CN102143173A - 防御分布式拒绝服务攻击的方法、系统以及网关设备 - Google Patents

Abstract

本发明涉及防御分布式拒绝服务攻击的方法、系统以及网关设备，该方法包括：检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端；客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；将客户端发送的包含有第一标记的重新请求转发给服务器。还提供一种网关设备以及防御分布式拒绝服务攻击的系统。本发明通过采用第一阈值以及重新刷新请求的方式，可防御大部分不支持重新刷新的僵尸工具的攻击。通过采用第二阈值及点击刷新请求，能够确认只有真实的用户才会对该刷新请求给予正常通过，增强了防御Ddos攻击的能力，防止非正常用户以及黑客的入侵。

Description

防御分布式拒绝服务攻击的方法、系统以及网关设备

技术领域

本发明涉及网络防御技术，更具体地说，涉及防御分布式拒绝服务攻击的方法、系统以及网关设备。

背景技术

分布式拒绝服务(Ddos：Distributed Denial of Service)攻击是指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS(Denial of Service，拒绝服务)攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将Ddos主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。

DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。比如模拟正常的连接请求诸如http(HyperText Transfer Protocol，超文本传输协议)请求来占用过多的服务器资源，导致正常用户的请求也得不到响应。下面列举两种攻击方式：

1)针对服务器的多连接攻击

通过控制大量攻击傀儡机同时连接访问网站，造成网站无法处理而瘫痪，这种攻击和正常访问网站是一样的，只是瞬间访问量增加几十倍甚至上百倍，有些防火墙可以通过限制每个连接用户的IP连接数来进行防护，但是这样会造成正常用户稍微多打开几次网站也会被封。

2)针对服务器的变种攻击

通过控制大量攻击傀儡机同时连接访问网站，一旦连接建立就不断开，一直发送一些特殊的GET访问请求造成网站数据库或者某些页面耗费大量的CPU，这样通过限制每个连接用户的IP连接数就失效了，因为每个攻击傀儡机可能只建立一个或者只建立少量的连接。这种攻击非常难防护。

大量攻击傀儡机发送低速的正常的http请求，这种正常请求的分布式攻击是很难识别和防御的，现有技术并不能很好的解决服务器的拒绝服务攻击。下面介绍对付Ddos攻击的一些常规方法。

(1)定期扫描

要定期扫描现有的网络主节点，清查可能存在的安全漏洞，对新出现的漏洞及时进行清理。骨干节点的计算机因为具有较高的带宽，是黑客利用的最佳位置，因此对这些主机本身加强主机安全是非常重要的。但是此方法仅能作为辅助防御的手段，不能从根本上解决防御的问题。

(2)在骨干节点配置防火墙

防火墙本身能抵御Ddos攻击和其他一些攻击。在发现受到攻击的时候，可以将攻击导向一些牺牲主机，这样可以保护真正的主机不被攻击。当然导向的这些牺牲主机可以选择不重要的，或者是linux以及unix等漏洞少和防范攻击能力优秀的系统。但是此方法需要额外增设防火墙，将攻击引导向其它主机，并不能从根本上解决Ddos的攻击，而只是将攻击转移，造成了主机数量的增加以及成本的提高。

(3)用足够的机器承受黑客攻击

这是一种较为理想的应对策略。如果用户拥有足够的容量和足够的资源给黑客攻击，在它不断访问用户、夺取用户资源之时，自己的能量也在逐渐耗失，或许未等用户被攻死，黑客已无力支招儿了。不过，此方法需要额外增加设备容量和资源，需要投入的资金比较多，平时大多数设备处于空闲状态，这就会导致网路防御成本的增加以及设备资源的浪费，和目前中小企业网络实际运行情况不相符。

(4)充分利用网络设备保护网络资源

所谓网络设备是指路由器、防火墙等负载均衡设备，它们可将网络有效地保护起来。当网络被攻击时最先死掉的是路由器，但其他机器没有死。死掉的路由器经重启后会恢复正常，而且启动起来还很快，没有什么损失。若其他服务器死掉，其中的数据会丢失，而且重启服务器又是一个漫长的过程。特别是一个公司使用了负载均衡设备，这样当一台路由器被攻击死机时，另一台将马上工作，一定程度上削减了Ddos的攻击。但是此方法需要额外增加路由设备，这就会导致网路防御成本的增加，而且不能从根本上解决Ddos的攻击。

从上可知，现有对付Ddos攻击的方法，不是需要定期进行扫描、就是需要增加额外的设备、限制流量或地址，这些不仅需要增加防御成本、耗时较长，而且不能从根本上对攻击加以过滤或控制，还有可能把真正的用户过滤掉，影响用户的使用。因此，现有的方法不能够很好的抵御Ddos攻击，抗攻击能力较差。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述抗攻击能力差的缺陷，提供一种防御分布式拒绝服务攻击的方法、系统以及网关设备。

本发明解决其技术问题所采用的技术方案是：构造一种防御分布式拒绝服务攻击的方法，包括：

检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端；

客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；

将客户端发送的包含有第一标记的重新请求转发给服务器。

在本发明所述的防御分布式拒绝服务攻击的方法中，还包括：

检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端；其中，第二阈值大于第一阈值；

客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；

将客户端发送的包含有第二标记的重新请求转发给服务器。

在本发明所述的防御分布式拒绝服务攻击的方法中，所述重新刷新请求为脚本刷新请求。

在本发明所述的防御分布式拒绝服务攻击的方法中，所述重新刷新请求为字段刷新请求。

本发明还提供一种网关设备，包括：

检测单元，用于检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端，以便客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；

转发单元，用于将客户端发送的包含有第一标记的重新请求转发给服务器。

在本发明所述的网关设备中，所述检测单元还用于检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端，以便客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；其中，第二阈值大于第一阈值；

转发单元还用于将客户端发送的包含有第二标记的重新请求转发给服务器。

在本发明所述的网关设备中，所述重新刷新请求为脚本刷新请求。

在本发明所述的网关设备中，所述重新刷新请求为字段刷新请求。

本发明还提供一种防御分布式拒绝服务攻击的系统，包括：

客户端；

网关设备，包括检测单元、转发单元；

检测单元，用于检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端，以便客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；

转发单元，用于将客户端发送的包含有第一标记的重新请求转发给服务器；

服务器，用于处理客户端发送的连接请求。

在本发明所述的防御分布式拒绝服务攻击的系统中，所述检测单元还用于检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端，以便客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；其中，第二阈值大于第一阈值；

转发单元还用于将客户端发送的包含有第二标记的重新请求转发给服务器。

本发明的有益效果是，通过采用第一阈值以及重新刷新请求(例如js脚本刷新请求)的方式，可以防御大部分不支持js脚本的僵尸工具的攻击。

进一步地，通过采用第二阈值以及点击刷新请求的方式，能够确认只有真实的用户才会对该刷新请求给予正常通过，增强了防御Ddos攻击的能力。

通过两个阈值的设定以及在超过不同阈值时采用不同的防御保护方式，大大提高了抗击Ddos攻击的能力，防止非正常用户以及黑客的入侵。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是依据本发明一实施例的防御分布式拒绝服务攻击的方法流程图；

图2是依据本发明另一实施例的防御分布式拒绝服务攻击的方法流程图；

图3是依据本发明一实施例的网关设备结构示意图；

图4是依据本发明一实施例的防御分布式拒绝服务攻击的系统结构示意图。

具体实施方式

图1是依据本发明一实施例的防御分布式拒绝服务攻击的方法100流程图。参考图1，可知，方法100包括如下步骤：

步骤101中，检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端；这里的连接请求，可以是http请求，也可以是其它应用的请求，比如游戏服务器的连接请求、炒股服务器的连接请求、数据库服务器的连接请求，OA(办公自动化)服务器的连接请求等等。只要是涉及到网络访问的连接请求都可以采用本技术方案。

对于低于第一阈值的请求可正常通过。这里的重新刷新请求可以通过任何能够实现自动刷新的方式来实现，例如但不限于脚本刷新请求(js脚本刷新)和字段刷新请求(增加刷新字段)、刷新重定向进行刷新。以js脚本刷新请求为例，该请求只有浏览器以及具有特别处理过的僵尸攻击工具才能正常处理并获得通过。

步骤102中，客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；能够执行重新刷新请求的给予正常通过，这样能够放置大部分不具备重新刷新请求的Ddos攻击。

步骤103中，如果客户端发来的重新请求中包含有第一标记，则将客户端发送的包含有第一标记的重新请求转发给服务器。在实际的应用中，可根据需要来选择合适的服务器，例如web服务器等，本发明对此不做限制。

上述实施例中，通过采用第一阈值以及重新刷新请求(例如js脚本刷新请求)的方式，可以防御大部分不支持js脚本的僵尸工具的攻击，一定程度上提高了网络或设备的抗攻击能力。

在本发明一实施例中，除了设置第一阈值外，还可以设置第二阈值来进一步地加强防御能力。如图2所示，还包括以下步骤：

步骤104，检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端；其中，第二阈值大于第一阈值；

步骤105，客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；

步骤106，将客户端发送的包含有第二标记的重新请求转发给服务器。

在本发明中，第一阈值与第二阈值的具体设置与服务器的性能有关，第一阈值和第二阈值均应小于服务器的最大并发数(能承受的最多连接请求数)。

通过采用第二阈值以及点击刷新请求的方式，能够确认只有真实的用户才会对该刷新请求给予正常通过，增强了防御Ddos攻击的能力。

对于Ddos工具如能够识别方法100的重新刷新请求，则可正常通过，但请求数达到第二阈值时，则网关设备就会返回一个点击刷新请求(点击按钮或者链接等)。例如，输出的是“系统繁忙，请点击按钮刷新”的页面，这时只有正常的自然人才会根据提示点击相应的按钮进行刷新操作，而所有的Ddos工具都不可能自动点击刷新按钮。如果是真实用户点击刷新按钮刷新请求，则网关给予正常通过。这样，可以过滤掉所有非正常的连接请求，有效的保护了服务器。

关于图1和图2的处理过程，下面以http请求为例，详细描述如下：

1)在服务器前端部署防御网关设备，网关设备统计每秒的http请求数。

2)当每秒的http请求数低于第一阈值时，请求给予正常通过。

3)当每秒的http请求数大于第一阈值时，网关设备启用代理其所有http请求，对每个请求回复一个html网页，网页里面带有自动刷新页面的js脚本，此处涉及的js脚本仅为示例，还可以是其它的刷新方式，例如通过增加刷新字段来实现。

4)客户端收到这个带有js脚本的页面后，如果是浏览器，则会自动执行js脚本，发送重新请求，并且请求的URL置上特殊的标记(第一标记)。如果是Ddos工具发送的请求，则其没有js引擎，则不会执行js刷新请求。此方式可有效的过滤掉此类攻击产生的http请求，保证只有浏览器的请求可以正常通过。

5)网关设备收到的请求的URL里面，如包括特殊的标记(第一标记)，则正常转发给服务器。

6)如果僵尸攻击工具能够执行js脚本并且自动执行刷新的请求，则上面的方案防御不了，并发请求数会持续增加，如果每秒的http请求数大于第二阈值时，网关设备代理回复一个html网页，网页没有自动刷新的js脚本，但有一个按钮或者链接可供用户点击，并且提示例如但不限于“系统繁忙，请点此此处重试”。引导真实用户点击该按钮或者链接进行刷新请求。

真实用户点击按钮或者链接刷新的请求，这个请求的URL里面也带有特殊的标记(第二标记)，网关对这种特殊标记的URL直接放行通过。如果是攻击工具，则不能也不会点击刷新重试的链接。这样可以过滤掉非真实用户的请求。大大降低了被攻击的可能性。

在本发明中，通过两个阈值的设定以及在超过不同阈值时采用不同的防御保护方式，大大提高了抗击Ddos攻击的能力，防止非正常用户以及黑客的入侵。

图3是依据本发明一实施例的网关设备300结构示意图。网关设备300包括检测单元301、转发单元302。

检测单元301，用于检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端，以便客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；

转发单元302，用于将客户端发送的包含有第一标记的重新请求转发给服务器。

上述实施例提供的网关设备，通过采用第一阈值以及重新刷新请求(例如js脚本刷新请求)的方式，可以防御大部分不支持js脚本的僵尸工具的攻击，一定程度上提高了网络或设备的抗攻击能力。

在本发明一实施例中，网关设备中的检测单元301还用于检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端，以便客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；其中，第二阈值大于第一阈值。重新刷新请求为脚本刷新请求或字段刷新请求。转发单元302还用于将客户端发送的包含有第二标记的重新请求转发给服务器。

网关设备进一步通过采用第二阈值以及点击刷新请求的方式，能够确认只有真实的用户才会对该刷新请求给予正常通过，增强了防御Ddos攻击的能力。

关于网关设备的具体工作过程可参见图1-2的描述，此处不再赘述。

图4是依据本发明一实施例的防御分布式拒绝服务攻击的系统400结构示意图。系统400包括客户端401、网关设备402、服务器403，

客户端401，向服务器403发送连接请求。这里的连接请求，可以是http请求，也可以是其它应用的请求，比如游戏服务器的连接请求、炒股服务器的连接请求、数据库服务器的连接请求，OA(办公自动化)服务器的连接请求等等。只要是涉及到网络访问的连接请求都可以采用本技术方案。

网关设备402检测并验证连接请求，并转发符合要求的连接请求。网关设备402的具体结构同图3的网关设备300，包括检测单元4021、转发单元4022，同图3中的检测单元301、转发单元302。检测单元4021，用于检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端401，以便客户端401接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；转发单元4022，用于将客户端401发送的包含有第一标记的重新请求转发给服务器403。

检测单元4021还用于检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端401，以便客户端401接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；其中，第二阈值大于第一阈值；

转发单元4022还用于将客户端401发送的包含有第二标记的重新请求转发给服务器403。

服务器403，用于处理网关设备402转发的连接请求。在实际的应用中，可根据需要来选择合适的服务器，例如web服务器等，本发明对此不做限制。

关于系统400的详细内容可参见图1-3及其相关描述，此处不再赘述。

本发明通过采用第一阈值以及重新刷新请求(例如js脚本刷新请求)的方式，可以防御大部分不支持js脚本的僵尸工具的攻击。进一步地，通过采用第二阈值以及点击刷新请求的方式，能够确认只有真实的用户才会对该刷新请求给予正常通过，增强了防御Ddos攻击的能力。通过两个阈值的设定以及在超过不同阈值时采用不同的防御保护方式，大大提高了抗击Ddos攻击的能力，防止非正常用户以及黑客的入侵。

Claims (10)

1.一种防御分布式拒绝服务攻击的方法，其特征在于，包括：

检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端；

客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；

将客户端发送的包含有第一标记的重新请求转发给服务器。

2.根据权利要求1所述的防御分布式拒绝服务攻击的方法，其特征在于，还包括：

检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端；其中，第二阈值大于第一阈值；

客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；

将客户端发送的包含有第二标记的重新请求转发给服务器。

3.根据权利要求1所述的防御分布式拒绝服务攻击的方法，其特征在于，所述重新刷新请求为脚本刷新请求。

4.根据权利要求1所述的防御分布式拒绝服务攻击的方法，其特征在于，所述重新刷新请求为字段刷新请求。

5.一种网关设备，其特征在于，包括：

检测单元，用于检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端，以便客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；

转发单元，用于将客户端发送的包含有第一标记的重新请求转发给服务器。

6.根据权利要求5所述的网关设备，其特征在于，

所述检测单元还用于检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端，以便客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；其中，第二阈值大于第一阈值；

转发单元还用于将客户端发送的包含有第二标记的重新请求转发给服务器。

7.根据权利要求5所述的网关设备，其特征在于，所述重新刷新请求为脚本刷新请求。

8.根据权利要求5所述的网关设备，其特征在于，所述重新刷新请求为字段刷新请求。

9.一种防御分布式拒绝服务攻击的系统，其特征在于，包括：

客户端；

网关设备，包括检测单元、转发单元；

检测单元，用于检测连接请求数是否超过第一阈值，若是，则输出重新刷新请求给客户端，以便客户端接收并判断是否能够执行所述重新刷新请求，若是，则执行所述重新刷新请求并发送包含有第一标记的重新请求；

转发单元，用于将客户端发送的包含有第一标记的重新请求转发给服务器；

服务器，用于处理客户端发送的连接请求。

10.根据权利要求9所述的防御分布式拒绝服务攻击的系统，其特征在于，

所述检测单元还用于检测连接请求数是否超过第二阈值，若是，则输出点击刷新请求给客户端，以便客户端接收并判断是否能够执行所述点击刷新请求，若是，则执行所述点击刷新请求并发送包含有第二标记的重新请求；其中，第二阈值大于第一阈值；

转发单元还用于将客户端发送的包含有第二标记的重新请求转发给服务器。

Images