CN102291390A - 一种基于云计算平台的防御拒绝服务攻击的方法 - Google Patents

Abstract

一种基于云计算平台的防御拒绝服务攻击的方法，解决对具体应用进行HTTP拒绝服务攻击的问题。通过对CPU、网络吞吐率等的分析确定是否存在拒绝服务攻击，在确定存在攻击行为后，首先对访问数据进行拦截，对访问用户进行重定向访问，Cookie采用的一种4位随机数/字母+具有固定答案数学题的验证码技术，同时定义重定向访问次数，以此来区分合法者与攻击者，从而将攻击者的IP设为黑名单，禁止访问，过滤掉攻击者；对于那些伪装为合法者的继续攻击服务器的攻击，则利用云计算平台本身的所具有的弹性性能，动态的增加网络带宽以及增加虚拟服务器的数量，当系统稳定后，重新恢复的原始系统状态，恢复带宽以及移除虚拟服务器，以此来有效的防御拒绝服务攻击。

Description

一种基于云计算平台的防御拒绝服务攻击的方法

技术领域

本发明是一种基于云计算平台的处理拒绝服务攻击的解决方案，主要用于在云计算环境下防御拒绝服务攻击，属于信息安全领域。

 

背景技术

随着Internet网络技术的发展和计算机技术的不断提高，网络中传输和处理的数据的能力直线增长。人们希望获得一种直接、便捷的计算处理方式，不需要安装应用软件，只要连接互联网，就可以利用连接在网络中的空闲的计算机资源进行任务处理。

在此背景之下，云计算应运而生，所谓云计算，就是通过计算机网络去连接由大量服务器、存储设备集群构成的云计算平台，来获取远程客户端所需要的服务。而云计算服务商则是将一项复杂的运算任务分成若干个部分，通过分布在计算机网络中的分布式计算机协同合作，最终将运算结果传输到客户端，从而实现个人数据在远程的计算资源集群的运算。

拒绝服务攻击DoS和DDoS不是云服务所特有的。但是，在云服务的技术环境中，企业中的关键核心数据、服务离开了企业网，迁移到了云服务中心。更多的应用和集成业务开始依靠互联网。拒绝服务带来的后果和破坏将会明显地超过传统的企业网环境。在云计算环境下，具体的应用成为攻击目标：攻击者会使用针对具体应用的攻击来攻击受害者的在线服务。

HTTP—Flood攻击是一种典型的应用层DDoS攻击，攻击的主要目标是Web服务器上的网页。攻击发生时，攻击者向服务器大量的高频请求一个或多个网页，使服务器忙于向攻击者提供资源而无法响应其他合法用户的服务请求。当海量的单个请求同时发生时，HTTP—Flood攻击也就随之产生了，造成的后果就是Web服务器拒绝服务。

HTTP—Flood攻击一般分为如下两类：

1）请求洪泛攻击：这种攻击的形式是通过大量合法的HTTP请求占用目标网络的带宽或者消耗服务器的资源，使正常用户无法进行web访问。

其特点就是攻击速度快，攻击发起节点多，但是每一次攻击带来的危害有限。攻击的内容可以随机生成也可以通过拦截用户的正常HTTP请求序列，然后重放产生。

2）高消耗请求攻击：这种攻击的形式就是攻击者不断的访问web服务器上高耗资源的网页，比如:数据库查询、密码验证等。带来的直接后果就是服务器的资源(CPU、内存等)被消耗殆尽，从而达到拒绝服务的效果。

这种攻击的特征是攻击速率低、攻击发起节点少，但每次攻击产生的危害却非常大，而且不容易被检测工具发现。

 

发明内容

技术问题：本发明的目的是提供一种基于云计算平台的处理拒绝服务攻击的策略，根据云计算富有弹性的特点，来有效的防御拒绝服务攻击。

技术方案：本发明是改进的防御拒绝服务攻击的方法，来防御针对具体应用为目标的拒绝服务攻击。其原理是监测客户端到服务器的所有TCP连接，在连接到达服务器之间进行截获，鉴别是否为合法用户或是攻击。对于通过鉴别的合法用户假使是伪装的合法用户则利用云计算环境本身具有的弹性的特点，使用虚拟化技术动态增加服务器数量和改变网络带宽，来防御拒绝服务攻击。

该方法的主要步骤如下：

步骤1. 监测服务器，对当前系统的中央处理器CPU（Central Processing Unit，）、内存利用率、网络吞吐率性能与历史同时期进行对比分析； 

步骤2. 当系统性能阈值高于最高阈值时启动防御系统；

步骤3. 防御系统在客户端与服务器建立传输控制协议TCP（Transmission Control Protocol，）连接后，截获其对服务器发送的统一资源定位符URL（Uniform / Universal Resource Locator,）的浏览器向服务器发起的GET请求；                                                                              

步骤4.　防御系统向这个客户端返回一个包含由服务器生成，为辨别用户身份、进行跟踪而储存在用户本地终端上的数据Cookie的重定向到URL的数据包，并定义重定向次数num＝0；

步骤5. 在重定向次数num＜3的情况下，如果客户端是一个合法主机，则会根据超文本传输协议HTTP（HyperText Transfer Protocol，）的规则对这个重定向数据包进行响应；如果客户端是一个僵尸主机，则不能对这个重定向数据包进行响应或者响应错误；重定向次数num＋＋；

　　　当重定向次数num＞＝3的时候，将此非法用户加入黑名单，禁止访问服务器；

步骤6. 防御系统根据上述响应对返回正确响应的客户端的定义为合法，允许进行访问，进入步骤7；对错误访问进入步骤5，再次进行Cookie的重定向；

步骤7. 对当前系统的性能再次进行分析，当CPU、内存利用率、网络吞吐率接近系统极限时，对网络带宽进行动态调增加，同时增加虚拟机数量帮助服务器接受HTTP请求，对增加的虚拟机进行记录；进入步骤8；当CPU、内存利用率、网络吞吐率恢复到系统正常状态时，防御结束，继续监测服务器动态；

步骤8.　当CPU、内存利用率、网络吞吐率恢复到系统正常状态时，恢复原始网络带宽，同时移除增加的虚拟机，恢复的原始系统，防御结束，继续监测服务器动态。

有益效果：本发明方法提出了一种基于云计算平台的处理拒绝服务攻击的策略，主要解决了在云计算平台上对具体应用进行HTTP拒绝服务攻击的问题。通过使用本发明的方法，能够在即使黑客伪装为合法用户后仍然能够防御拒绝服务攻击。

下面给出具体的说明：

(1)    首先对应用系统进行监控，通过对CPU、网络吞吐率等的分析确定是否存在拒绝服务攻击，在确定攻击行为后，首先对访问数据进行拦截，对访问用户进行重定向访问并定义重定向访问次数，以此来区分合法者与攻击者；从而将攻击者的IP设为黑名单，禁止访问，过滤掉攻击者；

(2)    对于那些伪装为合法者的继续攻击服务器的攻击，则利用云计算平台本身的所具有的弹性性能，动态的增加网络带宽以及增加虚拟服务器的数量，当系统稳定后，重新恢复的原始系统状态，恢复带宽以及移除虚拟服务器，以此来有效的防御拒绝服务攻击。

 

附图说明

图1是防御系统图。

图2是基于云计算平台的防御拒绝服务攻击的流程图。

具体实施方式

本发明的方法为：

步骤1. 监测服务器，获取当前系统的性能（CPU、内存利用率、网络吞吐率）信息和性能的增长率；

步骤2. 当系统性能阈值或增长阈值高于最高阈值时启动防御系统；

步骤3. 防御系统在客户端与服务器建立TCP连接后，截获其对服务器发送的URL的GET请求；                                                                              

步骤4.　防御系统向这个客户端返回一个包含Cookie的重定向到URL的数据包。并定义重定向次数num＝0；

步骤5. 在重定向次数num＜3的情况下，如果客户端是一个合法主机，则会根据HTTP协议的规则对这个重定向数据包进行响应；如果客户端是一个僵尸主机，则不能对这个重定向数据包进行响应或者响应错误；重定向次数num＋＋；

　　　当重定向次数num＞＝3的时候，将此非法用户加入黑名单，禁止访问服务器。

步骤6. 防御系统根据上述响应对返回正确响应的客户端的定义为合法，允许进行访问，进入步骤7。对错误访问进入步骤5，再次进行Cookie的重定向；

步骤7. 对当前系统的性能再次进行分析，当CPU、内存利用率、网络吞吐率接大于系统绝对阈值时，对网络带宽进行动态调增加，同时增加虚拟机数量帮助服务器接受HTTP请求，对增加的虚拟机进行记录；进入步骤8；

　　当CPU、内存利用率、网络吞吐率恢复到系统正常状态时，防御结束，继续监测服务器动态。

步骤8.　当CPU、内存利用率、网络吞吐率恢复到系统正常状态时，恢复原始网络带宽，同时移除增加的虚拟机，恢复的原始系统，防御结束，继续监测服务器动态。

具体如下：

一、对系统信息进行监测

本方法是相对于目的端的检测技术，当Web服务器遭遇拒绝服务攻击后， CPU，内存利用率，网络吞吐率的均会发生异常。通过以下两方面来监测是否遭遇拒绝服务攻击：

1.        将当前的CPU，内存利用率，网络吞吐率数据信息与系统设定的DDoS检测的绝对阀值进行比较。

2.        将当前CPU，内存利用率，网络吞吐率在单位时间内的增长率与系统设定的增长阀值进行比较。 

二、防御系统中Cookie的选择

在防御系统向客户端发送的包含Cookie的URL’重定向数据包中Cookie采用一种4位随机数/字母+具有固定答案数学题的验证码技术。

表1 验证码实例

随机数	key	数学题目	答案	验证码
					aaed	1	1+1=?	2	aaed2
12dr	2	12-7=?	5	12dr5
					3427	3	5+2=?	7	34277
3fr0	4	34-25=?	9	3fr09

     三、云计算平台的网络带宽与虚拟服务器动态设置

     在通过防御系统过滤掉攻击者之后，监测系统是否处于正常运行状态下，若仍被监测为存在拒绝服务攻击，则表明系统中被任定为安全者的访问者中存在伪装的攻击者，这时候根据云计算平台的特性对网络带宽进行增加同时增加虚拟服务器的数量。增幅以原数量的10%增长。

随后在对系统的各项信息进行重新监测，以确定是否存在攻击行为，若还存在则继续对带宽与虚拟服务器的数量进行增长（10%）。若恢复正常，则逐步恢复带宽以及虚拟服务器数量（每次10%减少直至原始数值）。

Claims (1)

1.一种基于云计算平台的防御拒绝服务攻击的方法，其特征在于该方法将

云计算的弹性特点结合到处理拒绝服务攻击中其步骤主要如下：

步骤1. 监测服务器，对当前系统的中央处理器CPU、内存利用率、网络吞吐率性能与历史同时期进行对比分析； 

步骤2. 当系统性能阈值高于最高阈值时启动防御系统；

步骤3. 防御系统在客户端与服务器建立传输控制协议TCP连接后，截获其对服务器发送的统一资源定位符URL的浏览器向服务器发起的GET请求；                                                                              

步骤4.　防御系统向这个客户端返回一个包含由服务器生成，为辨别用户身份、进行跟踪而储存在用户本地终端上的数据Cookie的重定向到URL的数据包，并定义重定向次数num＝0；

步骤5. 在重定向次数num＜3的情况下，如果客户端是一个合法主机，则会根据超文本传输协议HTTP的规则对这个重定向数据包进行响应；如果客户端是一个僵尸主机，则不能对这个重定向数据包进行响应或者响应错误；重定向次数num＋＋；

　　　当重定向次数num＞＝3的时候，将此非法用户加入黑名单，禁止访问服务器；

步骤6. 防御系统根据上述响应对返回正确响应的客户端的定义为合法，允许进行访问，进入步骤7；对错误访问进入步骤5，再次进行Cookie的重定向；

步骤7. 对当前系统的性能再次进行分析，当CPU、内存利用率、网络吞吐率接近系统极限时，对网络带宽进行动态调增加，同时增加虚拟机数量帮助服务器接受HTTP请求，对增加的虚拟机进行记录；进入步骤8；当CPU、内存利用率、网络吞吐率恢复到系统正常状态时，防御结束，继续监测服务器动态；

步骤8.　当CPU、内存利用率、网络吞吐率恢复到系统正常状态时，恢复原始网络带宽，同时移除增加的虚拟机，恢复的原始系统，防御结束，继续监测服务器动态。

Images