CN105100072A - 一种网络节点监测方法及装置 - Google Patents

Abstract

本发明实施例公开了一种网络节点监测方法，所述方法包括：接收网络节点发送的访问请求，获取网络节点区别于其他网络节点的第一标识；根据哈希算法计算第一标识对应的哈希值，第一表格中保存有第一标识与第一标识在第二表格中的位置的对应关系；判断哈希值对应的第一表格的表项中是否存在第一标识，如果是，则依据对应关系在第二表格中查找第一标识，并在第一标识对应的当前的访问请求数量的基础上加1；判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则确认网络节点为非正常网络节点。本发明实施例还公开了一种网络节点监测装置。本发明实现了实时地监测出黑客进行资源滥用攻击所利用的非正常网络节点的目的。

Description

一种网络节点监测方法及装置

技术领域

本发明涉及计算机领域，尤其涉及一种网络节点监测方法及装置。

背景技术

目前，网络黑客对网络服务器最基本的攻击方式就是资源滥用攻击，即利用网络节点(业内也称“肉鸡”或“傀儡机”，是指可以被黑客远程控制的机器)发送大量合法的访问请求来占用过多的服务器资源，从而使正常用户合法的请求失败，或者是页面加载速度变得极其缓慢，造成用户无法使用网站。而且，这种攻击过程往往时间很短，对于毫无防范的网络服务器来说，这种攻击几乎是不可阻挡的，网络服务器在短时间内就会崩溃，给企业带来巨大的损失。因此，从众多的给服务器发送访问请求的网络节点中找出被黑客控制的网络节点对防御这种攻击至关重要。

现有技术一中大多数系统都是在攻击过后检测日志文件来确认是否发生资源滥用攻击。日志文件中记录了每个IP地址发送了多少请求量，如果发现存在有请求量非同寻常的IP地址，则该IP地址就有可能是黑客所使用的代理IP地址，会被加入到黑名单中。但是，这并不能缓解资源滥用攻击发生时网站的负载。

现有技术二利用令牌桶算法实时监测每个网络节点发送访问请求的速率来判断该网络节点是否为被黑客控制的网络节点。所述令牌桶算法的原理是：假设服务器被配置为平均每秒接收r个访问请求，那么每隔1/r秒就有一个令牌被加入令牌“桶”(数据包缓存)中。每当接收到一个访问请求时，就从令牌“桶”中删除一个令牌。若黑客采用一个网络节点进行攻击，那么他就需要在短时间内发送大量的访问请求，该网络节点发送的访问请求对应的删除令牌的速率大于r个/秒的可能性较高，因此很容易识别出该网络节点来，进而对该网络节点采取一定的措施，从而有效的缓解攻击时服务器的负载，克服了现有技术一的缺点。然而，一旦黑客采用成千上万个网络节点发送大量的访问请求时，由于平分到每个网络节点的访问请求数量大幅度减少，因此对应的删除令牌的速率大于r个/秒的可能性较低，由于通常情况下，普通用户发送访问请求的速率小于r个/秒，因此常常分辨不出哪些是普通用户使用的正常的网络节点，哪些是被黑客控制的非正常网络节点。

所以，如何才能够在众多与服务器连接的网络节点中，实时地监测出黑客进行资源滥用攻击所利用的非正常网络节点是亟待需要解决的问题。

发明内容

为了解决现有技术中存在的技术问题，本发明提供一种网络节点监测方法和装置，实现了在众多与服务器连接的网络节点中，实时地监测出黑客进行资源滥用攻击所利用的非正常网络节点的目的，从而有效的抵御黑客攻击，保证服务器的正常运行。

本发明实施例提供了一种网络节点监测方法，所述方法包括：

接收网络节点发送的访问请求，获取所述网络节点区别于其他网络节点的第一标识；

根据哈希算法计算所述第一标识对应的哈希值，所述哈希值表示所述第一标识在第一表格中的位置，所述第一表格中保存有所述第一标识与所述第一标识在第二表格中的位置的对应关系；

判断所述哈希值对应的所述第一表格的表项中是否存在所述第一标识，如果是，则依据所述对应关系在所述第二表格中查找所述第一标识，并在所述第一标识对应的当前的访问请求数量的基础上加1；

判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则确认所述网络节点为非正常网络节点。

优选的，当所述哈希值对应的所述第一表格的表项中不存在所述第一标识时，所述方法还包括：

判断所述第二表格中当前指针指向的表项是否为空，如果是，则在所述当前指针指向的表项中填写所述第一标识，并将所述第一标识对应的访问请求数量置为1，同时在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置。

优选的，当所述第二表格中当前指针指向的表项不为空时，所述方法还包括：

将所述当前指针指向的表项中的访问请求数量减1，然后将所述当前指针指向下一个表项。

优选的，在所述将当前指针指向的表项中的访问请求数量减1后，所述方法还包括：

判断所述当前指针指向的表项的访问请求数量是否为0，如果是，则计算所述当前指针指向表项中的第二标识的哈希值，并将所述第一表格中与所述第二标识的哈希值对应的表项中的内容清空；将所述第二表格中的所述第二标识替换为所述第一标识，并将所述第一标识对应的访问请求数量置为1；在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置。

优选的，所述哈希值对应的所述第一表格的表项中不存在所述第一标识包括：

所述第一表格中所述哈希值对应的表项为空；

所述在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

在所述第一标识的哈希值对应的表项中填写所述第一标识以及所述第一标识在所述第二表格中的位置。

优选的，所述哈希值对应的所述第一表格的表项中不存在所述第一标识包括：

所述第一表格中所述哈希值对应的表项不为空；

所述在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

为所述第一表格动态分配一个表项，将所述第一标识以及所述第一标识在所述第二表格中的位置记录在所述分配的表项中，并用指针从所述哈希值对应的表项指向所述分配的表项。

优选的，所述第一标识为根据所述网络节点的IP地址、网站cookie和/或网络节点物理设备的唯一标识计算的哈希值。

优选的，所述预设请求数量根据上一时间周期内每个用户的平均访问请求数量与网络服务器当前的负载情况进行确定。

优选的，所述预设请求数量根据上一时间周期内每个用户的平均访问请求数量与网络服务器当前的负载情况进行确定包括：

计算上一时间周期内每个用户的平均访问请求数量以及每个应答包的平均延迟时间；

根据所述平均访问请求数量与所述平均延迟时间计算所述预设请求数量，其中，所述预设请求数量与所述平均访问请求数量成正比，所述预设请求数量与所述平均延迟时间均成反比。

优选的，当确认所述网络节点为非正常网络节点后，所述方法还包括：

屏蔽所述网络节点之后发送的访问请求，或限制所述网络节点的访问速度。

本发明实施例还提供了一种网络节点监测装置，所述装置包括：

访问请求接收单元、第一标识获取单元、哈希值计算单元、第一判断单元、查找单元、第二判断单元和确定单元；

其中，所述访问请求接收单元与所述第一标识获取单元连接，所述第一标识获取单元与所述哈希值计算单元连接，所述哈希值计算单元与所述第一判断单元连接，所述第一判断单元与所述查找单元连接，所述查找单元与所述第二判断单元连接，所述第二判断单元与所述确定单元连接；

所述访问请求接收单元，用于接收网络节点发送的访问请求；

所述第一标识获取单元，用于获取所述网络节点区别于其他网络节点的第一标识；

所述哈希值计算单元，用于根据哈希算法计算所述第一标识对应的哈希值，所述哈希值表示所述第一标识在第一表格中的位置，所述第一表格中保存有所述第一标识与所述第一标识在第二表格中的位置的对应关系；

所述第一判断单元，用于判断所述哈希值在所述第一表格对应的表项中是否存在所述第一标识，如果是，则激活所述查找单元；

所述查找单元，用于依据所述对应关系在所述第二表格中查找所述第一标识，并在所述第一标识对应的当前的访问请求数量的基础上加1；

所述第二判断单元，用于判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则激活所述确定单元；

所述确定单元，用于确认所述网络节点为非正常网络节点。

优选的，所述装置还包括：第三判断单元、填写单元和记录单元，所述第一判断单元与所述第三判断单元连接，所述第三判断单元与所述填写单元，所述填写单元与所述记录单元连接；

所述第一判断单元，还用于当所述哈希值在所述第一表格对应的表项中不存在所述第一标识时，激活所述第三判断单元；

所述第三判断单元，用于判断所述第二表格中当前指针指向的表项是否为空，如果是，则激活所述填写单元；

所述填写单元，用于在所述当前指针指向的表项中填写所述第一标识，并将所述第一标识对应的访问请求数量置为1，然后激活所述记录单元；

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置。

优选的，所述装置还包括减单元和指针单元，所述第三判断单元与所述减单元连接，所述减单元与所述指针单元连接；

所述第三判断单元，还用于当所述第二表格中当前指针指向的表项不为空时，激活所述减单元；

所述减单元，用于将所述当前指针指向的表项中的访问请求数量减1，然后激活所述指针单元；

所述指针单元，用于将所述当前指针指向下一个表项。

优选的，所述装置还包括：第四判断单元和替换单元；

所述减单元与所述第四判断单元连接，所述第四判断单元与所述替换单元连接，所述替换单元与所述记录单元连接，所述记录单元与所述指针单元连接；

所述第四判断单元，用于判断所述当前指针指向的表项的访问请求数量是否为0，如果是，则激活所述替换单元；

所述替换单元，用于计算所述当前指针指向表项中的第二标识的哈希值，并将所述第一表格中与所述第二标识的哈希值对应的表项中的内容清空；将所述第二表格中的所述第二标识替换为所述第一标识，并将所述第一标识对应的访问请求数量置为1，然后激活所述记录单元；所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置，然后激活所述指针单元。

优选的，所述第一判断单元，还用于当所述哈希值在所述第一表格对应的表项中不存在所述第一标识时，激活所述第三判断单元包括：

所述第一判断单元，还用于当所述第一表格中所述哈希值对应的表项为空时，激活所述第三判断单元；

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元，用于在所述哈希值对应的表项中填写所述第一标识以及所述第一标识在所述第二表格中的位置。

优选的，所述第一判断单元，还用于当所述哈希值对应的所述第一表格的表项中不存在所述第一标识时，激活所述第三判断单元包括：

所述第一判断单元，用于当第一表格中所述哈希值对应的表项不为空时，激活所述第三判断单元；

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元，用于为所述第一表格动态分配一个表项，将所述第一标识以及所述第一标识在所述第二表格中的位置记录在所述分配的表项中，并用指针从所述哈希值对应的表项指向所述分配的表项。

相对于现有技术，本发明的有益效果为：

相对于现有技术一，本发明实现了在众多与服务器连接的网络节点中，实时地监测出黑客进行资源滥用攻击所利用的非正常网络节点的目的，提高了网络服务器防御攻击的能力，保证服务器的正常运行。相对于现有技术二，由于本发明统计的是每个网络节点的访问请求数量，而删除令牌的速率，因此很容易在众多网络节点中辨认出哪些网络节点是非正常网络节点，因为无论黑客控制多少网络节点发起攻击，被控制的网络节点发送访问请求的数量会远远大于普通用户正常发送访问请求的数量。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明提供的一种网络节点监测方法实施例一的流程图；

图2为本发明提供的一种网络节点监测方法实施例二的流程图；

图3为本发明提供的一种网络节点监测装置实施例一的结构框图；

图4为本发明提供的一种网络节点监测装置实施例二的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

方法实施例一：

参见图1，该图为本发明提供的一种网络节点监测方法实施例一的流程图。

本实施例提供的网络节点监测方法包括如下步骤：

步骤S101：接收网络节点发送的访问请求，获取所述网络节点区别于其他网络节点的第一标识。

在本发明中，所述第一标识是所述网络节点区别于其他网络节点的标识，例如IP(InternationalProtocol，网络之间互连的协议)地址、网站cookie、网络节点物理设备的唯一标识等等，或者由上述至少两种标识结合构成。其中，采用IP地址作为第一标识适用于非局域网的网络节点；采用网站cookie作为第一标识要求网站具有产生cookie的功能，所述cookie是网站为了辨别用户身份而存储在用户终端设备上的数据。如果所述网络节点的物理设备为计算机，那么其唯一标识可以是MAC(MediaAccessControl，或MediumAccessControl)地址、CPU主板ID号等；如果所述物理设备为移动终端，那么其唯一标识可以是IMSI(InternationalMobileSubscriberIdentificationNumber，国际移动用户识别码)、IMEI(InternationalMobileEquipmentIdentificationNumber，国际移动设备识别码)、ESN(ElectronicSerialNumber，电子序列号)等等。

在实际应用中，所述第一标识可以携带在所述访问请求中，通过接收所述访问请求进行获取。

步骤S102：根据哈希算法计算所述第一标识对应的哈希值。

所述哈希算法也称单向散列算法，它把某个较大的集合P映射到另一个较小的集合Q中，假设这个算法叫H，那么就有Q＝H(P)。对于P中任何一个值p都有唯一确定的q与之对应，但是一个q可以对应多个p。本实施例利用哈希算法对所述第一标识进行计算，得到的哈希值为所述第一标识在第一表格的位置，这种根据哈希算法得到的所述第一表格业内称之为哈希表(或散列表)。现有技术中，所述哈希算法有很多种，例如MD4、MD5、SHA-1等等，其中，所述MD4(RFC1320)是MIT的RonaldL.Rivest在1990年设计的，MD是MessageDigest的缩写，是基于32为操作数的位操作实现的；所述MD5(RFC1321)是Rivest于1991年对MD4改进的版本，输入以512位分组，输出也是4个32位的级联，但它比MD4更为复杂，并且计算速度稍慢，但是更加安全；所述SHA1与MD4的原理基本相同，输入以小于264位分组，输出长度为160bit，抗穷举性比MD4更好。

在本实施例中，所述哈希算法为对所述第一标识进行叠加计算，然后再根据所述第一表格的大小求余。例如，所述第一标识为16772，叠加计算结果为1×1+6×13+7×131+7×1313+2×13131＝204806，其中，用于叠加的13还可以换成其他质数，本发明不做具体限定。假设所述第一表格的总行数为204800，那么204806对204800求余为6，因此，所述第一标识16772在所述第一表格中的位置是第6行表项。

步骤S103：判断所述哈希值对应的所述第一表格的表项中是否存在所述第一标识，如果是，则执行步骤S104。

当计算出所述第一表格对应的哈希值后，在所述第一表格中找到所述哈希值对应的表项，并判断所述表项中的标识是否与所述第一标识一致，如果是，则说明所述第一表格中存在所述第一标识；如果否，或者该表项为空，那么说明所述第一表格中不存在所述第一标识。以上述例子为例，当根据步骤S102计算出第一标识16772的哈希值为6时，在所述第一表格中找到第6行表项，如果该表项中的标识也为16772，那么说明所述第一表格中存在所述第一标识16772；如果该表项中的标识不为16772，或者该表项是空的，那么说明所述第一表格中不存在所述第一标识16772。

步骤S104：依据所述对应关系在所述第二表格中查找所述第一标识，并在所述第一标识对应的访问请求数量的基础上加1。

当所述第一表格对应的表项中存在所述第一标识，由于所述第一表格中存有所述第一标识与所述第一标识在第二表格中的位置的对应关系，因此就可以依据所述第一标识在所述第二表格中的位置在第二表格中找到所述第一标识所在的表项，所述第二表格中保存有所述第一标识与访问请求数量的对应关系，在所述第二表格中找到对应的表项后，在所述第一标识对应的当前的访问请求数量的基础上加1，以将所述第一标识对应的访问请求数量进行累加。

例如，在第一表格中，所述第一标识16772对应的在第二表格中的位置是10，那么指针指向第二表格中的第十个表项，由于这两个表是同步更新的，如果所述第一表格中存在所述第一标识，那么所述第二表格中也一定存在，而且就在所述第10个表项中。如果当前所述第一标识的访问数量为128，那么在这个数量的基础上加1，即变为129。

步骤S105：判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则执行步骤S106；

步骤S106：确认所述网络节点为非正常网络节点。

在本实施例中，当判断出所述网络节点增加后的访问请求数量大于或等于所述预设请求数量时，认为发送所述访问请求的网络节点为非正常网络节点，即有可能为被黑客控制用于攻击服务器的网络节点。在实际应用中，可以限制所述非正常网络节点访问服务器的速度，或者对所述非正常网络节点之后发送的访问请求进行屏蔽等，以减小甚至避免黑客攻击对网络服务器产生的不良影响，以保证网络服务器的正常运行。举例而言，参见表1，该表为所述第二表格的示意图。在该表中，EVENTID为所述第一标识，COUNT为访问请求数量，ACTION为对所述第一标识对应的网络节点采取的措施，例如通过或屏蔽。从该表中可以看出，EVENTID为132、34、10932、1113、398的访问请求数量为几千甚至几万，远远超过其他EVENTID的访问请求数量，这些访问请求数量很高的网络节点很可能就是被黑客控制的非正常网络节点，应当及时屏蔽，停止接收其发送的访问请求。而其他网络节点由于访问请求数量很少，因此被黑客控制的可能性较小，网络服务器可以继续接收其发送的访问请求。

表1第二表格

本发明对所述预设请求数量的确定不做具体限定，可以是预先设置好的一个固定值，也可以是一个不断调整的动态的值。在本实施例中，所述预设请求数量根据上一时间周期内每个用户的平均访问请求数量与所述网络服务器当前的负载情况进行确定。

衡量所述网络服务器当前的负载情况有很多指标，例如应答包的延迟时间、CPU内存的占用率等等。其中，所述应答包是指服务器接收到网络节点发送的访问请求后，会有针对该访问请求做出一个反馈，这个反馈即为应答包。服务器根据该访问请求做出反馈并生成应答包的时间即为延迟时间。在本实施例中，通过每个应答包的平均延迟时间来衡量所述网络服务器当前的负载，即每个应答包的平均延迟时间越长，说明网络服务器负载越高；反之，则说明网络服务器负载越低。

本发明对如何根据所述平均访问请求数量与所述平均延迟时间计算所述预设请求数量不做具体限定，只要满足所述预设请求数量与所述平均访问请求数量成正比、与所述平均延迟时间均成反比的条件均可。在本实施中，具体的，可以计算上一时间周期内每个应答包的平均延迟时间与正常延迟时间之间的倍数关系，以及计算上一时间周期内每个用户的平均访问请求数量，根据所述平均访问请求数量与所述倍数关系计算所述预设请求数量。

举个例子，假设上一时间周期内一共接收了10000个访问请求，这些请求来源于100个用户，因此每个用户的平均访问请求数量为100个。如果在上一时间周期内，所述网络服务器发送的每个应答包的平均延迟时间是正常延迟时间的10倍，那么所述预设请求数量为100×10＝1000。以上述例子为基准，如果所述网络服务器发送的每个应答包的平均延迟时间是正常延迟时间的5倍，那么所述预设请求数量为1000×10/5＝2000。若每个用户的平均访问请求数量为1000个，且在上一时间周期内，所述网络服务器发送的每个应答包的平均延迟时间是正常延迟时间的10倍，那么所述预设请求数量为1000×100/10＝10000。

由于黑客用于攻击的网络节点的数量通常是一定的，一般不会发生变化，假设攻击者利用1000个网络节点发起资源滥用攻击，发送了10万个访问请求，则平均每个网络节点的访问请求数量为100，如果攻击持续下去，每个网络节点的访问请求数量会变得更多，但是无论如何变化，都源于这1000个网络节点。基于这个事实，本实施例通过每接收一次网络节点发送的访问请求，就在所述第二表格中对应累计所述网络节点对应的访问请求数量，如果累积的访问请求数量大于或等于所述预设请求数量，则认为所述网络节点为非正常网络节点。相对于现有技术一，本实施例实现了在众多与服务器连接的网络节点中，实时地监测出黑客进行资源滥用攻击所利用的非正常网络节点的目的，提高了网络服务器防御攻击的能力，保证服务器的正常运行。相对于现有技术二，由于本实施例统计的是每个网络节点的访问请求数量，而不是删除令牌的速率，因此很容易在众多网络节点中辨认出哪些网络节点是非正常网络节点，因为无论黑客控制多少网络节点发起攻击，被控制的网络节点发送访问请求的数量会远远大于普通用户正常发送访问请求的数量。

另外，本实施例通过获取所述网络节点区别于其他网络节点的第一标识，并根据哈希算法计算所述第一标识对应的哈希值，然后判断所述哈希值在所述第一表格对应的表项中是否存在所述第一标识，如果是，则获取所述第一标识对应的所述第一标识在所述第二表格中的位置，进而可以在所述第二表格中快速查找到所述第一标识。相对于现有技术中通常采用遍历的方式来在表格中查找标识的方法，本实施例有效提高了监测的效率。

方法实施例二

参见图2，该图为本发明提供的一种网络节点监测方法实施例二的流程图。

本实施例提供的网络节点监测方法包括如下步骤：

步骤S201：接收网络节点发送的访问请求，获取所述网络节点区别于其他网络节点的第一标识。

在方法实施例一中，所述第一标识可以包括所述网络节点的IP地址、网站cookie和/或网络节点物理设备的唯一标识等。然而，由于由所述IP地址、网站cookie和/或网络节点物理设备的唯一标识构成的第一标识往往较为复杂，在以下步骤在第一表格或第二表格中查找所述第一标识时耗时比较长，为了克服这个问题，在本实施例中，可以将IP地址、网站cookie和/或网络节点物理设备的唯一标识等进行处理，即所述第一标识为根据哈希算法计算所述IP地址、网站cookie和/或网络节点物理设备的唯一标识等的哈希值。

步骤S202：根据哈希算法计算所述第一标识对应的哈希值。

所述哈希值表示所述第一标识在第一表格中的位置，所述第一表格中保存有所述第一标识与所述第一标识在第二表格中的位置的对应关系。

步骤S203：判断所述哈希值对应的所述第一表格的表项中是否存在所述第一标识，如果是，则执行步骤S204；如果否，则执行步骤S207。

步骤S204：依据所述对应关系在所述第二表格中查找所述第一标识，并在所述第一标识对应的当前的访问请求数量的基础上加1，然后执行步骤S205。

步骤S205：判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则执行步骤S206；

步骤S206：确认所述网络节点为非正常网络节点，流程结束。

步骤S207：判断所述第二表格中当前指针指向的表项是否为空，如果是，则执行步骤S208；如果否，则执行步骤S209。

在本实施例中，当所述第一表格中不存在所述第一标识时，由于所述第一表格和所述第二表格中是同步的，也即这两个表格中的标识完全一样，那么说明所述第二表格也不存在所述第一标识，所述第一标识为一个新标识。在这种情况下，判断所述第二表格中当前指针指向的表项是否为空，如果是空的，说明所述第二表格中存在空表项，那么就可以在所述当前指针指向的表项中加入所述第一标识，并将所述第一标识对应的访问请求数量置为1。而如果所述第二表格中当前指针指向的表项不为空，那么说明所述第一表格中没有空表项，这时通过将所述当前指针指向的表项中的访问请求数量减1，然后将所述当前指针指向下一个表项。当下一个访问请求到来且该请求对应的标识在所述第二表格中不存在时，将所述下一个表项的访问请求数量减1，以此类推。通过这样一种方式使得在所述第二表格中表项数量一定的情况下，所述第二表格中每个标识对应的访问请求数量占总体访问请求数量的比率是客观的、公平的。

所述第二表格中记录的是访问请求数量最多的前N个网络节点，所述N为所述第二表格的行数，以实现对这些网络节点监控的目的。

步骤S208：在所述当前指针指向的表项中填写所述第一标识，并将所述第一标识对应的访问请求数量置为1，同时在所述第二表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置，然后执行步骤S212。

在本实施例中，所述第一表格和所述第二表格是同步更新的，也就是说，所述第一表格中所有的标识都与所述第二表格中的标识保持一致，如果所述第一表格中加入新的标识，那么该标识也应当加入所述第二表格；如果所述第一表格中删除一个标识，那么所述第二表格中也需要删除该标识。在实际应用中，所述第一表格和所述第二表格的表项行数可以设置为相同。

在本实施例中，所述哈希值在所述第一表格对应的表项中不存在所述第一标识有两种情况：一种是所述第一表格中与所述哈希值对应的表项为空；另一种是所述第一表格中与所述哈希值对应的表项不为空，但是其中的标识与所述第一标识不一致。对于这两种情况，在所述第二表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置的方法是不同的。对于前一种情况，可以直接在所述哈希值对应的表项中填写所述第一标识以及所述第一标识在所述第二表格中的位置；对于后一种情况(业内也称为哈希冲突)，由于表项已被占用，因此需要为所述第一表格动态分配一个表项，将所述第一标识以及所述第一标识在所述第二表格中的位置记录在所述分配的表项中，并用指针从所述哈希值对应的表项指向所述分配的表项，例如表2。所述表2为所述第一表格的示意图，在该表中，EVENTID为所述第一标识，POSTION为所述第一标识在所述第二表格中的位置，例如EVENTID为73461在第二表格中的位置为第9行表项。NEXT为是否指向动态分配的表项，NULL为不指向，存在指针即为指向。例如EVENTID23和EVENTID3的哈希值均为4，也就是说，这两个第一标识在所述第一表格中的位置均为第4行，因此发生了哈希冲突，在这种情况下，由于EVENTID23先记录在所述第一表格中，那么就为EVENTID3动态分配一个表项，并将EVENTID3以及其在第二表格的位置8记录在该动态分配的表项中，并在EVENTID23的NEXT中用指针指向该动态分配的表项。

表2第一表格

步骤S209：将当前指针指向的表项中的访问请求数量减1，然后执行步骤S210。

步骤S210：判断所述当前指针指向的表项的访问请求数量是否为0，如果是，则执行步骤S211；如果否，则执行步骤S212。

在本实施例中，当所述第二表格中当前指针指向的表项不为空，且将所述当前指针指向的表项中的访问请求数量减1后，判断所述当前指针指向的表项的访问请求数量是否为0，如果是，说明所述表项中原来的访问请求数量为1，也就是说所述表项中第二标识对应的网络节点发送的访问请求对当前的服务器负载起到的作用微乎其微，因此可以将所述第二标识替换为所述第一标识，并将所述第一标识对应的访问请求数量置为1，以对所述第一标识的请求数量进行累计。同时，将所述第二标识的哈希值在第一表格中对应的表项的内容清空，将所述第一标识以及所述第一标识在所述第二表格中的位置填充至所述清空后的表项中，以使所述第一表格和所述第二表格实现同步更新。

例如，所述第二表格中当前指针指向的第二标识为132，在所述第二表格中位于第65行，所述第二标识132对应的访问请求数量减1后为0。现将第一标识654替换掉第二表格中的所述第二标识132，并将访问请求数量置为1。同时，根据哈希算法计算得到第二标识132在所述第一表格中的位置为98，那么将第一表格中第98行的表项清空，并将所述第一标识654以及所述第一标识在所述第一表格中的位置65填入清空的第98行表项中，然后将所述第二表格中的指针指向下一个表项。

步骤S211：计算所述当前指针指向表项中的第二标识的哈希值，并将所述第一表格中与所述第二标识的哈希值对应的表项中的内容清空；将所述第二表格中的所述第二标识替换为所述第一标识，并将所述第一标识对应的访问请求数量置为1；在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置；然后执行步骤S212。在本实施例中，在所述第二表格中的所述第二标识替换为所述第一标识后，在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置，以实现所述第一表格和所述第二表格的同步更新。

步骤S212：将所述第二表格的当前指针指向下一个表项，流程结束。

在本实施中，通过移动所述第二表格的当前指针，使得所述第二表格和所述第一表格中的所述第一标识得到持续更新，最终得到所有网络节点中访问请求数量排名前N个网络节点，所述N为所述第一表格或所述第二表格的表项数量。

与方法实施例一不同之处在于，本实施例考虑到了新网络节点发送的访问请求如何处理的情况、所述第一表格发生哈希冲突的情况、以及当所述第二表格的所有表项已被全部填满的情况，更加全面的完善了网络节点的监测方法，有效遏制了黑客对网络服务器的攻击，保证了网络服务器的正常运行。

基于以上实施例提供的一种网络节点监测方法，本发明实施例还提供了一种网络节点监测装置，下面结合附图来详细说明其工作原理。

装置实施例一

参见图3，该图为本发明提供的一种网络节点监测装置实施例一的结构框图。

本实施例提供的一种网络节点监测装置包括：

访问请求接收单元301、第一标识获取单元302、哈希值计算单元303、第一判断单元304、查找单元305、第二判断单元306和确定单元307；

其中，所述访问请求接收单元301与所述第一标识获取单元302连接，所述第一标识获取单元302与所述哈希值计算单元303连接，所述哈希值计算单元303与所述第一判断单元304连接，所述第一判断单元304与所述查找单元305连接，所述查找单元305与所述第二判断单元306连接，所述第二判断单元306与所述确定单元307连接；

所述访问请求接收单元301，用于接收网络节点发送的访问请求；

所述第一标识获取单元302，用于获取所述网络节点区别于其他网络节点的第一标识；

所述哈希值计算单元303，用于根据哈希算法计算所述第一标识对应的哈希值，所述哈希值表示所述第一标识在第一表格中的位置，所述第一表格中保存有所述第一标识与所述第一标识在第二表格中的位置的对应关系；

所述第一判断单元304，用于判断所述哈希值在所述第一表格对应的表项中是否存在所述第一标识，如果是，则激活所述查找单元305；

所述查找单元305，用于依据所述对应关系在所述第二表格中查找所述第一标识，并在所述第一标识对应的当前的访问请求数量的基础上加1；

所述第二判断单元306，用于判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则激活所述确定单元307；

所述确定单元307，用于确认所述网络节点为非正常网络节点。

本实施例通过每接收一次网络节点发送的访问请求，就在所述第二表格中对应累计所述网络节点对应的访问请求数量，如果累积的访问请求数量大于或等于所述预设请求数量，则认为所述网络节点为非正常网络节点。相对于现有技术一，本实施例实现了在众多与服务器连接的网络节点中，实时地监测出黑客进行资源滥用攻击所利用的非正常网络节点的目的，提高了网络服务器防御攻击的能力，保证服务器的正常运行。相对于现有技术二，由于本实施例统计的是每个网络节点的访问请求数量，而不是删除令牌的速率，因此很容易在众多网络节点中辨认出哪些网络节点是非正常网络节点，因为无论黑客控制多少网络节点发起攻击，被控制的网络节点发送访问请求的数量会远远大于普通用户正常发送访问请求的数量。

另外，本实施例通过获取所述网络节点区别于其他网络节点的第一标识，并根据哈希算法计算所述第一标识对应的哈希值，然后判断所述哈希值在所述第一表格对应的表项中是否存在所述第一标识，如果是，则获取所述第一标识对应的所述第一标识在所述第二表格中的位置，进而可以在所述第二表格中快速查找到所述第一标识。相对于现有技术中通常采用遍历的方式来在表格中查找标识的方法，本实施例有效提高了监测的效率。

装置实施例二

参见图4，该图为本发明提供的一种网络节点监测装置实施例二的结构框图。

相对于所述装置实施例一，本实施例考虑了当所述第一表格中对应的表项中不存在所述第一标识的情况，即在所述装置实施例一的基础上，本实施例提供的网络节点监测装置还包括：

第三判断单元308、填写单元309和记录单元310，所述第一判断单元304与所述第三判断单元308连接，所述第三判断单元308与所述填写单元309连接，所述填写单元309与所述记录单元310连接；

所述第一判断单元304，还用于当所述哈希值在所述第一表格对应的表项中不存在所述第一标识时，激活所述第三判断单元308；

所述第三判断单元308，用于判断所述第二表格中当前指针指向的表项是否为空，如果是，则激活所述填写单元309。

所述填写单元309，用于在所述当前指针指向的表项中填写所述第一标识，并将所述第一标识对应的访问请求数量置为1，然后激活所述记录单元310；

所述记录单元310，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置。

在本实施例中，所述装置还包括减单元311和指针单元312，所述第三判断单元308与所述减单元311连接，所述减单元311与所述指针单元312连接。当所述第三判断单元308判断出所述第二表格中当前指向的表项为空时，表明所述第二表格中存在空表格；所述第三判断单元308判断出当所述第二表格中当前指针指向的表项不为空时，激活所述减单元311。

所述减单元311，用于将所述当前指针指向的表项中的访问请求数量减1，然后激活所述指针单元312。

所述指针单元312，用于将所述当前指针指向下一个表项。

当所述第二表格中所有表项都被填满的情况下，为了能加入新的标识，所述装置还包括：第四判断单元313和替换单元314；

所述减单元311与所述第四判断单元313连接，所述第四判断单元313与所述替换单元314连接，所述替换单元314与所述记录单元310连接，所述记录单元310与所述指针单元312连接；

所述第四判断单元313，用于判断所述当前指针指向的表项的访问请求数量是否为0，如果是，则激活所述替换单元314；

所述替换单元314，用于计算所述当前指针指向表项中的第二标识的哈希值，并将所述第一表格中与所述第二标识的哈希值对应的表项中的内容清空；将所述第二表格中的所述第二标识替换为所述第一标识，并将所述第一标识对应的访问请求数量置为1，然后激活所述记录单元310。

所述记录单元310，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元310，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置，然后激活所述指针单元312。

在实际应用中，在所述第二表格中当前指针指向的表项为空的情况下，所述记录单元310在记录完毕后也可以激活所述指针单元312，以将当前指针指向下一个表项。

在本实施例中，所述哈希值在所述第一表格对应的表项中不存在所述第一标识包括两种情况，即所述第一表格中所述哈希值对应的表项为空，或者，所述第一表格中所述哈希值对应的表项虽不为空，但是所述表项中的标识与所述第一标识不一致，本实施例对这两种情况的处理方式不同。

如果是第一种情况，所述第一判断单元304，还用于当所述哈希值在所述第一表格对应的表项中不存在所述第一标识时，激活所述第三判断单元308包括：

所述第一判断单元304，还用于当所述第一表格中所述哈希值对应的表项为空时，激活所述第三判断单元308；

所述记录单元310，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元310，用于在所述哈希值对应的表项中填写所述第一标识以及所述第一标识在所述第二表格中的位置。

如果是第二种情况，所述第一判断单元304，还用于当所述哈希值在所述第一表格对应的表项中不存在所述第一标识时，激活所述第三判断单元308包括：

所述第一判断单元304，用于当第一表格中所述哈希值对应的表项不为空时，激活所述第三判断单元308；

所述记录单元310，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元310，用于为所述第一表格动态分配一个表项，将所述第一标识以及所述第一标识在所述第二表格中的位置记录在所述分配的表项中，并用指针从所述哈希值对应的表项指向所述分配的表项。

另外，所述装置还包括处理单元(图4中未示出)，与所述确认单元307连接，用于屏蔽所述网络节点之后发送的访问请求，或限制所述网络节点的访问速度。

与所述装置实施例一不同之处在于，本实施例考虑到了新网络节点发送的访问请求如何处理的情况、所述第一表格发生哈希冲突的情况、以及当所述第二表格的所有表项已被全部填满的情况，以及如何处理所述非正常网络节点，更加全面的完善了网络节点的监测方法，有效遏制了黑客对网络服务器的攻击，保证了网络服务器的正常运行。

需要说明的是，本领域普通技术人员可以理解实现上述方法实施例中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法实施例的流程。其中，所述存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory,ROM)或随机存储记忆体(RandomAccessMemory,RAM)等。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元及模块可以是或者也可以不是物理上分开的。另外，还可以根据实际的需要选择其中的部分或者全部单元和模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅是本发明的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (16)

1.一种网络节点监测方法，其特征在于，所述方法包括：

接收网络节点发送的访问请求，获取所述网络节点区别于其他网络节点的第一标识；

根据哈希算法计算所述第一标识对应的哈希值，所述哈希值表示所述第一标识在第一表格中的位置，所述第一表格中保存有所述第一标识与所述第一标识在第二表格中的位置的对应关系；

判断所述哈希值对应的所述第一表格的表项中是否存在所述第一标识，如果是，则依据所述对应关系在所述第二表格中查找所述第一标识，并在所述第一标识对应的当前的访问请求数量的基础上加1；

判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则确认所述网络节点为非正常网络节点。

2.根据权利要求1所述的网络节点监测方法，其特征在于，当所述哈希值对应的所述第一表格的表项中不存在所述第一标识时，所述方法还包括：

判断所述第二表格中当前指针指向的表项是否为空，如果是，则在所述当前指针指向的表项中填写所述第一标识，并将所述第一标识对应的访问请求数量置为1，同时在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置。

3.根据权利要求2所述的网络节点监测方法，其特征在于，当所述第二表格中当前指针指向的表项不为空时，所述方法还包括：

将所述当前指针指向的表项中的访问请求数量减1，然后将所述当前指针指向下一个表项。

4.根据权利要求3所述的网络节点监测方法，其特征在于，在所述将当前指针指向的表项中的访问请求数量减1后，所述方法还包括：

判断所述当前指针指向的表项的访问请求数量是否为0，如果是，则计算所述当前指针指向表项中的第二标识的哈希值，并将所述第一表格中与所述第二标识的哈希值对应的表项中的内容清空；将所述第二表格中的所述第二标识替换为所述第一标识，并将所述第一标识对应的访问请求数量置为1；在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置。

5.根据权利要求2至4任意一项所述的网络节点监测方法，其特征在于，所述哈希值对应的所述第一表格的表项中不存在所述第一标识包括：

所述第一表格中所述哈希值对应的表项为空；

所述在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

在所述第一标识的哈希值对应的表项中填写所述第一标识以及所述第一标识在所述第二表格中的位置。

6.根据权利要求2至4任意一项所述的网络节点监测方法，其特征在于，所述哈希值对应的所述第一表格的表项中不存在所述第一标识包括：

所述第一表格中所述哈希值对应的表项不为空；

所述在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

为所述第一表格动态分配一个表项，将所述第一标识以及所述第一标识在所述第二表格中的位置记录在所述分配的表项中，并用指针从所述哈希值对应的表项指向所述分配的表项。

7.根据权利要求1所述的网络节点监测方法，其特征在于，所述第一标识为根据所述网络节点的IP地址、网站cookie和/或网络节点物理设备的唯一标识计算的哈希值。

8.根据权利要求1所述的网络节点监测方法，其特征在于，所述预设请求数量根据上一时间周期内每个用户的平均访问请求数量与网络服务器当前的负载情况进行确定。

9.根据权利要求8所述的网络节点监测方法，其特征在于，所述预设请求数量根据上一时间周期内每个用户的平均访问请求数量与网络服务器当前的负载情况进行确定包括：

计算上一时间周期内每个用户的平均访问请求数量以及每个应答包的平均延迟时间；

根据所述平均访问请求数量与所述平均延迟时间计算所述预设请求数量，其中，所述预设请求数量与所述平均访问请求数量成正比，所述预设请求数量与所述平均延迟时间均成反比。

10.根据权利要求1所述的网络节点监测方法，其特征在于，当确认所述网络节点为非正常网络节点后，所述方法还包括：

屏蔽所述网络节点之后发送的访问请求，或限制所述网络节点的访问速度。

11.一种网络节点监测装置，其特征在于，所述装置包括：

访问请求接收单元、第一标识获取单元、哈希值计算单元、第一判断单元、查找单元、第二判断单元和确定单元；

其中，所述访问请求接收单元与所述第一标识获取单元连接，所述第一标识获取单元与所述哈希值计算单元连接，所述哈希值计算单元与所述第一判断单元连接，所述第一判断单元与所述查找单元连接，所述查找单元与所述第二判断单元连接，所述第二判断单元与所述确定单元连接；

所述访问请求接收单元，用于接收网络节点发送的访问请求；

所述第一标识获取单元，用于获取所述网络节点区别于其他网络节点的第一标识；

所述哈希值计算单元，用于根据哈希算法计算所述第一标识对应的哈希值，所述哈希值表示所述第一标识在第一表格中的位置，所述第一表格中保存有所述第一标识与所述第一标识在第二表格中的位置的对应关系；

所述第一判断单元，用于判断所述哈希值在所述第一表格对应的表项中是否存在所述第一标识，如果是，则激活所述查找单元；

所述查找单元，用于依据所述对应关系在所述第二表格中查找所述第一标识，并在所述第一标识对应的当前的访问请求数量的基础上加1；

所述第二判断单元，用于判断增加后的访问请求数量是否大于或等于预设请求数量，如果是，则激活所述确定单元；

所述确定单元，用于确认所述网络节点为非正常网络节点。

12.根据权利要求11所述的网络节点监测装置，其特征在于，所述装置还包括：第三判断单元、填写单元和记录单元，所述第一判断单元与所述第三判断单元连接，所述第三判断单元与所述填写单元，所述填写单元与所述记录单元连接；

所述第一判断单元，还用于当所述哈希值在所述第一表格对应的表项中不存在所述第一标识时，激活所述第三判断单元；

所述第三判断单元，用于判断所述第二表格中当前指针指向的表项是否为空，如果是，则激活所述填写单元；

所述填写单元，用于在所述当前指针指向的表项中填写所述第一标识，并将所述第一标识对应的访问请求数量置为1，然后激活所述记录单元；

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置。

13.根据权利要求12所述的网络节点监测装置，其特征在于，所述装置还包括减单元和指针单元，所述第三判断单元与所述减单元连接，所述减单元与所述指针单元连接；

所述第三判断单元，还用于当所述第二表格中当前指针指向的表项不为空时，激活所述减单元；

所述减单元，用于将所述当前指针指向的表项中的访问请求数量减1，然后激活所述指针单元；

所述指针单元，用于将所述当前指针指向下一个表项。

14.根据权利要求13所述的网络节点监测装置，其特征在于，所述装置还包括：第四判断单元和替换单元；

所述减单元与所述第四判断单元连接，所述第四判断单元与所述替换单元连接，所述替换单元与所述记录单元连接，所述记录单元与所述指针单元连接；

所述第四判断单元，用于判断所述当前指针指向的表项的访问请求数量是否为0，如果是，则激活所述替换单元；

所述替换单元，用于计算所述当前指针指向表项中的第二标识的哈希值，并将所述第一表格中与所述第二标识的哈希值对应的表项中的内容清空；将所述第二表格中的所述第二标识替换为所述第一标识，并将所述第一标识对应的访问请求数量置为1，然后激活所述记录单元；所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置，然后激活所述指针单元。

15.根据权利要求12至14任意一项所述的网络节点监测装置，其特征在于，所述第一判断单元，还用于当所述哈希值在所述第一表格对应的表项中不存在所述第一标识时，激活所述第三判断单元包括：

所述第一判断单元，还用于当所述第一表格中所述哈希值对应的表项为空时，激活所述第三判断单元；

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元，用于在所述哈希值对应的表项中填写所述第一标识以及所述第一标识在所述第二表格中的位置。

16.根据权利要求12至14任意一项所述的网络节点监测装置，其特征在于，所述第一判断单元，还用于当所述哈希值对应的所述第一表格的表项中不存在所述第一标识时，激活所述第三判断单元包括：

所述第一判断单元，用于当第一表格中所述哈希值对应的表项不为空时，激活所述第三判断单元；

所述记录单元，用于在所述第一表格中记录所述第一标识以及所述第一标识在所述第二表格中的位置包括：

所述记录单元，用于为所述第一表格动态分配一个表项，将所述第一标识以及所述第一标识在所述第二表格中的位置记录在所述分配的表项中，并用指针从所述哈希值对应的表项指向所述分配的表项。