行链路不做监控和检测。

WiMAX基站106、107，通过WiMAX无线协议与WiMAX终端进行数据交互，通过有线方式与非法包拦截模块105相连接。

WiMAX终端108、109、110，即无线网络的用户端。所述终端的概念包含了无线上网卡和个人电脑及相关的应用软件。

终端作为木马的被植入者，通常被作为DDoS攻击的发起者，其发送的数据流经过WiMAX基站、非法包拦截模块105、WiMAX接入网管104、主干网络103到达应用服务器102。

基于图1所示的WiMAX网络系统，本发明实施例中，通过在WiMAX网络的核心网和基站之间布置非法包拦截模块105，对上行数据包进行检测和拦截，可有效抵御网内终端发起的分布式拒绝服务(DDoS)攻击。非法包拦截模块105可与802.16e协议的安全机制相结合。

非法包拦截模块105，最基本的功能是对上行数据包进行检测与拦截，若检测判断上行数据包为合法数据包则直接转发，若检测判断上行数据包为非法数据包则进行拦截。

检测上行数据包的合法性可通过分析终端发送报文中的IP地址来实现。由于DDoS发起的报文是随机伪造的IP地址，如果检测到IP地址是DHCP服务器中分配的IP地址，则认为是合法报文。对于合法报文，非法包拦截模块105不做任何处理，按最高优先级处理原封不动尽快转发给接入网关，减少网络数据的时延。如果非法包拦截模块处检测到的源IP地址不是DHCP服务器中分配的IP地址，则认为是非法报文，非法包拦截模块105对非法数据包进行拦截，使得利用WiMAX网络内的终端发起的DDoS攻击失效。

非法包拦截模块105能检测到当前网络中的异常事件，利用高效的数据包分析算法，能辨别正常数据包和DDoS攻击数据包。通过检测与拦截，可实时监测DDoS攻击，及时对攻击行为进行处理，丢弃非法数据或转移非法数据；在拦截掉非法报文的同时，依然能保证正常业务的进行，在核心网的网络边界处即可实施对IP源地址欺骗的过滤作用。

进一步地，非法包拦截模块105还具有反向追索和带宽限制功能，用于对检测到的非法报文进行统计，定位正在发起DDoS攻击的终端，并对该终端的行为进行限制。

非法攻击者在傀儡机上植入木马程序后，并不会马上发起攻击，而是等到必要时候才将攻击程序激活，攻击时间也会比较短暂和集中。

根据傀儡机发起DDoS攻击的间歇性特征，非法包拦截模块105在检测到攻击后，通过发送消息通知基站减少该终端的分配带宽，例如基站将正在发起攻击的终端的上行带宽减少，限制在50kbps，限制持续到没有非法报文从该终端发出为止。当非法包拦截模块105检测未发现异常报文时，认为当前的DDoS攻击结束，可以恢复该终端的正常带宽。

反向追索和带宽限制功能可有效减少傀儡机发起攻击的危害程度，总体上限制了上行带宽不被过度的用于非法攻击，维护网内其他用户的正常使用。

进一步地，非法包拦截模块105还具有双重告警机制

非法包拦截模块105具备记录检测日志和告警功能，配合实时监测功能，检测和发现网络攻击事件，具有当前攻击告警和过往攻击告警的双重告警机制。非法包拦截模块连接外设终端如计算机和显示设备，提取和查看告警日志信息。

进一步地，作为图1所示实施方式的改进，还可在网络多个节点布置非法包拦截模块105，用于监控、检测和过滤所有基站的上行数据包。

所述非法包拦截模块只监控终端发向接入网关的上行链路数据包，对下行链路数据报文不做监控和检测直接传送给下级网元即目标基站。如果一个接入网关下面基站数量过多，可根据非法包拦截模块105的处理能力，将一定数量的基站分成若干小组，每组内都布置一个非法包拦截模块，每个非法包拦截模块作用相同，布置多个非法包拦截模块用于达到负荷分担的效果。

如图2所示，给出了本发明实施例的一种改进的应用场景，与图1的主要区别在于，将基站106和107分为两组，每组配置一个非法包拦截模块，例如105A和105B。基站106发送的上行数据经非法包拦截模块105A进行检测和拦截后，将合法数据发送给接入网关104。基站107发送的上行数据经非法包拦截模块105B进行检测和拦截后，将合法数据发送给接入网关104。

非法包拦截模块可以单独布置，也可以与其他网元合并配置，例如配置在接入网关中，或者配置在基站上。

如图3所示，给出了本发明实施例的一种改进的应用场景，与图1的主要区别在于，非法包拦截模块105与接入网关合并配置在一起。

如图4所示，给出了本发明实施例的一种改进的应用场景，为达到负荷分担的目的，配置了多个非法包拦截模块，与图2的主要区别在于，非法包拦截模块105A和105B与接入网关合并配置在一起。

如图5所示，给出了本发明实施例的一种改进的应用场景，为达到负荷分担的目的，配置了多个非法包拦截模块，与图2的主要区别在于，为每一基站配置了一个非法包拦截模块，非法包拦截模块与基站合并设置。

依据上述图1至图5所示的网络系统配置，可以实现防御WiMAX系统网内发起的DDoS攻击。

如图6所示，进一步地给出了非法包拦截模块的结构示意图，

该非法包拦截模块根据其功能可分为如下单元：

IP地址获取单元，用于对上行数据进行分析获取该终端的IP地址，发送给合法性分析单元；

合法IP地址库，用于存储合法用户的IP地址；

合法性分析单元，用于分析发送上行数据的终端的IP地址是否为合法IP地址库中的IP地址，若是则判定该上行数据为合法数据直接转发给接入网关，若不是则判定该上行数据为非法数据进行拦截。

进一步地，该合法性分析单元，还可通知基站对发送上行非法数据的终端进行带宽限制。

进一步地，该非法包拦截模块还可包括日志记录单元，用于记录检测日志。

进一步地，该非法包拦截模块还可包括告警单元，用于配合实时监测功能，检测和发现网络攻击事件，具有当前攻击告警和过往攻击告警的双重告警机制。

以上所述仅为本发明的实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims (12)

1.一种WiMAX网络系统，包括应用服务器，主干网络，接入网关，一个或多个基站，一个或多个终端，还包括配置于基站和接入网关之间的一个或多个非法包拦截模块，其中：

所述非法包拦截模块，用于对终端经基站发送的上行数据进行合法性检测，若判断为合法数据，则直接转发给接入网关通过主干网络发送给应用服务器；若判断为非法数据，则将上行数据进行拦截。

2.如权利要求1所述的WiMAX网络系统，其特征在于，

所述非法包拦截模块，进一步用于在拦截非法数据后，通知基站对发送该非法数据的终端进行带宽限制。

3.如权利要求1所述的WiMAX网络系统，其特征在于，

所述非法包拦截模块，进一步用于记录检测日志及生成告警，所述告警包括当前攻击告警和过往攻击告警。

4.如权利要求1所述的WiMAX网络系统，其特征在于，所述非法包拦截模块包括如下单元：

IP地址获取单元，用于对上行数据进行分析获取该终端的IP地址，发送给合法性分析单元；

合法IP地址库，用于存储合法用户的IP地址；

合法性分析单元，用于分析发送上行数据的终端的IP地址是否为合法IP地址库中的IP地址，若是则判定该上行数据为合法数据直接转发给接入网关，若不是则判定该上行数据为非法数据进行拦截。

5.如权利要求4所述的WiMAX网络系统，其特征在于，

所述合法性分析单元，还通知基站对发送上行非法数据的终端进行带宽限制；

非法包拦截模块还包括，用于记录检测日志的日志记录单元，以及用于生成告警的告警单元，该告警单元生成的告警包括当前攻击告警和过往攻击告警。

6.如权利要求1至5中任一项所述的WiMAX网络系统，其特征在于，

所述非法包拦截模块是单独配置在基站和接入网关之间的独立网元，或者是配置在基站中，或者是配置在接入网关中。

7.一种非法包拦截模块，其特征在于，配置在基站和接入网关之间，或者是配置在基站中，或者是配置在接入网关中，包括如下单元：

IP地址获取单元，用于对上行数据进行分析获取该终端的IP地址，发送给合法性分析单元；

合法IP地址库，用于存储合法用户的IP地址；

合法性分析单元，用于分析发送上行数据的终端的IP地址是否为合法IP地址库中的IP地址，若是则判定该上行数据为合法数据直接转发给接入网关，若不是则判定该上行数据为非法数据进行拦截。

8.如权利要求7所述的非法包拦截模块，其特征在于，

所述合法性分析单元，还通知基站对发送上行非法数据的终端进行带宽限制。

9.如权利要求7所述的非法包拦截模块，其特征在于，

非法包拦截模块还包括，用于记录检测日志的日志记录单元，以及用于生成告警的告警单元，该告警单元生成的告警包括当前攻击告警和过往攻击告警。

10.一种WiMAX网络系统中用于防御分布式拒绝服务攻击的方法，包括：

在基站和接入网关之间配置非法包拦截模块，用于对上行数据进行合法性检测，若检测判断为合法数据，则直接转发给接入网关通过主干网络发送给应用服务器；若检测判断为非法数据，则将上行数据进行拦截。

11.如权利要求10所述的方法，其特征在于，所述方法进一步包括：

在非法包拦截模块检测到非法数据后，通知基站对发送上行非法数据的终端进行带宽限制。

12.如权利要求10或11所述的方法，其特征在于，所述方法进一步包括：

记录检测日志，以及检测到非法数据后生成告警，所生成的告警包括当前攻击告警和过往攻击告警。

Images