CN102546587B - 防止网关系统会话资源被恶意耗尽的方法及装置 - Google Patents

Abstract

本发明涉及一种防止网关系统会话资源被恶意耗尽的方法，该方法包括步骤：接收主机发送的会话请求；跟踪并检测会话请求是否有后续的数据交互，若有则判定该会话请求为正常会话请求并将正常会话请求的源IP地址添加至已知IP地址列表，否则判定该会话请求为异常会话请求并统计异常会话请求的数量；当异常会话请求的数量超过安全阈值时，使系统进入异常工作模式并放弃异常会话请求，或是限制每秒异常会话请求的通过数。本发明提出的防止网关系统会话资源被恶意耗尽的方法，记录存在正常数据交互的IP地址，当网关系统统计到某一主机感染病毒发起大量异常会话请求时，限制异常会话请求，以使正常会话请求不被影响，从而保证了网关系统的正常通信。

Description

防止网关系统会话资源被恶意耗尽的方法及装置

技术领域

本发明涉及网关系统领域，具体是防止网关系统会话资源被恶意耗尽的方法及装置。

背景技术

互联网中，客户端和服务器端之间的连接简称会话，一般而言，靠五元组(即源地址/目标地址/源端口/目标端口/协议类型)区分一个会话。

网关设备是部署在某个企业或其他组织网络出口的网络设备，一般具备路由转发、防火墙、ACL(Access Control List，访问控制列表)控制、流量整形功能。传统网关是非状态的防火墙或路由器，它们不需要记录会话信息；但随着企业或其他组织对网络行为控制需求的增多，新型的主流网关设备基本上已经演变成了具备记录会话状态功能的网络设备，除了具备传统网关设备的功能外，还需要记录和跟踪经过设备的网络数据会话。

主机感染病毒之后，不但会以主机正常的IP地址发起攻击，而且还会伪造源IP地址和端口发起攻击数据包，其行为一般呈散射状，即是只存在少量的目的地址和端口，而存在大量的随机源地址和端口。防止类似攻击的方案有很多，但传统的思路都是在保护服务器，而忽略了作为网络接口设备的网关本身。当前述攻击数据包通过网关设备时，就会产生大量的新建会话请求，由于目前新型的主流网关设备会话跟踪机制的限制，短时间内出现大量的新建请求时，很容易导致网关设备的会话资源耗尽，使得正常的新建会话请求无法处理，从而导致正常的主机通信无法完成。

一般而言，主机规模在10000台左右的企业或组织，其出口网关上需要百万级的会话支持，才能保证正常情况下的数据交互处理。然而，当存在异常主机(如感染病毒或执行恶意代码)，数台异常主机即可导致网关系统的会话资源耗尽，从而影响正常主机起的会话建立请求，进而影响企业网络的正常运行。

发明内容

本发明的主要目的是提供一种防止网关系统会话资源被恶意耗尽的方法，旨在当存在恶意攻击的情形下，保证网关系统正常的连接请求不受影响。

本发明提出一种防止网关系统会话资源被恶意耗尽的方法，具体包括步骤：

接收主机发送的会话请求；

跟踪并检测所述会话请求是否有后续的数据交互，若有则判定所述会话请求为正常会话请求并将所述正常会话请求的源IP地址添加至已知IP地址列表，否则判定所述会话请求为异常会话请求并统计所述异常会话请求的数量；

当所述异常会话请求的数量超过安全阈值时，使网关系统进入异常工作模式并放弃所述异常会话请求，或是限制每秒所述异常会话请求的通过数。

优选地，当网关系统处于所述异常工作模式时，判断发送会话请求的IP地址是否处于已知IP地址列表中，若是，则完成会话，否则，丢弃所述会话请求。

优选地，当系统进入异常工作模式后，判断异常会话请求减少到安全阈值以内并持续一段时间后，将网关系统切换回正常状态。

优选地，当已知IP地址列表中某一IP地址超时未刷新时，将所述超时未刷新的IP地址从已知IP地址列表中删除。

优选地，所述网关系统接受用户的输入设置所述安全阈值。

本发明还提出一种防止网关系统会话资源被恶意耗尽的装置，具体包括：

接收模块，用于接收主机发送的会话请求；

第一判断模块，用于跟踪并检测所述会话请求是否有后续的数据交互，若有则判定所述会话请求为正常会话请求并将所述正常会话请求的源IP地址添加至已知IP地址列表，否则判定所述会话请求为异常会话请求并统计所述异常会话请求的数量；

第一切换模块，用于当所述异常会话请求的数量超过安全阈值时，使网关系统进入异常工作模式并放弃所述异常会话请求，或是限制每秒所述异常会话请求的通过数。

优选地，所述装置还包括第二判断模块，所述第二判断模块用于当网关系统处于所述异常工作模式时，判断发送会话请求的IP地址是否处于已知IP地址列表中，若是，则完成所述会话请求，否则，丢弃所述会话请求。

优选地，所述装置还包括第二切换模块，所述第二切换模块还用于当系统进入异常工作模式后，判断所述异常会话请求减少到安全阈值以内并持续一段时间后，将网关系统切换回正常状态。

优选地，所述装置还包括IP地址刷新模块，用于当已知IP地址列表中某一IP地址超时未刷新时，将所述IP地址从已知IP地址列表中删除。

优选地，所述装置还包括阈值设置模块，所述阈值设置模块用于接受用户的输入设置安全阈值。

本发明提出的防止网关系统会话资源被恶意耗尽的方法，记录存在正常数据交互的IP地址，当网关系统统计到某一主机感染病毒发起大量异常会话请求时，限制异常会话请求，以使正常会话请求不被影响，从而保证了网关系统的正常通信。

附图说明

图1为本发明实施例提供的防止网关系统会话资源被恶意耗尽的方法的步骤流程图；

图2为本发明防止网关系统会话资源被恶意耗尽的装置一实施例中的结构示意图；

图3为本发明防止网关系统会话资源被恶意耗尽的装置另一实施例中的结构示意图；

图4为本发明防止网关系统会话资源被恶意耗尽的装置另一实施例中的结构示意图；

图5为本发明防止网关系统会话资源被恶意耗尽的装置另一实施例中的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明提出防止网关系统会话资源被恶意耗尽的方法及装置，为了能更好的说明本发明的实施例，这里先对一些本发明采用的定义进行描述：

正常会话请求：某一主机发送的会话请求具有实质的数据交互，该类会话请求为正常会话请求。

异常会话请求：主机感染病毒以后，不但会以自己正常的IP地址通过网关系统向服务器发出请求，而且会伪造源地址和端口发起攻击数据流，其行为一般呈散射状，即只有少量的目的地址和端口，大量的随机源地址和端口，该类会话请求为异常会话请求。

参照图1，图1为本实施例提供的防止网关系统会话资源被恶意耗尽的方法的步骤流程图，本方法具体包括步骤：

S110：接收主机发送的会话请求；

在正常工作模式下，网关系统接收主机发送的会话请求。

S120：跟踪并检测该会话请求是否有后续的数据交互，若是，则判定该会话请求为正常会话请求，并执行步骤S121，若否，则判定该会话请求为异常会话请求，并执行步骤S122；

S121：将正常会话请求的源IP地址添加至已知IP地址列表；

S122：统计异常会话请求的数量；

在网关系统中建立已知IP地址列表，该已知IP地址列表可以采用布隆过滤器的数据结构，也可以采用哈希表结构及其他数据结构。网关系统接收会话请求后，根据该会话请求的源地址、目标地址、源端口、目标端口以及协议类型建立会话。网关系统记录每一个会话过程，并跟踪该会话请求是否有后续的数据交互，当存在后续的数据交互时，则判定该会话请求为正常会话请求完成正常的数据交互，同时将该会话的源IP地址添加至已知IP地址列表中，其中，该源IP地址可以为内网的IP地址，也可以是外网的IP地址，对连接发起源所处的具体部署位置不做限制，记录来自内网或者外网的IP地址，可以同时防护来自内网或者外网的攻击。当网关系统未跟踪到后续的数据交互时，则判定该会话请求为异常会话请求并统计每秒异常会话请求的数量。

S130：当异常会话请求的数量超过安全阈值时，使网关系统进入异常工作模式并放弃该异常会话请求，或是限制每秒异常会话请求的通过数；

当统计到的每秒异常会话请求的数量超过预置的安全阈值时，网关系统进入异常工作模式并放弃异常会话请求。在其他的实施例中，网关系统可接受用户的输入配置安全阈值的大小，该安全阈值的大小可以由用户根据实际的网络环境确定。在异常工作模式下，网关系统还可以采用限制每秒异常会话请求的通过数来防止网关系统会话资源被恶意耗尽，该通过数可以由用户根据网络状况以及硬件配置进行设置。例如，对于一个主机数量在1000个的企业网络中，正常情况下，每秒的新建会话请求数量为10000个，当该企业网络中有主机发送大量异常会话请求时，网关系统进入到异常会话模式，用户设置此时允许通过的异常会话请求数量为30000个，此时网关系统限制每秒异常会话请求的通过数为30000个，超过该通过数的异常会话请求将会被限制。

当网关系统处于所述异常工作模式时，判断发送会话请求的IP地址是否处于已知IP地址列表中，若是，则完成会话，否则，丢弃所述会话请求。在异常工作模式下，当主机发送会话请求时，网关系统查找已知IP地址列表中是否存在该IP地址，当查找到该IP地址时，则为该会话请求建立会话通道，当无法查找到该IP地址时，则丢弃该会话请求。

当系统进入异常工作模式后，判断异常会话请求减少到安全阈值以内并持续一段时间后，将网关系统切换回正常工作模式，不再对未知主机的新建请求做限制。

本发明提供的防止网关系统会话资源被恶意耗尽的方法，为网关系统设置异常工作模式，在异常工作模式下，对来自未知IP地址的会话请求进行限制，保证已知IP地址列表中正常的会话请求不受影响，从而防止了网关系统中有限的会话资源被恶意耗尽，保证了网关系统的正常通信。

在前述实施例的基础上，本实施例中，网关系统在记录正常会话记录源IP地址的同时，还记录该正常会话记录会话的时间点。当某个源IP地址超时未刷新时，网关系统将IP地址从已知IP地址列表中删除。网关系统对于IP地址的记录具备一定的时效性，防止了已知IP地址列表中IP地址的冗余，加快了网关系统的处理速度。

参照图2，图2为本发明实施例提供的防止网关系统会话资源被恶意耗尽的装置，该装置可以作为被保护网关系统内部的一个装置，也可以作为独立设备而串接至网关链路上，该装置具体包括：

接收模块210，用于接收主机发送的会话请求；

判断模块211，用于跟踪并检测所述会话请求是否有后续的数据交互，若有则判断所述会话请求为正常会话请求并将所述正常会话请求的源IP地址添加至已知IP地址列表，否则判断所述会话请求为异常会话请求并统计所述异常会话请求的数量；

第一切换模块212，用于当所述异常会话请求的数量超过安全阈值时，使系统进入异常工作模式并放弃所述异常会话请求，或是限制每秒异常会话请求的通过数。

在正常工作模式下，接受模块210接收主机发送的会话请求。

在网关系统中建立已知IP地址列表，该已知IP地址列表可以采用布隆过滤器的数据结构，也可以采用哈希表结构及其他数据结构。接收模块210接收会话请求后，根据该会话请求的源地址、目标地址、源端口、目标端口以及协议类型建立会话。网关系统记录每一个会话过程，并跟踪该会话请求是否有后续的数据交互，当存在后续的数据交互时，判断模块210判断该会话请求为正常会话请求完成正常的数据交互，同时将该会话的源IP地址添加至已知IP地址列表中，其中，该源IP地址可以为内网的IP地址，也可以是外网的IP地址，对连接发起源所处的具体部署位置不做限制，记录来自内网或者外网的IP地址，可以同时防护来自内网或者外网的攻击。当网关系统未跟踪到后续的数据交互时，判断模块210判断该会话请求为异常会话请求并统计每秒异常会话请求的数量。

当统计到的每秒异常会话请求的数量超过预置的安全阈值时，第一切换模块212使网关系统进入异常工作模式并放弃异常会话请求。在其他的实施例中，网关系统还包括阈值设置模块，用于接受用户的输入配置安全阈值的大小，该安全阈值的大小可以由用户根据实际的网络环境确定。在异常工作模式下，第一切换模块212还可以采用限制每秒异常会话请求的通过数来防止网关系统会话资源被恶意耗尽，该通过数可以由用户根据网络状况以及硬件配置进行设置。例如，对于一个主机数量在1000个的企业网络中，正常情况下，每秒的新建会话请求数量为10000个，当该企业网络中有主机发送大量异常会话请求时，网关系统进入到异常会话模式，用户设置此时允许通过的异常会话请求数量为30000个，此时第一切换模块212限制每秒异常会话请求的通过数为30000个，超过该通过数的异常会话请求将会被限制。

参照图3，图3为本发明实施例提供的防止网关系统会话资源被恶意耗尽的装置，该装置还包括第二判断模块213，用于当网关系统处于所述异常工作模式时，判断发送会话请求的IP地址是否处于已知IP地址列表中，若是，则完成会话，否则，丢弃所述会话请求。在异常工作模式下，当主机发送会话请求时，第二判断模块213查找已知IP地址列表中是否存在该IP地址，当查找到该IP地址时，则第二判断模块213为该会话请求建立会话通道，当无法查找到该IP地址时，则第二判断模块213丢弃该会话请求。

参照图4，图4为本发明实施例提供的防止网关系统会话资源被恶意耗尽的装置的结构示意图，还包括第二切换模块214，用于当网关系统进入异常工作模式后，判断所述异常会话请求减少到安全阈值以内并持续一段时间后，将网关系统切换回正常状态。当系统进入异常工作模式后，第二切换模块214判断异常会话请求减少到安全阈值以内并持续一段时间后，将网关系统切换回正常工作模式，不再对未知主机的新建请求做限制。

本发明提供的防止网关系统会话资源被恶意耗尽的装置，为网关系统设置异常工作模式，在异常工作模式下，对来自未知IP地址的会话请求进行限制，保证已知IP地址列表中正常的会话请求不受影响，从而防止了网关系统中有限的会话资源被恶意耗尽，保证了网关系统的正常通信。

参照图5，图5为本发明实施例提供的防止网关系统的会话资源被恶意耗尽的装置的结构示意图，在前述实施例的基础上，本实施例中，该装置还包括IP地址刷新模块215，用于当已知IP地址列表中某一IP地址超时未刷新时，将所述IP地址从已知IP地址列表中删除。网关系统在记录正常会话记录源IP地址的同时，还记录该正常会话记录会话的时间点。当某个源IP地址超时未刷新时，IP地址刷新模块215将IP地址从已知IP地址列表中删除。网关系统对于IP地址的记录具备一定的时效性，防止了已知IP地址列表中IP地址的冗余，加快了网关系统的处理速度。

以上仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种防止网关系统会话资源被恶意耗尽的方法，其特征在于，具体包括步骤：

接收主机发送的会话请求；

跟踪并检测所述会话请求是否有后续的数据交互，若有则判定所述会话请求为正常会话请求并将所述正常会话请求的源IP地址添加至已知IP地址列表，否则判定所述会话请求为异常会话请求并统计所述异常会话请求数量；

当所述异常会话请求的数量超过安全阈值时，使网关系统进入异常工作模式并放弃所述异常会话请求，或是限制每秒所述异常会话请求的通过数；

当网关系统处于所述异常工作模式时，判断发送会话请求的IP地址是否处于已知IP地址列表中，若是，则完成会话，否则，丢弃所述会话请求；

所述源IP地址为内网的IP地址或外网的IP地址。

2.如权利要求1所述的防止网关系统会话资源被恶意耗尽的方法，其特征在于，当系统进入异常工作模式后，判断异常会话请求减少到安全阈值以内并持续一段时间后，将网关系统切换回正常状态。

3.如权利要求1所述的防止网关系统会话资源被恶意耗尽的方法，其特征在于，当已知IP地址列表中某一IP地址超时未刷新时，将所述超时未刷新的IP地址从已知IP地址列表中删除。

4.如权利要求1所述的防止网关系统会话资源被恶意耗尽的方法，其特征在于，所述网关系统接受用户的输入设置所述安全阈值。

5.一种防止网关系统会话资源被恶意耗尽的装置，其特征在于，具体包括：

接收模块，用于接收主机发送的会话请求；

第一判断模块，用于跟踪并检测所述会话请求是否有后续的数据交互，若有则判定所述会话请求为正常会话请求并将所述正常会话请求的源IP地址添加至已知IP地址列表，否则判定所述会话请求为异常会话请求并统计所述异常会话请求的数量；

第一切换模块，用于当所述异常会话请求的数量超过安全阈值时，使网关系统进入异常工作模式并放弃所述异常会话请求,或是限制每秒所述异常会话请求的通过数；

所述装置还包括第二判断模块，所述第二判断模块用于当网关系统处于所述异常工作模式时，判断发送会话请求的IP地址是否处于已知IP地址列表中，若是，则完成所述会话请求，否则，丢弃所述会话请求；

所述源IP地址为内网的IP地址或外网的IP地址。

6.如权利要求5所述的防止网关系统会话资源被恶意耗尽的装置，其特征在于，所述装置还包括第二切换模块，所述第二切换模块还用于当系统进入异常工作模式后，判断所述异常会话请求减少到安全阈值以内并持续一段时间后，将网关系统切换回正常状态。

7.如权利要求5所述的防止网关系统会话资源被恶意耗尽的装置，其特征在于，所述装置还包括IP地址刷新模块，用于当已知IP地址列表中某一IP地址超时未刷新时，将所述IP地址从已知IP地址列表中删除。

8.如权利要求5所述的防止网关系统会话资源被恶意耗尽的装置，其特征在于，所述装置还包括阈值设置模块，所述阈值设置模块用于接受用户的输入设置安全阈值。