CN103856367A - Ip网络路由安全快速检测方法及路由分析服务器 - Google Patents

Abstract

本发明涉及一种IP网络路由安全快速检测方法及路由分析服务器，方法包括：路由分析服务器实时统计全网BGP路由表中起源于各个源AS的路由数目，并根据统计出的路由数目和预先计算的各个源AS的路由数目的历史统计平均值分别计算起源于各个源AS的路由数目的类方差；分别将各个源AS的路由数目的类方差与预设阈值进行比较，根据比较结果判断各个源AS发出的路由是否存在异常波动，以及确定路由存在异常波动的源AS。本发明通过计算起源于各个源AS的路由数目的类方差来分析路由异常波动，不仅可以快速且准确的定位路由波动的源头，而且由于统计特征比较明显，分析结果准确率高，弥补了现有检测方式在准确定位以及统计特征等方面的分析能力的不足。

Description

IP网络路由安全快速检测方法及路由分析服务器

技术领域

本发明涉及网络安全领域，尤其涉及一种IP网络路由安全快速检测方法及路由分析服务器。 

背景技术

在IP网络中，由于线路不稳定、路由攻击、路由接口的硬件问题，以及人为操作等各种因素都可能造成网络中路由的异常波动，这种波动会造成网络的不稳定，导致网络内的大量路由器需要对路由进行重新计算，造成大量的带宽及CPU资源浪费。 

为了避免和降低路由异常波动所带来的影响，需要对网络中路由异常波动进行检测。现有的路由异常波动检测方法是通过记录互联网路由条目的曲线变化来判断，参见图1所示，具体包括以下步骤： 

步骤101、学习接收互联网路由； 

步骤102、分别计算路由条目的历史平均值N，以及在t时刻下各个路由条目数nt； 

步骤103、对各个路由条目数nt与历史平均值N进行求差； 

步骤104、通过将上一步骤求差的结果与阈值进行比较，如果超过阈值，则执行步骤105，否则返回上一步； 

步骤105、根据BGP消息查找路由异常波动的源头。 

在上述的路由异常波动检测方法中，互联网路由条目作为统计特征来说并不明显，不能很精确的反映出路由波动情况，而且难以对路由异常波动的源头做出准确的定位。 

发明内容

本发明的目的是提出一种IP网络路由安全快速检测方法及路由 分析服务器，能够快速且准确有效的的定位路由异常波动的源头。 

为实现上述目的，本发明提供了一种IP网络路由安全快速检测方法，包括： 

路由分析服务器实时统计全网边界网关协议（Border GatewayProtocol，简称BGP）路由表中起源于各个源自治系统（AutonomousSystem，简称AS）的路由数目，并根据统计出的所述路由数目和预先计算的各个源自治系统的路由数目的历史统计平均值分别计算起源于所述各个源自治系统的路由数目的类方差； 

所述路由分析服务器分别将所述各个源自治系统的路由数目的类方差与预设阈值进行比较，根据比较结果判断所述各个源自治系统发出的路由是否存在异常波动，以及确定所述全网边界网关协议路由表中路由存在异常波动的源自治系统。 

进一步的，在计算类方差之前，还包括： 

所述路由分析服务器根据全网边界网关协议路由表中的自治系统的路径属性，提取源自治系统标识，并按照所述源自治系统标识进行分类，将分类后的结果存入与各个源自治系统标识对应的不同的路由表； 

所述路由分析服务器对所述与各个源自治系统标识对应的路由表进行统计分析，计算各个源自治系统的路由数目的历史统计平均值。 

进一步的，还包括： 

路由分析服务器与本地自治系统的路由反射器（Route Reflector，简称RR）建立内部边界网关协议（internal Border Gateway Protocol，简称iBGP）邻居，并主动从所述路由反射器中学习接收全网边界网关协议路由表，并存入本地数据库。 

进一步的，所述计算起源于所述各个源自治系统的路由数目的类方差所采用的计算公式如下： 

$D=\underset{t\∈[\mathrm{Ts},\mathrm{Te}]}{\mathrm{\Σ}}{(n_t-N)}^2$

其中，D为源自治系统的路由数目的类方差；N为正常状态下，源自治系统的路由数目的历史统计平均值；n_t为t时刻，源自治系统 的路由数目；Ts为统计的开始时间，Te为统计的结束时间。 

进一步的，所述判断所述各个源自治系统发出的路由是否存在异常波动的操作为： 

如果源自治系统的路由数目的类方差大于预设阈值，则确定该源自治系统发出的路由存在异常波动；否则继续检测。 

为实现上述目的，本发明提供了一种实现IP网络路由安全快速检测的路由分析服务器，包括： 

路由数目统计单元，用于实时统计全网边界网关协议路由表中起源于各个源自治系统的路由数目； 

类方差计算单元，用于根据统计出的所述路由数目和预先计算的各个源自治系统的路由数目的历史统计平均值分别计算起源于所述各个源自治系统的路由数目的类方差； 

类方差比较单元，用于分别将所述各个源自治系统的路由数目的类方差与预设阈值进行比较； 

异常波动判断单元，用于根据比较结果判断所述各个源自治系统发出的路由是否存在异常波动，以及确定所述全网边界网关协议路由表中路由存在异常波动的源自治系统。 

进一步的，还包括： 

标识提取单元，用于根据全网边界网关协议路由表中的自治系统的路径属性，提取源自治系统标识； 

分类保存单元，用于按照所述源自治系统标识进行分类，将分类后的结果存入与各个源自治系统标识对应的不同的路由表； 

均值计算单元，用于对所述与各个源自治系统标识对应的路由表进行统计分析，计算各个源自治系统的路由数目的历史统计平均值。 

进一步的，还包括： 

邻居建立单元，用于与本地自治系统的路由反射器建立内部边界网关协议邻居； 

路由表学习接收单元，用于主动从所述路由反射器中学习接收全网边界网关协议路由表，并存入本地数据库。 

进一步的，所述类方差计算单元所采用的计算公式如下： 

$D=\underset{t\∈[\mathrm{Ts},\mathrm{Te}]}{\mathrm{\Σ}}{(n_t-N)}^2$

其中，D为源自治系统的路由数目的类方差；N为正常状态下，源自治系统的路由数目的历史统计平均值；n_t为t时刻，源自治系统的路由数目；Ts为统计的开始时间，Te为统计的结束时间。 

进一步的，所述异常波动判断单元具体用于在源自治系统的路由数目的类方差大于预设阈值时，确定该源自治系统发出的路由存在异常波动；否则继续检测。 

基于上述技术方案，本发明通过计算起源于各个源AS的路由数目的类方差来分析路由异常波动，不仅可以快速且准确的定位路由波动的源头，而且由于统计特征比较明显，分析结果准确率高，弥补了现有检测方式在准确定位以及统计特征等方面的分析能力的不足。 

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中： 

图1为现有的路由异常波动检测方法的流程示意图。 

图2为本发明IP网络路由安全快速检测方法的一实施例的流程示意图。 

图3为现有方案与本发明IP网络路由安全快速检测方法实施例的效果对比示意图。 

图4为本发明IP网络路由安全快速检测方法的另一实施例的流程示意图。 

图5为本发明实现IP网络路由安全快速检测的路由分析服务器的一实施例的结构示意图。 

图6为本发明实现IP网络路由安全快速检测的路由分析服务器的另一实施例的结构示意图。 

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。 

如图2所示，为本发明IP网络路由安全快速检测方法的一实施例的流程示意图。在本实施例中，IP网络路由安全快速检测流程包括： 

步骤201、路由分析服务器实时统计全网BGP路由表中起源于各个源AS的路由数目； 

步骤202、路由分析服务器根据统计出的所述路由数目和预先计算的各个源AS的路由数目的历史统计平均值分别计算起源于所述各个源AS的路由数目的类方差； 

步骤203、路由分析服务器分别将所述各个源AS的路由数目的类方差与预设阈值进行比较，根据比较结果判断所述各个源AS发出的路由是否存在异常波动，以及确定所述全网BGP路由表中路由存在异常波动的源AS。 

在本实施例中，路由分析服务器要对全网BGP路由表中的各个源AS对应的路由数目进行统计，以此来计算各个源AS的路由数目的类方差，这个类方差的变化可以比较显著地体现出该源AS的路由数目的变化程度，当类方差超过预设的阈值时，说明该源AS的路由数目变化的过于显著，此时就可以判断出路由发生异常波动，而且迅速的确定发生异常波动的源AS是哪个，从而实现了路由异常波动源头的定位。如果类方差小于或等于预设阈值，则继续进行检测。 

源于某个源AS的路由数目的类方差的计算公式如下例： 

$D=\underset{t\∈[\mathrm{Ts},\mathrm{Te}]}{\mathrm{\Σ}}{(n_t-N)}^2$

其中，D为该源AS的路由数目的类方差；N为正常状态下，源AS的路由数目的历史统计平均值；n_t为t时刻，源AS的路由数目；Ts为统计的开始时间，Te为统计的结束时间。 

这里的N可以由路由分析服务器根据历史数据统计获得，而nt则通过步骤201实时统计出来。参照图3给出的现有方案与本发明IP网络路由安全快速检测方法实施例的效果对比示意图可以看出，现有 方案采用差值的统计曲线比较平缓，而本发明实施例采用类方差的统计曲线在时间轴上的变化则更为明显，其作为统计特征能够更加准确的体现出路由的异常波动。 

如图4所示，为本发明IP网络路由安全快速检测方法的另一实施例的流程示意图。与上一实施例相比，本实施例在计算类方差之前，还包括： 

步骤301、路由分析服务器根据全网BGP路由表中的AS的路径属性，提取源AS标识； 

步骤302、路由分析服务器按照源AS标识进行分类，将分类后的结果存入与各个源AS标识对应的不同的路由表； 

步骤303、路由分析服务器对与各个源AS标识对应的路由表进行统计分析，计算各个源AS的路由数目的历史统计平均值。 

在上述技术方案中，路由分析服务器可以先与本地AS的RR建立iBGP邻居，并主动从RR中学习接收全网BGP路由表，然后存入本地数据库。这些存在本地数据库中的路由信息可以按照AS的路径属性（AS-PATH）进行分类，将源于同一个AS的路由保存到该AS对应的源AS标识的路由表中，分类完毕后可以得到全网BGP路由表中各个源AS所对应的路由表，对于每个源AS来说，可以基于这个路由表来进行统计分析，确定该源AS的路由数目的历史统计平均值。 

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。 

如图5所示，为本发明实现IP网络路由安全快速检测的路由分析服务器的一实施例的结构示意图。在本实施例中，实现IP网络路由安全快速检测的路由分析服务器包括：路由数目统计单元1、类方差计算单元2、类方差比较单元3和异常波动判断单元4。 

路由数目统计单元1负责实时统计全网BGP路由表中起源于各 个源AS的路由数目。类方差计算单元2负责根据统计出的所述路由数目和预先计算的各个源AS的路由数目的历史统计平均值分别计算起源于所述各个源AS的路由数目的类方差。 

类方差计算单元2可采用如下计算公式进行计算： 

$D=\underset{t\∈[\mathrm{Ts},\mathrm{Te}]}{\mathrm{\Σ}}{(n_t-N)}^2$

其中，D为源自治系统的路由数目的类方差；N为正常状态下，源自治系统的路由数目的历史统计平均值；n_t为t时刻，源自治系统的路由数目；Ts为统计的开始时间，Te为统计的结束时间。 

类方差比较单元3负责分别将所述各个源AS的路由数目的类方差与预设阈值进行比较。异常波动判断单元4负责根据比较结果判断所述各个源AS发出的路由是否存在异常波动，以及确定所述全网ＢＧＰ路由表中路由存在异常波动的源AS。异常波动判断单元4可以在源AS的路由数目的类方差大于预设阈值时，确定该源AS发出的路由存在异常波动；否则继续检测。 

如图6所示，为本发明实现IP网络路由安全快速检测的路由分析服务器的另一实施例的结构示意图。与上一实施例相比，本实施例的路由分析服务器还包括：标识提取单元5、分类保存单元6和均值计算单元7。其中，标识提取单元5负责根据全网BGP路由表中的AS的路径属性，提取源AS标识。分类保存单元6负责按照源AS标识进行分类，将分类后的结果存入与各个源AS标识对应的不同的路由表。均值计算单元7负责对与各个源AS标识对应的路由表进行统计分析，计算各个源AS的路由数目的历史统计平均值。 

在另一个实施例中，还可以在路由分析服务器中包括邻居建立单元和路由表学习接收单元，其中邻居建立单元负责与本地AS的RR建立iBGP邻居。路由表学习接收单元负责主动从RR中学习接收全网BGP路由表，并存入本地数据库。 

通过上面描述的IP网络路由安全快速检测方法及路由分析服务器，可以看出本发明相比于现有的路由异常波动检测方案具有以下优点： 

1、将全网路由按照源AS标识进行分类，并分别进行统计分析，从而在进行检测时可以准确的定位产生异常路由的源AS； 

2、利用路由数目的类方差作为统计特征，这种统计特征十分显著，可以快速且准确的判断出路由的异常波动。 

最后应当说明的是:以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。 

Claims (10)

1.一种IP网络路由安全快速检测方法，包括：

路由分析服务器实时统计全网边界网关协议路由表中起源于各个源自治系统的路由数目，并根据统计出的所述路由数目和预先计算的各个源自治系统的路由数目的历史统计平均值分别计算起源于所述各个源自治系统的路由数目的类方差；

所述路由分析服务器分别将所述各个源自治系统的路由数目的类方差与预设阈值进行比较，根据比较结果判断所述各个源自治系统发出的路由是否存在异常波动，以及确定所述全网边界网关协议路由表中路由存在异常波动的源自治系统。

2.根据权利要求1所述的IP网络路由安全快速检测方法，其中在计算类方差之前，还包括：

所述路由分析服务器根据全网边界网关协议路由表中的自治系统的路径属性，提取源自治系统标识，并按照所述源自治系统标识进行分类，将分类后的结果存入与各个源自治系统标识对应的不同的路由表；

所述路由分析服务器对所述与各个源自治系统标识对应的路由表进行统计分析，计算各个源自治系统的路由数目的历史统计平均值。

3.根据权利要求2所述的IP网络路由安全快速检测方法，其中还包括：

路由分析服务器与本地自治系统的路由反射器建立内部边界网关协议邻居，并主动从所述路由反射器中学习接收全网边界网关协议路由表，并存入本地数据库。

4.根据权利要求1所述的IP网络路由安全快速检测方法，其中所述计算起源于所述各个源自治系统的路由数目的类方差所采用的计算公式如下：

$D=\underset{t\∈[\mathrm{Ts},\mathrm{Te}]}{\mathrm{\Σ}}{(n_t-N)}^2$

其中，D为源自治系统的路由数目的类方差；N为正常状态下，源自治系统的路由数目的历史统计平均值；n_t为t时刻，源自治系统的路由数目；Ts为统计的开始时间，Te为统计的结束时间。

5.根据权利要求1所述的IP网络路由安全快速检测方法，其中所述判断所述各个源自治系统发出的路由是否存在异常波动的操作为：

如果源自治系统的路由数目的类方差大于预设阈值，则确定该源自治系统发出的路由存在异常波动；否则继续检测。

6.一种实现IP网络路由安全快速检测的路由分析服务器，包括：

路由数目统计单元，用于实时统计全网边界网关协议路由表中起源于各个源自治系统的路由数目；

类方差计算单元，用于根据统计出的所述路由数目和预先计算的各个源自治系统的路由数目的历史统计平均值分别计算起源于所述各个源自治系统的路由数目的类方差；

类方差比较单元，用于分别将所述各个源自治系统的路由数目的类方差与预设阈值进行比较；

异常波动判断单元，用于根据比较结果判断所述各个源自治系统发出的路由是否存在异常波动，以及确定所述全网边界网关协议路由表中路由存在异常波动的源自治系统。

7.根据权利要求6所述的路由分析服务器，其中还包括：

标识提取单元，用于根据全网边界网关协议路由表中的自治系统的路径属性，提取源自治系统标识；

分类保存单元，用于按照所述源自治系统标识进行分类，将分类后的结果存入与各个源自治系统标识对应的不同的路由表；

均值计算单元，用于对所述与各个源自治系统标识对应的路由表进行统计分析，计算各个源自治系统的路由数目的历史统计平均值。

8.根据权利要求7所述的路由分析服务器，其中还包括：

邻居建立单元，用于与本地自治系统的路由反射器建立内部边界网关协议邻居；

路由表学习接收单元，用于主动从所述路由反射器中学习接收全网边界网关协议路由表，并存入本地数据库。

9.根据权利要求6所述的路由分析服务器，其中所述类方差计算单元所采用的计算公式如下：

$D=\underset{t\∈[\mathrm{Ts},\mathrm{Te}]}{\mathrm{\Σ}}{(n_t-N)}^2$

其中，D为源自治系统的路由数目的类方差；N为正常状态下，源自治系统的路由数目的历史统计平均值；n_t为t时刻，源自治系统的路由数目；Ts为统计的开始时间，Te为统计的结束时间。

10.根据权利要求6所述的路由分析服务器，其中所述异常波动判断单元具体用于在源自治系统的路由数目的类方差大于预设阈值时，确定该源自治系统发出的路由存在异常波动；否则继续检测。

Images