CN104079526A - 支持实时策略加载的流量过滤防攻击方法与系统 - Google Patents

Abstract

本发明提出一种支持实时策略加载的流量过滤防攻击方法，用于流量过滤的多个过滤策略以RCU链表形式存储，包括：当检测到需要对多个过滤策略中的一个进行修改时，访问RCU链表；通过RCU链表获取待修改过滤策略的副本，并对待修改过滤策略的副本进行修改；在完成对待修改策略的副本的修改且所有读操作完成后，将修改后待修改策略的副本替换RCU链表中待修改策略以对待修改策略进行修改。本发明采用RCU链表的方式存储过滤策略，解决了策略执行与修改的同步问题，提高了系统的执行效率，使得过滤策略无缝更新，保证策略修改的实时性同时增强了对网络流量保护的力度和准确度。本发明还公开了一种支持实时策略加载的流量过滤防攻击系统。

Description

支持实时策略加载的流量过滤防攻击方法与系统

技术领域

本发明涉及计算机科学技术领域，特别涉及一种支持实时策略加载的流量过滤防攻击方法与系统。

背景技术

流量过滤防攻击主要检测网络流量中隐藏的非法攻击流量，并在不影响正常业务的前提下清洗掉异常流量。由于网络攻击种类和方式日益多样化，因此流量过滤设备需要在多种防御策略之间进行切换。

现有技术对多种防御策略之间进行切换处理多采用rwlock（read writelock，读写锁）等方式，以保护临界区资源。流量过滤系统存在同时执行多个策略以及对策略实时进行修正（例如增加策略或删除策略）等操作的可能性，因此需要使用读写锁机制对策略实体进行保护。rwlock支持多读者对临界资源进行读取，但只支持一个写者对临界资源进行修改。同时读写操作也是互斥的。即当有读者读取临界资源时，写者的请求将被阻塞，直至所有读者释放资源；当有写者修改临界资源时，读者的请求也将被阻塞。

策略的执行可以理解为读操作，策略的修改可以理解为写操作，按上述规则，当策略正在执行时，策略修改的指令将被阻塞，直至所有策略执行完毕。当策略修改的指令正在执行时，策略执行的操作也将被阻塞。

综上所述，现有多种防御策略之间进行切换的技术的缺点如下:

(一)、策略执行前需要确保没有策略修改操作，从而导致引入的互斥机制降低了系统效率。

(二)、策略修改与策略执行使用临界资源的同一份拷贝，因此策略修改操作时无法进行策略执行，从而造成对业务的有损操作。

尤其在SMP（Symmetric Multiprocessing，多路处理器）等架构类型的系统上，rwlock巨大的同步开销影响了系统性能和实时性。

发明内容

本发明旨在至少解决现有技术中存在的技术问题之一。为此，本发明的一个目的在于提出一种支持实时策略加载的流量过滤防攻击方法,采用RCU链表的方式存储过滤策略，解决了策略执行与修改的同步问题，大大提高了执行效率，使得过滤策略无缝更新，保证策略修改的实时性同时增强了系统对网络流量保护的力度和准确度。

本发明的第二个目的在于提出一种支持实时策略加载的流量过滤防攻击系统。

为达到上述目的，本发明第一方面的实施例提出了一种支持实时策略加载的流量过滤防攻击方法，用于流量过滤的多个过滤策略以RCU链表形式存储，所述方法包括如下步骤：当检测到需要对所述多个过滤策略中的一个进行修改时，访问所述RCU链表；通过所述RCU链表获取待修改过滤策略的副本，并对所述待修改过滤策略的副本进行修改；在完成对所述待修改策略的副本的修改且所有读操作完成后，将修改后所述待修改策略的副本替换所述RCU链表中所述待修改策略以对所述待修改策略进行修改。

根据本发明实施例的支持实时策略加载的流量过滤防攻击方法采用RCU链表的方式存储过滤策略，读操作无需获取锁，执行多过滤策略时不会存在同步问题，提升了执行效率；写操作在备份节点上进行操作，修改完毕在所有读操作完成后使用备份副本替换RCU链表中待修改策略节点，不会对读操作进行阻塞处理，因此读写操作不会被频繁中断或阻塞，从而实现过滤策略的无缝更新，增强了系统对网络流量保护的力度和准确度。本方法解决了策略执行与修改的同步问题，保证策略修改的实时性同时大大提高了系统的执行效率。

在本发明的一个实施例中，所述RCU链表包括多个节点，每个节点对应一个所述过滤策略。每个节点对应一个所述过滤策略，因此当过滤策略被执行时，首先遍历RCU链表以进行查找，而RCU链表对读者无锁，因此执行多过滤策略时不会存在同步问题，提升了执行效率；当需要增加或删除过滤策略时，写操作首先获得拷贝副本，完成对副本的修改后，需要等待所有的读操作完成，才能将副本更新为新的策略链表。从而保证不会对正在执行的策略产生影响。而写操作执行时不会对读操作进行阻塞处理，因此在写操作执行的整个过程中读操作不会被打断。因此读写操作不会被频繁中断或阻塞，从而实现过滤策略的无缝更新。

在本发明的一个实施例中，所述将修改后所述待修改策略的副本替换所述RCU链表中所述待修改策略，包括如下步骤：利用回调机制将在所述RCU链表中指向所述待修改过滤策略重新指向所述待修改过滤策略的副本。

在本发明的一个实施例中，获取待修改过滤策略的副本及对所述待修改策略的副本进行修改的同时，执行所述多个过滤策略中的其他过滤策略对流量进行过滤处理，大大提高了效率。

在本发明的一个实施例中，还包括如下：当需要执行过滤策略时，遍历所述RCU链表以查找对应的过滤策略。

本发明第二方面的实施例提出了一种支持实时策略加载的流量过滤防攻击系统，包括存储装置、读操作装置和写操作装置。其中，存储装置用于存储RCU链表，其中，所述RCU链表用于存储流量过滤的多个过滤策略；读操作装置用于读取所述RCU链表中的一个或多个过滤策略，并执行所述过滤策略对流量进行过滤处理；写操作装置用于在检测到需要对所述多个过滤策略中的一个进行修改时，访问所述RCU链表，通过所述RCU链表获取待修改过滤策略的副本，并对所述待修改过滤策略的副本进行修改，并在检测到完成对所述待修改策略的副本的修改且所有读操作完成后，将修改后所述待修改策略的副本替换所述RCU链表中所述待修改策略以对所述待修改策略进行修改。

根据本发明实施例的支持实时策略加载的流量过滤防攻击系统中，存储装置采用RCU链表的方式存储过滤策略，读操作装置无需获取锁，执行多过滤策略时不会存在同步问题，提升了执行效率；写操作装置在备份节点上进行操作，修改完毕在所有读操作完成后使用备份副本替换RCU链表中待修改策略节点，不会对读操作进行阻塞处理，因此读写操作不会被频繁中断或阻塞，从而实现过滤策略的无缝更新，增强了系统对网络流量保护的力度和准确度。本系统解决了策略执行与修改的同步问题，保证策略修改的实时性同时大大提高了系统的执行效率。

在本发明的一个实施例中，所述RCU链表包括多个节点，每个节点对应一个所述过滤策略。每个节点对应一个所述过滤策略，因此当过滤策略被执行时，首先遍历RCU链表以进行查找，而RCU链表对读者无锁，因此执行多过滤策略时不会存在同步问题，提升了执行效率；当需要增加或删除过滤策略时，写操作首先获得拷贝副本，完成对副本的修改后，需要等待所有的读操作完成，才能将副本更新为新的策略链表。从而保证不会对正在执行的策略产生影响。而写操作执行时不会对读操作进行阻塞处理，因此在写操作执行的整个过程中读操作不会被打断。因此读写操作不会被频繁中断或阻塞，从而实现过滤策略的无缝更新。

在本发明的一个实施例中，所述写操作装置利用回调机制将在所述RCU链表中指向所述待修改过滤策略重新指向所述待修改过滤策略的副本。

在本发明的一个实施例中，所述写操作装置获取待修改过滤策略的副本及对所述待修改策略的副本进行修改的同时，所述读操作装置执行所述多个过滤策略中的其他过滤策略对流量进行过滤处理，大大提高了效率。

在本发明的一个实施例中，所述读操作装置在需要执行过滤策略时，遍历所述RCU链表以查找对应的过滤策略。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1是根据本发明实施例的支持实时策略加载的流量过滤防攻击方法的流程图；

图2是根据本发明实施例的RCU链表组织方式的代码示意图；

图3是根据本发明实施例的RCU写操作示意图；和

图4是根据本发明实施例的支持实时策略加载的流量过滤防攻击系统的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。

下面参考图1描述根据本发明实施例的支持实时策略加载的流量过滤防攻击方法。本方法采用RCU(Read-Copy Update，读-拷贝修改)链表的方式解决策略执行与修改同步的问题。RCU是改进的rwlock，与rwlock最大的区别为读者不需要获得任何锁就可以访问被RCU保护的共享数据结构，但写者在访问时需拷贝一个副本，对副本进行修改，然后采用回调（callback）机制在适当的时机把指向原来数据的指针指向新的被修改的数据。这个时机必须保证所有引用该数据的CPU都退出对共享数据的操作。RCU机制下，读者几乎无同步开销，不需要锁、原子指令和内存栅（Memory Barrier），因此避免了锁竞争、内存延迟以及流水线停滞等问题。

根据本发明实施例的支持实时策略加载的流量过滤防攻击方法包括以下步骤：

步骤S110：当检测到需要对多个过滤策略中的一个进行修改时，访问RCU链表。

其中，RCU链表包括多个节点，每个节点对应一个过滤策略。

例如，图2为RCU链表组织方式的一个实例，可以理解的是，图2仅出于示例目的，本发明的实施例不限于此。如图2所示，结构体rcu_head为链表的一个结点，即一个过滤策略。

步骤S120：通过RCU链表获取待修改过滤策略的副本，并对待修改过滤策略的副本进行修改。

此外，获取待修改过滤策略的副本及对待修改策略的副本进行修改的同时，执行多个过滤策略中的其他过滤策略对流量进行过滤处理。

在本发明的一个实施例中，当需要执行过滤策略时，遍历RCU链表以查找对应的过滤策略。

步骤S130：在完成对待修改策略的副本的修改且所有读操作完成后，将修改后待修改策略的副本替换RCU链表中待修改策略以对待修改策略进行修改。

其中，将修改后待修改策略的副本替换RCU链表中待修改策略，包括如下步骤：

步骤S131：利用回调机制将在RCU链表中指向待修改过滤策略重新指向待修改过滤策略的副本。

综上所述，过滤策略在服务中采用RCU链表的方式存储，有如下两个优点：

（一）、当过滤策略被执行时，首先遍历RCU链表以进行查找，而RCU链表对读者无锁，因此执行多过滤策略时不会存在同步问题，提升了执行效率。

（二）、当需要增加或删除过滤策略时，写操作首先获得拷贝副本，完成对副本的修改后，需要等待所有的读操作完成，才能将副本更新为新的策略链表。从而保证不会对正在执行的策略产生影响。而写操作执行时不会对读操作进行阻塞处理，因此在写操作执行的整个过程中读操作不会被打断。因此读写操作不会被频繁中断或阻塞，从而实现过滤策略的无缝更新。

根据本发明实施例的支持实时策略加载的流量过滤防攻击方法采用RCU链表的方式，每个过滤策略对应RCU链表的一个节点，读操作无需获取锁，写操作在备份节点上进行操作，修改完毕在所有读操作完成后使用备份副本替换RCU链表中待修改策略节点。本方法解决了策略执行与修改的同步问题，是一种高效的流量过滤防攻击系统策略组织方式，能够大大提高系统的执行效率，同时保证策略修改的实时性。并且本方法使得策略的修改操作不中断业务，实现过滤策略的无缝更新，增强了系统对网络流量保护的力度和准确度。

图3为本发明实施例的RCU写操作示意图。如图所示，RCU机制会等待之前已经存在的RCU读侧临界部分全部完成，包括该临界部分执行的内存操作，然后再进行回收操作。其中，宽限期（Grace period）是可以根据RCU读侧临界部分的需要进行扩展的。

下面参考图4描述根据本发明实施例的支持实时策略加载的流量过滤防攻击系统100，包括存储装置110、读操作装置120和写操作装置130。其中：

存储装置110用于存储RCU链表，其中，RCU链表用于存储流量过滤的多个过滤策略；

读操作装置120用于读取RCU链表中的一个或多个过滤策略，并执行过滤策略对流量进行过滤处理；

写操作装置130用于在检测到需要对多个过滤策略中的一个进行修改时，访问RCU链表，通过RCU链表获取待修改过滤策略的副本，并对待修改过滤策略的副本进行修改，并在检测到完成对待修改策略的副本的修改且所有读操作完成后，将修改后待修改策略的副本替换RCU链表中待修改策略以对待修改策略进行修改。

在本发明的一个实施例中，写操作装置130获取待修改过滤策略的副本及对待修改策略的副本进行修改的同时，读操作装置120执行多个过滤策略中的其他过滤策略对流量进行过滤处理。其中读操作装置120在需要执行过滤策略时，遍历RCU链表以查找对应的过滤策略。

根据本发明实施例的支持实时策略加载的流量过滤防攻击系统100采用RCU链表的方式解决策略执行与修改同步的问题。RCU是改进的rwlock，与rwlock最大的区别为读操作装置120不需要获得任何锁就可以访问被RCU保护的共享数据结构，但写操作装置130在访问时需拷贝一个副本，对待修改过滤策略的副本进行修改，然后采用回调机制在适当的时机把指向原来数据的指针指向新的被修改的数据。在本发明的一个实施例中，写操作装置130利用回调机制将在RCU链表中指向待修改过滤策略重新指向待修改过滤策略的副本。上述适当的时机必须保证所有引用该数据的CPU都退出对共享数据的操作。RCU机制下，读者几乎无同步开销，不需要锁、原子指令和内存栅，因此避免了锁竞争、内存延迟以及流水线停滞等问题。

存储装置110中，RCU链表包括多个节点，每个节点对应一个过滤策略。过滤策略在服务中采用RCU链表的方式存储，有如下两个优点：

（一）、当过滤策略被执行时，首先遍历RCU链表以进行查找，而RCU链表对读者无锁，因此执行多过滤策略时不会存在同步问题，提升了执行效率。

（二）、当需要增加或删除过滤策略时，写操作首先获得拷贝副本，完成对副本的修改后，需要等待所有的读操作完成，才能将副本更新为新的策略链表。从而保证不会对正在执行的策略产生影响。而写操作执行时不会对读操作进行阻塞处理，因此在写操作执行的整个过程中读操作不会被打断。因此读写操作不会被频繁中断或阻塞，从而实现过滤策略的无缝更新。

根据本发明实施例的支持实时策略加载的流量过滤防攻击系统采用RCU链表的方式，存储装置中的每个过滤策略对应RCU链表的一个节点，读操作装置无需获取锁，写操作装置在备份节点上进行操作，修改完毕在所有读操作完成后使用备份副本替换RCU链表中待修改策略节点。本系统解决了策略执行与修改的同步问题，是一种高效的流量过滤防攻击系统策略组织方式，能够大大提高系统的执行效率，同时保证策略修改的实时性。并且本系统使得策略的修改操作不中断业务，实现过滤策略的无缝更新，增强了系统对网络流量保护的力度和准确度。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同限定。

Claims (10)

1.一种支持实时策略加载的流量过滤防攻击方法，其特征在于，用于流量过滤的多个过滤策略以RCU链表形式存储，所述方法包括如下步骤：

当检测到需要对所述多个过滤策略中的一个进行修改时，访问所述RCU链表；

通过所述RCU链表获取待修改过滤策略的副本，并对所述待修改过滤策略的副本进行修改；以及

在完成对所述待修改策略的副本的修改且所有读操作完成后，将修改后所述待修改策略的副本替换所述RCU链表中所述待修改策略以对所述待修改策略进行修改。

2.如权利要求1所述的方法，其特征在于，所述RCU链表包括多个节点，每个节点对应一个所述过滤策略。

3.如权利要求1所述的方法，其特征在于，所述将修改后所述待修改策略的副本替换所述RCU链表中所述待修改策略，包括如下步骤：

利用回调机制将在所述RCU链表中指向所述待修改过滤策略重新指向所述待修改过滤策略的副本。

4.如权利要求1所述的方法，其特征在于，获取待修改过滤策略的副本及对所述待修改策略的副本进行修改的同时，执行所述多个过滤策略中的其他过滤策略对流量进行过滤处理。

5.如权利要求1所述的方法，其特征在于，还包括如下：当需要执行过滤策略时，遍历所述RCU链表以查找对应的过滤策略。

6.一种支持实时策略加载的流量过滤防攻击系统，其特征在于，

存储装置，用于存储RCU链表，其中，所述RCU链表用于存储流量过滤的多个过滤策略；

读操作装置，用于读取所述RCU链表中的一个或多个过滤策略，并执行所述过滤策略对流量进行过滤处理；以及

写操作装置，用于在检测到需要对所述多个过滤策略中的一个进行修改时，访问所述RCU链表，通过所述RCU链表获取待修改过滤策略的副本，并对所述待修改过滤策略的副本进行修改，并在检测到完成对所述待修改策略的副本的修改且所有读操作完成后，将修改后所述待修改策略的副本替换所述RCU链表中所述待修改策略以对所述待修改策略进行修改。

7.如权利要求6所述的装置，其特征在于，所述RCU链表包括多个节点，每个节点对应一个所述过滤策略。

8.如权利要求6所述的装置，其特征在于，所述写操作装置利用回调机制将在所述RCU链表中指向所述待修改过滤策略重新指向所述待修改过滤策略的副本。

9.如权利要求6所述的装置，其特征在于，所述写操作装置获取待修改过滤策略的副本及对所述待修改策略的副本进行修改的同时，所述读操作装置执行所述多个过滤策略中的其他过滤策略对流量进行过滤处理。

10.如权利要求6所述的装置，其特征在于，所述读操作装置在需要执行过滤策略时，遍历所述RCU链表以查找对应的过滤策略。