CN105429936A - 专网路由器内存储资源恶意占用抵御方法及装置 - Google Patents

Abstract

本发明公开了一种专网路由器内存储资源恶意占用抵御方法及装置，属于网络安全领域。所述方法包括：接收用于请求专网服务的访问请求包；计算对具有该服务标识的专网服务进行访问的访问频率的变化率；当该访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有该服务标识的专网服务反馈的数据包进行存储。本发明解决了相关技术中当非法终端在短时间内集中请求大量不流行的数据包时，节点路由器中存储了越来越多的不流行的数据包，而删除了流行的数据包的问题；达到了可以有效避免移动网络遭到非法终端的网络攻击时，专网路由器存储了越来越多的不流行的数据包，而造成所缓存的数据包流行度被破坏的效果。

Description

专网路由器内存储资源恶意占用抵御方法及装置

技术领域

本发明涉及网络安全领域，特别涉及一种专网路由器内存储资源恶意占用抵御方法及装置。

背景技术

一体化标识网络将网络分为接入网与骨干网，引入了接入网标识(AccessIdentifier，AID)与路由标识(RoutingIdentifier，RID)，从根本上解决了互联网协议地址(InternetProtocolAddress，IP)双重属性的问题，且能很好的与现有的互联网与网络架构进行融合。

LTE(LongTermEvolution，长期演进)网络架构是基于IP的回程，随着越来越多的基于IP的通信进入移动基础设施，LTE网络架构也变得更易受到来自互联网的攻击。而一体化标识网络中提出了基础设施层和普适服务层分离的概念，这种分层使得在一体化标识网络内部通信时不再基于IP，因此为了降低因基于IP导致的攻击，可以将LTE网络与一体化标识网络进行融合。

其中，普适服务层负责各种业务的会话、控制和管理，这些业务包括由运营商或第三方增值服务商提供的各种网络业务，主要是语音、数据、流媒体等。普适服务层创建了虚拟服务部分、虚拟连接部分、服务标识解析映射以及连接标识解析映射，以实现对各种业务的统一控制和管理等。虚拟服务部分引入服务标识(英文：ServiceIdentification，简称：SID)来描述和表示多种业务的服务；虚拟连接部分为每个业务提供多种连接；服务标识解析映射将服务对象映射到多个服务连接，以支持多种业务；连接标识解析映射将服务连接映射到基础设施层的多个连接，体现了一次服务可对应多个连接、多种路径选择的思想，从而使服务的实现更加可靠。

一体化标识网络中每个节点路由器都包含内容存储器用来缓存数据包，而每个节点路由器的存储空间是有限的，当缓存的数据包达到节点路由器的存储空间所能承受的最大值时，若节点路由器继续接收到新的数据包，就需要丢弃旧的数据包，以保证节点路由器的存储空间不被占满，降低内容请求失败的概率。针对一体化标识网络的基于节点缓存的通信过程，非法终端开始采用一些新型的攻击手段，主要破坏节点路由器、链路带宽及内容源，如请求不流行的数据包，让流行的数据包不能高效返回，破坏节点路由器中数据包流行度。

为了避免非法终端对服务的攻击，相关技术中采用的方式是采用单一的缓存置换策略来平衡大部分情况内容内网络各节点路由器中的存储。但此策略对内容请求流行度的适应性较差，当非法终端在短时间内集中请求大量不流行的数据包时，若仍采用上述单一方式的置换策略，将出现的问题则是，节点路由器中存储了越来越多的不流行的数据包，而删除了流行的数据包。此时，当合法终端进行正常请求时，因原节点路由器不再能向其提供服务，该合法终端不得不向更远的节点路由器请求数据，因而大大降低了合法终端的请求效率。

发明内容

为了解决现有技术中当非法终端在短时间内集中请求大量不流行的数据包时，节点路由器中存储了越来越多的不流行的数据包，而删除了流行的数据包的问题，本发明实施例提供了一种专网路由器内存储资源恶意占用抵御方法及装置。所述技术方案如下：

第一方面，提供了一种专网路由器内存储资源恶意占用抵御方法，应用于位于一体化标识网络中的专网路由器中，所述方法包括：

接收用于请求专网服务的访问请求包，每个访问请求包的包头中至少携带所请求访问的专网服务的服务标识；

计算对具有所述服务标识的专网服务进行访问的访问频率的变化率；

当所述访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储。

可选的，所述计算对具有所述服务标识的专网服务进行访问的访问频率的变化率，包括：

获取最后两次统计得到的对具有所述服务标识的专网服务进行访问的访问频率；

将在后统计得到的访问频率减去在前统计得到的访问频率；

将得到的差值除以所述在前统计得到的访问频率，得到对具有所述服务标识的专网服务进行访问的所述访问频率的变化率。

可选的，所述按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储，包括：

按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

按照确定出的与所述访问频率的变化率对应的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

可选的，所述按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储，包括：

按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

向与所述专网路由器相邻的路由器发送询问请求，所述询问请求用于触发所述相邻的路由器反馈与所述服务标识对应的访问频率的变化率；

接收所述相邻的路由器反馈的与所述服务标识对应的访问频率的变化率；

当所述相邻的路由器反馈的所述访问频率的变化率大于所述预定变化率阈值时，减小确定出的与所述访问频率的变化率对应的存储概率；

按照减小后得到的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

可选的，所述方法还包括：

存储对每个服务标识所对应的专网服务进行访问的访问频率表，所述访问频率表中包括至少一组对应关系，每组对应关系中至少包括请求访问的专网服务的服务标识、所述专网路由器在最后一次统计时长内统计到的请求访问所述专网服务的访问频率和所述专网服务所对应的访问频率的变化率。

可选的，所述方法还包括：

确定出访问频率的变化率大于所述预定变化率阈值的服务标识；

向接入网络中的基站发送所述服务标识，所述服务标识用于触发所述基站过滤掉对请求向具有所述服务标识的专网服务进行访问的访问请求。

第二方面，提供了一种专网路由器内存储资源恶意占用抵御装置，应用于位于一体化标识网络中的专网路由器中，所述装置包括：

接收模块，用于接收用于请求专网服务的访问请求包，每个访问请求包的包头中至少携带所请求访问的专网服务的服务标识；

计算模块，用于计算对具有所述服务标识的专网服务进行访问的访问频率的变化率；

第一存储模块，用于在所述计算模块计算得到所述访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储。

可选的，所述计算模块，包括：

获取单元，用于获取最后两次统计得到的对具有所述服务标识的专网服务进行访问的访问频率；

第一计算单元，用于将所述获取单元获取的在后统计得到的访问频率减去在前统计得到的访问频率；

第二计算单元，用于将所述第一计算单元计算得到的差值除以所述在前统计得到的访问频率，得到对具有所述服务标识的专网服务进行访问的所述访问频率的变化率。

可选的，所述第一存储模块，包括：

第一确定单元，用于按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

第一存储单元，用于按照确定出的与所述访问频率的变化率对应的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

可选的，所述第一存储模块，包括：

第二确定单元，用于按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

发送单元，用于向与所述专网路由器相邻的路由器发送询问请求，所述询问请求用于触发所述相邻的路由器反馈与所述服务标识对应的访问频率的变化率；

接收单元，用于接收所述相邻的路由器反馈的与所述服务标识对应的访问频率的变化率；

第三计算单元，用于当所述接收单元接收到的所述相邻的路由器反馈的所述访问频率的变化率大于所述预定变化率阈值时，减小所述第二确定单元确定出的与所述访问频率的变化率对应的存储概率；

第二存储单元，用于按照所述第三计算单元减小后得到的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

可选的，所述装置还包括：

第二存储模块，用于存储对每个服务标识所对应的专网服务进行访问的访问频率表，所述访问频率表中包括至少一组对应关系，每组对应关系中至少包括请求访问的专网服务的服务标识、所述专网路由器在最后一次统计时长内统计到的请求访问所述专网服务的访问频率和所述专网服务所对应的访问频率的变化率。

可选的，所述装置还包括：

确定模块，用于确定出访问频率的变化率大于所述预定变化率阈值的服务标识；

发送模块，用于向接入网络中的基站发送所述服务标识，所述服务标识用于触发所述基站过滤掉对请求向具有所述服务标识的专网服务进行访问的访问请求。

本发明实施例提供的技术方案带来的有益效果是：

通过在专网路由器中计算请求访问同一个专网服务的访问频率的变化率，在访问频率的变化率过高时，减少对该专网服务所对应数据包的存储；当专网服务的访问频率的变化率过高，通常意味着存在大量针对不流行的专网服务进行的访问请求，而针对这些访问请求反馈的数据包会替换专网路由器中流行的数据包，因此首先需要减少这些不流行的专网服务反馈的数据包的存储，以避免过多不流行的数据包对专网路由器中已缓存的数据包的流行度进行破坏，因此解决了相关技术中当非法终端在短时间内集中请求大量不流行的数据包时，节点路由器中存储了越来越多的不流行的数据包，而删除了流行的数据包的问题；达到了可以有效避免移动网络遭到非法终端的网络攻击时，专网路由器存储了越来越多的不流行的数据包，而造成所缓存的数据包流行度被破坏的效果。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一个实施例中提供的专网路由器内存储资源恶意占用抵御方法所涉及的网络架构图；

图2是本发明一个实施例中提供的专网路由器内存储资源恶意占用抵御方法的方法流程图；

图3A是本发明另一个实施例中提供的专网路由器内存储资源恶意占用抵御方法的方法流程图；

图3B是本发明一个实施例中提供的专网路由器在计算对具有该服务标识的专网服务进行访问的访问频率的变化率时的方法流程图；

图3C是本发明一个实施例中提供的专网路由器对具有该服务标识的专网服务反馈的数据包进行存储时的方法流程图；

图3D是本发明另一个实施例中提供的专网路由器对具有该服务标识的专网服务反馈的数据包进行存储时的方法流程图；

图4A是本发明一个实施例中提供的在融合网络中实现专网路由器内存储资源恶意占用抵御方法的方法流程图；

图4B是本发明另一个实施例中提供的在融合网络中实现专网路由器内存储资源恶意占用抵御方法的方法流程图；

图5是本发明一个实施例中提供的专网路由器内存储资源恶意占用抵御装置的结构方框图；

图6是本发明另一个实施例中提供的专网路由器内存储资源恶意占用抵御装置的结构方框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

图1是本发明一个实施例中提供的专网路由器内存储资源恶意占用抵御生成方法所涉及的网络架构图。该网络架构包括接入网络110和一体化标识网络120。

这里所讲的接入网络110可以为LTE网络。

接入网络110中包括至少一个用户所持有的终端111，这里所讲的终端111可以包括智能手机，具有移动通讯功能的平板电脑、多媒体播放器或可穿戴式设备等。

接入网络110中还包括基站112、移动管理实体(英文：MobilityManagementEntity，简称：MME)113、服务网关(英文：ServingGateWay，简称：SGW)114、SID解析服务器115。

基站112用于连接终端111，终端111可以向MME113请求PDN(PublicDataNetwork，公用数据网)连接请求，MME113用于对终端111上登录的用户进行身份认证，并向基站112发送对终端111进行的相关策略。

SGW114用于通过路由转发终端111发送的访问数据包。

SID解析服务器115为终端111发送的访问数据包中的SID配置相关的AID，以便访问数据包在LTE网络中正确传输。

一体化标识网络120中包括专网路由器121、专网服务器122和映射服务器123。

专网路由器121与其他专网路由器或者专网服务器122进行连接。

此外，在上述网络架构中，还包括用于连接接入网络110和一体化标识网络120的移动专网安全网关130，该移动专网安全网关130可以为PGW(PDNGateWay，PDN网关)或者路由器。

移动专网安全网关130可以通过映射服务器123为接入网络110中的外网标识AID配置可供在一体化标识网络120中识别的内网标识RID。

下面各个实施例中均以应用于图1所示的网络架构中进行举例说明。

图2是本发明一个实施例中提供的专网路由器内存储资源恶意占用抵御方法的方法流程图，该专网路由器内存储资源恶意占用抵御方法应用于图1所示的网络架构中的专网路由器121中。该专网路由器内存储资源恶意占用抵御方法包括如下步骤：

步骤201，接收用于请求专网服务的访问请求包，每个访问请求包的包头中至少携带所请求访问的专网服务的服务标识。

步骤202，计算对具有该服务标识的专网服务进行访问的访问频率的变化率。

步骤203，当该访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有该服务标识的专网服务反馈的数据包进行存储。

综上所述，本发明实施例中提供的专网路由器内存储资源恶意占用抵御方法，通过在专网路由器中计算请求访问同一个专网服务的访问频率的变化率，在访问频率的变化率过高时，减少对该专网服务所对应数据包的存储；当专网服务的访问频率的变化率过高，通常意味着存在大量针对不流行的专网服务进行的访问请求，而针对这些访问请求反馈的数据包会替换专网路由器中流行的数据包，因此首先需要减少这些不流行的专网服务反馈的数据包的存储，以避免过多不流行的数据包对专网路由器中已缓存的数据包的流行度进行破坏，因此解决了相关技术中当非法终端在短时间内集中请求大量不流行的数据包时，节点路由器中存储了越来越多的不流行的数据包，而删除了流行的数据包的问题；达到了可以有效避免移动网络遭到非法终端的网络攻击时，专网路由器存储了越来越多的不流行的数据包，而造成所缓存的数据包流行度被破坏的效果。

图3是本发明另一个实施例中提供的专网路由器内存储资源恶意占用抵御方法的方法流程图，该专网路由器内存储资源恶意占用抵御方法应用于图1所示的网络架构中的专网路由器121中。该专网路由器内存储资源恶意占用抵御方法包括如下步骤：

步骤301，接收用于请求专网服务的访问请求包，每个访问请求包的包头中至少携带所请求访问的专网服务的服务标识。

在基于专网服务的访问时，终端会发送用于请求专网服务的访问请求包。

可选的，该访问请求包的包头中还可以携带终端的终端标识。这里所讲的终端标识可以为用于唯一标识终端的标识，比如终端所具有的IMSI码(InternationalMobileSubscriberIdentificationNumber，国际移动用户识别码)。当用户通过终端进行访问时，该终端标识还可以为进行访问的用户的标识UID(全称：UserIdentification)。

可选的，该访问请求包中还可以携带在内网传送所需的RID。

步骤302，计算对具有该服务标识的专网服务进行访问的访问频率的变化率。

这里所讲的访问频率的变化率是指相邻两次对具有该服务标识的专网服务进行访问的访问频率之间的变化参数，访问频率的变化率可以有效体现出具有该服务标识的专网服务的被请求访问的频率变化程度。

这里所讲的访问频率是指1秒内的访问次数。

请参见图3B所示，专网路由器在计算对具有该服务标识的专网服务进行访问的访问频率的变化率时，包括：

步骤302a，获取最后两次统计得到的对具有该服务标识的专网服务进行访问的访问频率。

获取最后两次统计得到的对具有该服务标识的专网服务进行访问的访问频率，即获取最新两次统计得到的对具有该服务标识的专网服务进行访问的访问频率。由于专网服务的访问频率是不断变化的，该专网服务的访问频率越新越能体现该专网服务近期的被访问的次数。

步骤302b，将在后统计得到的访问频率减去在前统计得到的访问频率。

在后统计得到的访问频率即最后两次统计中的最后一次统计得到的访问频率，在前统计得到的访问频率即最后两次统计中的倒数第二次统计得到的访问频率。

步骤302c，将得到的差值除以该在前统计得到的访问频率，得到对具有该服务标识的专网服务进行访问的该访问频率的变化率。

比如，在前1秒内的访问频率为150次/s，在后1秒内访问频率为180次/s，根据步骤301b和步骤302c得到(180-150)/150＝0.6，即该服务标识的专网服务进行访问的该访问频率的变化率为0.6。

步骤303，当该访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有该服务标识的专网服务反馈的数据包进行存储。

这里所讲的预定变化率阈值是具有该服务标识的专网服务的被请求访问的频率变化程度的界限值，当具有该服务标识的专网服务的访问频率的变化率小于预定变化率阈值时，说明具有该服务标识的专网服务的请求访问的频率变化相对稳定，当具有该服务标识的专网服务的访问频率的变化率大于预定变化率阈值时，说明具有该服务标识的专网服务的被请求访问的频率变化十分剧烈。

而当某一专网服务的请求访问的频率变化剧烈时，表明当前网络可能存在着泛洪攻击，为了防止节点路由器中存储过多这些请求访问的频率变化剧烈的专网服务反馈的数据包，造成专网路由器中存储空间溢出，当该访问频率的变化率大于预定变化率阈值时，专网路由将按照得到的存储概率对具有该服务标识的专网服务反馈的数据包进行存储，这里所说的存储概率小于1，也就是说，专网路由器只存储部分请求访问的频率变化剧烈的专网服务反馈的数据包。

在一种可能的实现方式中，访问频率的变化率与存储概率存在着对应关系，专网路由器可以根据访问频率的变化率的高低，来调整与该访问频率的变化率对应的存储概率。

请参见图3C所示，专网路由器按照得到的存储概率对具有该服务标识的专网服务反馈的数据包进行存储，包括：

步骤303a1，按照该访问频率的变化率与存储概率的对应关系，确定与该访问频率的变化率对应的存储概率，该存储概率与该访问频率的变化率成负向相关性。

这里所讲的负向相关性可以为线性相关或非线性相关，访问频率的变化率越高，存储概率越低。

比如，设预定变化率阈值为1.5，某一专网服务的访问频率的变化率与存储概率的对应关系的公式为y＝1/x，y表示该专网服务的访问频率的变化率，x表示该专网服务反馈的数据包的存储概率。当该专网服务的访问频率的变化率为1.6时，由于该访问频率的变化率大于预定变化率阈值(1.6>1.5)，该专网服务反馈的数据包按照存储概率进行存储，由该专网服务的访问频率的变化率与存储概率的对应关系的公式得出，该专网服务反馈的数据包的存储概率为0.625(1/1.6)，即专网路由器会按照0.625的存储概率存储该专网服务反馈的数据包。

步骤303a2，按照确定出的与该访问频率的变化率对应的存储概率，对具有该服务标识的专网服务反馈的数据包进行存储。

当专网服务反馈的数据包的存储概率为0.6时，说明在专网路由器所接收到的10个具有该服务标识的专网服务反馈的数据包中，该专网路由器只存储6个数据包。

在另一种可能的实现方式中，当专网路由器可以向相邻节的路由器询问与服务标识对应的访问频率的变化率，并根据相邻的路由器所反馈的该服务标识对应的访问频率的变化率的高低，来调整与该访问频率的变化率对应的存储概率。

在实际实现时，专网路由器可以存储对每个服务标识所对应的专网服务进行访问的访问频率表，该访问频率表中包括至少一组对应关系，每组对应关系中至少包括请求访问的专网服务的服务标识、该专网路由器在最后一次统计时长内统计到的请求访问该专网服务的访问频率和该专网服务所对应的访问频率的变化率。

这里与对应关系对应的计数值用于指示接收到的具有该服务标识的访问请求包的数量。

也就是说，每当接收携带相同服务标识的访问请求包后，与保护请求访问的专网服务的服务标识、该专网路由器在最后一次统计时长内统计到的请求访问该专网服务的访问频率和该专网服务所对应的访问频率的变化率的对应关系的计数值就会被累加。

若该专网路由器已经存储有包含请求访问的专网服务的服务标识、该专网路由器在最后一次统计时长内统计到的请求访问该专网服务的访问频率和该专网服务所对应的访问频率的变化率的对应关系，表明接收过具有该服务标识的专网服务的访问请求包，此时，则将与该对应关系对应的计数值累加。

可选的，专网路由器可以将各个对应关系存储至SID状态表中，该SID状态表包括至少一组对应关系，每组对应关系至少包括请求访问的专网服务的服务标识、该专网路由器在最后一次统计时长内统计到的请求访问该专网服务的访问频率和该专网服务所对应的访问频率的变化率，可选的，对应关系还可以包括RID。

SID状态表存储格式如下表1：

表1

在累加计数值之后，记录下累加该对应关系所对应的计数值时的时刻，该时刻称为记录时刻。

在一种可能的实现场景中，为了避免专网路由器中用于存储上述对应关系的访问频率表溢出，需要定时清除存储的部分对应关系。在实际实现时，可以每隔预定时间间隔，清除访问频率的变化率低于预定阈值的对应关系，或者，清除预定个对应关系，被清除的这些预定个对应关系的访问频率的变化率低于未被清除的对应关系的访问频率的变化率。

由于访问频率的变化率较低时，表明访问的专网服务存在攻击的可能性比较小，相对安全，因此在清除对应关系时，可以将访问频率的变化率较低的对应关系进行清除。

请参见图3D所示，专网路由器按照得到的存储概率对具有该服务标识的专网服务反馈的数据包进行存储，包括：

步骤303b1，按照该访问频率的变化率与存储概率的对应关系，确定与该访问频率的变化率对应的存储概率，该存储概率与该访问频率的变化率成负向相关性。

由于步骤303b1与步骤303a1类似，具体请参见对步骤303a1的说明，这里不再赘述说明。

步骤303b2，向与该专网路由器相邻的路由器发送询问请求，该询问请求用于触发该相邻的路由器反馈与该服务标识对应的访问频率的变化率。

专网路由器通过向相邻的路由器广播询问请求，该询问请求中至少包括该专网路由器所接收到的访问请求包中所请求访问的专网服务的SID。当相邻的路由器接收到该询问请求后会查询并向专网路由器反馈与该服务标识对应的访问频率的变化率。

步骤303b3，接收该相邻的路由器反馈的与该服务标识对应的访问频率的变化率。

步骤303b4，当该相邻的路由器反馈的该访问频率的变化率大于该预定变化率阈值时，减小确定出的与该访问频率的变化率对应的存储概率。

这里所讲的减小确定出的与该访问频率的变化率对应的存储概率的方式有多种，可以是按预定的计算公式减少，也可以是按访问频率的变化率小于预定变化率阈值时的存储概率按一定倍率减少，本实施例对减小确定出的与该访问频率的变化率对应的存储概率的具体方式不做限定。

步骤303b5，按照减小后得到的存储概率，对具有该服务标识的专网服务反馈的数据包进行存储。

由于步骤303b5与步骤303a2类似，具体请参见对步骤303a2的说明，这里不再赘述说明。

步骤304，确定出访问频率的变化率大于该预定变化率阈值的服务标识。

步骤305，向接入网络中的基站发送该服务标识，该服务标识用于触发该基站过滤掉对请求向具有该服务标识的专网服务进行访问的访问请求。

当某一访问请求的访问频率的变化率大于预定变化率阈值时，专网路由器可以从该访问请求包中提取出该访问请求包服务标识，将该服务标识发送至该专网路由器所接入网络中的基站，由该基站过滤掉对请求向具有该服务标识的专网服务进行访问的访问请求。

综上所述，本发明实施例中提供的专网路由器内存储资源恶意占用抵御方法，通过在专网路由器中计算请求访问同一个专网服务的访问频率的变化率，在访问频率的变化率过高时，减少对该专网服务所对应数据包的存储；当专网服务的访问频率的变化率过高，通常意味着存在大量针对不流行的专网服务进行的访问请求，而针对这些访问请求反馈的数据包会替换专网路由器中流行的数据包，因此首先需要减少这些不流行的专网服务反馈的数据包的存储，以避免过多不流行的数据包对专网路由器中已缓存的数据包的流行度进行破坏，因此解决了相关技术中当非法终端在短时间内集中请求大量不流行的数据包时，节点路由器中存储了越来越多的不流行的数据包，而删除了流行的数据包的问题；达到了可以有效避免移动网络遭到非法终端的网络攻击时，专网路由器存储了越来越多的不流行的数据包，而造成所缓存的数据包流行度被破坏的效果。

基于服务请求的通信方式不同传统基于地址的通信方式：首先终端发出的访问请求包格式不同，访问请求包中所包含的字段主要包括SID、终端标识及其他各项；其次通信流程存在差异，用户发出的基于服务请求的访问请求包，需要先经过SID解析服务器，来解析访问请求包中的SID字段，并将SID对应的AID或AID组合返回给终端，然后终端再用对应的AID请求通信。第三，当访问请求包传输到移动专网安全网关时，访问请求包中的AID字段将被替换成RID，该RID由映射服务器为相应的AID分配。下图4A详细描述了基于服务请求的通信流程。

图4A是本发明一个实施例中提供的在融合网络中实现专网路由器内存储资源恶意占用抵御方法的方法流程图。在融合网络中实现专网路由器内存储资源恶意占用抵御方法包括如下步骤：

在步骤401中，终端向MME发送PDN连接请求。

在步骤402中，MME向SGW发送会话请求。

在步骤403中，SGW向移动专网安全网关发送创建会话请求。

在步骤404中，移动专网安全网关向映射服务器发送请求映射关系。

在步骤405中，映射服务器向移动专网安全网关分配映射关系。

在步骤406中，移动专网安全网关向SGW发送创建会话响应。

在步骤407中，SGW向MME发送创建会话响应。

在步骤408中，MME向基站发送承载PDN连接请求。

在步骤409中，基站向终端发送无线资源控制连接重配置。

这里所讲的无线资源控制为RRC(英文RadioResourceControl)。

在步骤410中，终端向SID解析服务器发送SID解析请求。

在步骤411中，SID解析服务器向终端反馈SID解析请求响应。

SID解析服务器中会存储有SID和AID之间的对应关系，SID解析服务器在向终端反馈SID解析请求响应中会携带该SID对应的AID，以便于终端通过AID在接入网以及一体化网络中进行访问。

上述步骤401至步骤411是终端请求访问专网服务时的认证过程，是本领域普通技术人员都能够实现的，本实施例对各个步骤的具体实现不再详述。

为了避免终端发送在同一时间发送大量不流行的SID的访问请求包，在步骤411后，对终端请求访问专网服务的访问请求包进行解析，判定该终端是否存在大量不流行的SID的访问请求包，具体步骤可以参见对下图4B的描述。

图4B是本发明另一个实施例中提供的在融合网络中实现专网路由器内存储资源恶意占用抵御方法的方法流程图。在融合网络中实现专网路由器内存储资源恶意占用抵御方法包括如下步骤：

在步骤412中，终端向SGW发送请求SID服务的访问请求包。

该访问请求包中会携带请求访问的专网服务的SID以及步骤411中查询到的AID。

在步骤413中，SGW向移动专网安全网关转发访问请求包。

在步骤414中，移动专网安全网关将该访问请求包转发至SID服务器。

由于移动专网安全网关是连接接入网络和一体化网络的网关，为了能保证访问请求包可以在一体化网络中传输，需要将访问请求包中携带的AID替换为为其分配的RID。

在步骤415中，专网路由器记录SID请求，在终端大量异常请求时，专网路由器确定该SID服务的访问频率的变化率是否达到预定变化率阈值。

专网路由器根据从SGW接收到的访问请求包，记录SID请求的相关信息，也即记录上述实施例中讲述的对应关系中的各个信息。

在步骤416中，专网路由器在确定该SID服务的访问频率的变化率达到预定变化率阈值后，向移动专网安全网关发送异常SID信息，同时启动防御缓存机制。

上述SID请求的相关信息的存储格式可以参加下表2：

表2

表3中，SID为用户请求的服务标识；RID为请求该服务的用户的内网标识；Freq为1s内该SID被请求的平均速率；Freqvar为SID访问频率变化率(根据当前的Freq和前1s的Freq值计算)，每1s中计算并更新一次。

在步骤417中，专网路由器向相邻路由器询问该SID服务的访问频率的变化率。

专网路由器向相邻路由器询问SID的访问频率的变化率的消息格式中至少携带SID标识，该SID为被异常访问的专网服务的服务标识。

正常情况下，专网路由器向相邻路由器询问SID的访问频率的变化率的消息每5秒广播一次，当出现异常情况时，专网路由器主动向相邻路由器发送请求，每1秒中发送一次，连续发送10次。

在步骤418中，相邻路由器向专网路由器反馈该SID服务的访问频率的变化率。

相邻路由器向专网路由器反馈SID的访问频率的变化率的消息格式可以参加下表3：

SID

Freq var self

Date

Option

表3

表3中，SID为被异常访问的专网服务的服务标识；Freqvarself为相邻路由器向专网路由器反馈的该SID请求的访问频率的变化率，该数值取自表2中的Freqvar值，即根据当前的Freq和前1秒的Freq值计算，每1秒中计算并更新一次；Date为相邻路由器反馈该SID的访问频率的变化率的时刻；Option为可选项。

在步骤419中，专网路由器根据相邻路由器反馈的该SID服务的访问频率的变化率计算存储概率。

在步骤420中，专网路由器在确定相邻路由器反馈的该SID服务的访问频率的变化率达到预定变化率阈值后，向移动专网安全网关发送异常SID信息，同时启动报警回传机制。

在步骤421中，移动专网安全网关将异常SID所属的RID映射到AID，并向SGW发送异常SID信息。

该异常SID信息中携带AID。

在步骤422中，SGW向MME返回该异常SID信息。

在步骤423中，MME限制该SID接入速率，向基站发送限制信息。

在步骤424中，基站限制终端请求该SID服务的速度。

通过步骤414至步骤424实现了对请求SID服务的异常监控，并在确定请求SID服务异常时，限制终端访问该SID服务的速度。

下面为本发明中的装置实施例，对于装置实施例中未详尽描述的细节，可以结合参考上述一一对应的方法实施例。

图5是本发明一个实施例中提供的专网路由器内存储资源恶意占用抵御装置的结构方框图，该专网路由器内存储资源恶意占用抵御装置应用于图1所示的网络架构中的专网路由器121中。该专网路由器内存储资源恶意占用抵御包括：接收模块510、计算模块520和第一存储模块530。

接收模块510，用于接收用于请求专网服务的访问请求包，每个访问请求包的包头中至少携带所请求访问的专网服务的服务标识。

计算模块520，用于计算对具有该服务标识的专网服务进行访问的访问频率的变化率。

第一存储模块530，用于在该计算模块520计算得到该访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有该服务标识的专网服务反馈的数据包进行存储。

在一种可能的实现方式中，请参见图6所示，其是本发明另一个实施例中提供的专网路由器内存储资源恶意占用抵御装置的结构方框图，在图6中，计算模块520，包括：获取单元521、第一计算单元522和第二计算单元523。

获取单元521，用于获取最后两次统计得到的对具有该服务标识的专网服务进行访问的访问频率。

第一计算单元522，用于将该获取单元521获取的在后统计得到的访问频率减去在前统计得到的访问频率。

第二计算单元523，用于将该第一计算单元522计算得到的差值除以该在前统计得到的访问频率，得到对具有该服务标识的专网服务进行访问的该访问频率的变化率。

在一种可能的实现方式中，仍旧参见图6所示，该第一存储模块530，包括：第一确定单元531和第一存储单元532。

第一确定单元531，用于按照该访问频率的变化率与存储概率的对应关系，确定与该访问频率的变化率对应的存储概率，该存储概率与该访问频率的变化率成负向相关性。

第一存储单元532，用于按照第一确定单元531确定出的与该访问频率的变化率对应的存储概率，对具有该服务标识的专网服务反馈的数据包进行存储。

在一种可能的实现方式中，仍旧参见图6所示，该第一存储模块530，包括：第二确定单元533、发送单元534、接收单元535、第三计算单元536和第二存储单元537。

第二确定单元533，用于按照该访问频率的变化率与存储概率的对应关系，确定与该访问频率的变化率对应的存储概率，该存储概率与该访问频率的变化率成负向相关性。

发送单元534，用于向与该专网路由器相邻的路由器发送询问请求，该询问请求用于触发该相邻的路由器反馈与该服务标识对应的访问频率的变化率。

接收单元535，用于接收该相邻的路由器反馈的与该服务标识对应的访问频率的变化率。

第三计算单元536，用于当该接收单元535接收到的该相邻的路由器反馈的该访问频率的变化率大于该预定变化率阈值时，减小该第二确定单元533确定出的与该访问频率的变化率对应的存储概率。

第二存储单元537，用于按照该第三计算单元减小后得到的存储概率，对具有该服务标识的专网服务反馈的数据包进行存储。

在一种可能的实现方式中，仍旧参见图6所示，该专网路由器内存储资源恶意占用抵御装置还包括：第二存储模块540。

第二存储模块540，用于存储对每个服务标识所对应的专网服务进行访问的访问频率表，该访问频率表中包括至少一组对应关系，每组对应关系中至少包括请求访问的专网服务的服务标识、该专网路由器在最后一次统计时长内统计到的请求访问该专网服务的访问频率和该专网服务所对应的访问频率的变化率。

在一种可能的实现方式中，仍旧参见图6所示，该专网路由器内存储资源恶意占用抵御装置还包括：确定模块550和发送模块560。

确定模块550，用于确定出访问频率的变化率大于该预定变化率阈值的服务标识。

发送模块560，用于向接入网络中的基站发送该服务标识，该服务标识用于触发该基站过滤掉对请求向具有该服务标识的专网服务进行访问的访问请求。

综上所述，本发明实施例中提供的专网路由器内存储资源恶意占用抵御装置，通过在专网路由器中计算请求访问同一个专网服务的访问频率的变化率，在访问频率的变化率过高时，减少对该专网服务所对应数据包的存储；当专网服务的访问频率的变化率过高，通常意味着存在大量针对不流行的专网服务进行的访问请求，而针对这些访问请求反馈的数据包会替换专网路由器中流行的数据包，因此首先需要减少这些不流行的专网服务反馈的数据包的存储，以避免过多不流行的数据包对专网路由器中已缓存的数据包的流行度进行破坏，因此解决了相关技术中当非法终端在短时间内集中请求大量不流行的数据包时，节点路由器中存储了越来越多的不流行的数据包，而删除了流行的数据包的问题；达到了可以有效避免移动网络遭到非法终端的网络攻击时，专网路由器存储了越来越多的不流行的数据包，而造成所缓存的数据包流行度被破坏的效果。

需要说明的是：上述实施例中提供的专网路由器内存储资源恶意占用抵御装置在存储数据包时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将专网路由器的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的专网路由器内存储资源恶意占用抵御装置与专网路由器内存储资源恶意占用抵御方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种专网路由器内存储资源恶意占用抵御方法，其特征在于，应用于位于一体化标识网络中的专网路由器中，所述方法包括：

接收用于请求专网服务的访问请求包，每个访问请求包的包头中至少携带所请求访问的专网服务的服务标识；

计算对具有所述服务标识的专网服务进行访问的访问频率的变化率；

当所述访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储。

2.根据权利要求1所述的方法，其特征在于，所述计算对具有所述服务标识的专网服务进行访问的访问频率的变化率，包括：

获取最后两次统计得到的对具有所述服务标识的专网服务进行访问的访问频率；

将在后统计得到的访问频率减去在前统计得到的访问频率；

将得到的差值除以所述在前统计得到的访问频率，得到对具有所述服务标识的专网服务进行访问的所述访问频率的变化率。

3.根据权利要求1所述的方法，其特征在于，所述按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储，包括：

按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

按照确定出的与所述访问频率的变化率对应的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

4.根据权利要求1所述的方法，其特征在于，所述按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储，包括：

按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

向与所述专网路由器相邻的路由器发送询问请求，所述询问请求用于触发所述相邻的路由器反馈与所述服务标识对应的访问频率的变化率；

接收所述相邻的路由器反馈的与所述服务标识对应的访问频率的变化率；

当所述相邻的路由器反馈的所述访问频率的变化率大于所述预定变化率阈值时，减小确定出的与所述访问频率的变化率对应的存储概率；

按照减小后得到的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

5.根据权利要求1至4中任一所述的方法，其特征在于，所述方法还包括：

存储对每个服务标识所对应的专网服务进行访问的访问频率表，所述访问频率表中包括至少一组对应关系，每组对应关系中至少包括请求访问的专网服务的服务标识、所述专网路由器在最后一次统计时长内统计到的请求访问所述专网服务的访问频率和所述专网服务所对应的访问频率的变化率。

6.根据权利要求1至4中任一所述的方法，其特征在于，所述方法还包括：

确定出访问频率的变化率大于所述预定变化率阈值的服务标识；

向接入网络中的基站发送所述服务标识，所述服务标识用于触发所述基站过滤掉对请求向具有所述服务标识的专网服务进行访问的访问请求。

7.一种专网路由器内存储资源恶意占用抵御装置，其特征在于，应用于位于一体化标识网络中的专网路由器中，所述装置包括：

接收模块，用于接收用于请求专网服务的访问请求包，每个访问请求包的包头中至少携带所请求访问的专网服务的服务标识；

计算模块，用于计算对具有所述服务标识的专网服务进行访问的访问频率的变化率；

第一存储模块，用于在所述计算模块计算得到所述访问频率的变化率大于预定变化率阈值时，按照得到的存储概率对具有所述服务标识的专网服务反馈的数据包进行存储。

8.根据权利要求7所述的装置，其特征在于，所述计算模块，包括：

获取单元，用于获取最后两次统计得到的对具有所述服务标识的专网服务进行访问的访问频率；

第一计算单元，用于将所述获取单元获取的在后统计得到的访问频率减去在前统计得到的访问频率；

第二计算单元，用于将所述第一计算单元计算得到的差值除以所述在前统计得到的访问频率，得到对具有所述服务标识的专网服务进行访问的所述访问频率的变化率。

9.根据权利要求7所述的装置，其特征在于，所述第一存储模块，包括：

第一确定单元，用于按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

第一存储单元，用于按照确定出的与所述访问频率的变化率对应的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

10.根据权利要求7所述的装置，其特征在于，所述第一存储模块，包括：

第二确定单元，用于按照所述访问频率的变化率与存储概率的对应关系，确定与所述访问频率的变化率对应的存储概率，所述存储概率与所述访问频率的变化率成负向相关性；

发送单元，用于向与所述专网路由器相邻的路由器发送询问请求，所述询问请求用于触发所述相邻的路由器反馈与所述服务标识对应的访问频率的变化率；

接收单元，用于接收所述相邻的路由器反馈的与所述服务标识对应的访问频率的变化率；

第三计算单元，用于当所述接收单元接收到的所述相邻的路由器反馈的所述访问频率的变化率大于所述预定变化率阈值时，减小所述第二确定单元确定出的与所述访问频率的变化率对应的存储概率；

第二存储单元，用于按照所述第三计算单元减小后得到的存储概率，对具有所述服务标识的专网服务反馈的数据包进行存储。

11.根据权利要求7至10中任一所述的装置，其特征在于，所述装置还包括：

第二存储模块，用于存储对每个服务标识所对应的专网服务进行访问的访问频率表，所述访问频率表中包括至少一组对应关系，每组对应关系中至少包括请求访问的专网服务的服务标识、所述专网路由器在最后一次统计时长内统计到的请求访问所述专网服务的访问频率和所述专网服务所对应的访问频率的变化率。

12.根据权利要求7至10中任一所述的装置，其特征在于，所述装置还包括：

确定模块，用于确定出访问频率的变化率大于所述预定变化率阈值的服务标识；

发送模块，用于向接入网络中的基站发送所述服务标识，所述服务标识用于触发所述基站过滤掉对请求向具有所述服务标识的专网服务进行访问的访问请求。