CN105704097A - 一种防御攻击的方法及装置 - Google Patents

Abstract

本发明实施例提供一种防御攻击的方法及装置，涉及通信技术领域，实现了避免影响正常业务的攻击防御；本发明提供的方案包括：目的端设备接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，第一目的地址为目的端设备的地址，所述报文的源地址为源端设备的地址；若报文为攻击报文，目的端设备向源端设备发送暂停报文；其中，暂停报文包括攻击报文的报文类型以指示源端设备在第一预设时长内暂停向目的端设备发送协议类型为报文类型的报文；暂停报文的目的地址为第二目的地址，第二目的地址为源端设备的地址。本发明用于报文处理防御攻击。

Description

一种防御攻击的方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种防御攻击的方法及装置。

背景技术

当攻击源向某网络设备进行泛洪攻击时，攻击源向该网络设备发送大量的报文，占用该网络设备的中央处理器(英文：centralprocessingunit，简称CPU)资源与内存资源，使得该网络设备服务的其它用户的业务受到影响。

为防御泛洪攻击，网络设备判断该网络设备处理的报文是否为攻击报文；当网络设备确定该网络设备处理的某一报文为攻击报文时，该网络设备则将与攻击报文同类型的报文丢弃以保护网络设备。

若判断过程中正常报文被判断为攻击报文，则正常报文会被丢弃，影响正常业务。

发明内容

本发明的实施例提供一种防御攻击的方法及装置，实现了避免影响正常业务的攻击防御。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供一种防御攻击的方法，所述方法包括：

目的端设备接收源端设备发送的报文；其中，所述报文的目的地址为第一目的地址，所述第一目的地址为所述目的端设备的地址，所述报文的源地址为所述源端设备的地址；

若所述报文为攻击报文，所述目的端设备向所述源端设备发送暂停报文；其中，所述暂停报文包括所述攻击报文的报文类型以指示所述源端设备在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文；

所述暂停报文的目的地址为第二目的地址，所述第二目的地址为所述源端设备的地址。

结合第一方面，在第一方面的第一种可能的实现方式中，若所述报文为二层协议报文，所述源地址为源媒体访问控制(英文：mediaaccesscontrol，简称MAC)地址，所述第一目的地址为第一目的MAC地址；

若所述报文为三层协议报文，所述源地址为源互联网协议(英文：internetprotocol，简称IP)地址，所述第一目的地址为目的IP地址；所述暂停报文的目的MAC地址为与所述源IP地址对应的MAC地址。

结合第一方面或第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，在所述接收源端设备发送的报文之后，所述方法还包括：

统计在接收所述报文之前的第二预设时长内，接收到的所述第一目的地址为所述目的端设备的地址的协议类型为所述报文类型的报文的传输速率；

若所述传输速率大于或等于预设阈值，则确定所述报文为攻击报文。

第二方面，提供一种防御攻击的方法，所述方法包括：

源端设备接收目的端设备发送的暂停报文，所述暂停报文的目的地址为所述源端设备的地址；其中，所述暂停报文包括报文类型；

在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文。

结合第二方面，在第二方面的第一种可能的实现方式中，若所述报文类型指示二层协议报文，所述目的地址为第一目的MAC地址；

若所述报文类型指示三层协议报文，所述目的地址为目的IP地址。

第三方面，提供一种防御攻击的装置，包括于源端设备，所述装置包括：

接收单元，用于接收源端设备发送的报文；其中，所述报文的目的地址为第一目的地址，所述第一目的地址为所述目的端设备的地址，所述报文的源地址为所述源端设备的地址；

发送单元，用于若所述报文为攻击报文，向所述源端设备发送暂停报文；其中，所述暂停报文包括所述攻击报文的报文类型以指示所述源端设备在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文；

所述暂停报文的目的地址为第二目的地址，所述第二目的地址为所述源端设备的地址。

结合第三方面，在第三方面的第一种可能的实现方式中，

若所述报文为二层协议报文，所述源地址为源MAC地址，所述第一目的地址为第一目的MAC地址；

若所述报文为三层协议报文，所述源地址为源IP地址，所述第一目的地址为目的IP地址；所述暂停报文的目的MAC地址为与所述源IP地址对应的MAC地址。

结合第三方面或第三方面的第一种可能的实现方式，在第三方面的第二种可能的实现方式中，在所述接收源端设备发送的报文之后，所述装置还包括：

统计单元，用于统计在接收所述报文之前的第二预设时长内，接收到的所述第一目的地址为所述目的端设备的地址的协议类型为所述报文类型的报文的传输速率；

确定单元，用于若所述传输速率大于或等于预设阈值，则确定所述报文为攻击报文。

第四方面，提供一种防御攻击的装置，包括于源端设备，所述装置包括：

接收单元，用于接收目的端设备发送的暂停报文，所述暂停报文的目的地址为所述源端设备的地址；其中，所述暂停报文包括报文类型；

发送单元，用于若所述接收单元接收到暂停报文，在第一预设时长内暂停向所述目的端设备发送所述报文类型的报文。

结合第四方面，在第四方面的第一种可能的实现方式中，

若所述报文类型指示二层协议报文，所述目的地址为第一目的MAC地址；

若所述报文类型指示三层协议报文，所述目的地址为目的IP地址。

本发明实施例提供一种防御攻击的方法及装置，通过目的端设备接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，第一目的地址为目的端设备的地址，报文的源地址为源端设备的地址；若报文为攻击报文，目的端设备向源端设备发送暂停报文；其中，暂停报文包括攻击报文的报文类型以指示源端设备在第一预设时长内暂停向目的端设备发送协议类型为报文类型的报文；暂停报文的目的地址为第二目的地址，第二目的地址为源端设备的地址。由于当目的端设备接收的报文的目的地址为目的端设备的地址且被判定为攻击报文时，目的端设备会自动向源端设备发送包括攻击报文类型的暂停报文，使得源端设备(即发送攻击报文的设备)在第一预设时长内暂停发送暂停报文中包括的协议类型的报文；若被判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种防御攻击的方法的流程示意图；

图2为本发明实施例提供的另一种防御攻击的方法的流程示意图；

图3为本发明实施例提供的一种网络架构图；

图4为本发明实施例提供的又一种防御攻击的方法的流程示意图；

图5为本发明实施例提供的一种防御攻击的装置结构示意图；

图6为本发明实施例提供的又一种防御攻击的装置结构示意图；

图7为本发明实施例提供的再一种防御攻击的装置结构示意图；

图8为本发明实施例提供的一种网络设备结构示意图；

图9为本发明实施例提供的另一种网络设备结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明权利要求保护的范围。

实施例一

本发明实施例一提供一种防御攻击的方法，如图1所示，该方法可以包括：

S101、目的端设备接收源端设备发送的报文。

其中，报文的目的地址为第一目的地址，第一目的地址为目的端设备的地址，报文的源地址为源端设备的地址。

进一步的，目的端设备可以有多个物理端口，每个物理端口均会连接不同的设备，目的端设备可以从多个物理端口中的任一物理端口接收到报文。

需要说明的是，目的端设备可以为路由器或交换机。

具体的，报文的源地址是发送该报文的网络设备(即源端设备)的地址，通过报文的源地址可以唯一确定发送该报文的设备。

具体的，报文的目的地址是处理该报文的网络设备(即目的端设备)，通过报文的目的地址可以唯一确定该报文的目的端设备。

示例性的，当报文的目的地址与某一网络设备的地址相同，则该网络设备为该报文的目的端设备。

其中，在网络架构中进行二层交换的报文称之为二层协议报文，二层协议包括仅需MAC地址则可实现转发；在网络架构中进行三层交换的报文称之为三层协议报文，三层协议包括仅MAC地址及IP地址可实现转发。

可选的，若报文为二层协议报文，源地址为源MAC地址，第一目的地址为第一目的MAC地址。

若报文为三层协议报文，源地址为源IP地址，第一目的地址为目的IP地址；报文还具有目的MAC地址，该目的MAC地址为目的端设备的MAC地址；

相应的，若报文为三层协议报文，暂停报文也需要进行三层交换才能到达源端设备，因此，暂停报文的目的MAC地址为与报文的源IP地址对应的MAC地址。

S102、若报文为攻击报文，目的端设备向源端设备发送暂停报文；其中，暂停报文包括攻击报文的报文类型以指示源端设备在第一预设时长内暂停向目的端设备发送协议类型为报文类型的报文。

暂停报文的目的地址为第二目的地址，第二目的地址为源端设备的地址。

其中，报文类型可以是该报文类型对应的报文类型值，用字符表示，通常，报文的类型值包括于报文的IP头的Protocol字段中。

进一步的，当报文包括的报文类型是该报文类型对应的报文类型值时，具体的报文的类型值与报文类型的对应关系，由网络参考协议规定。

收到报文的网络设备可以根据报文中IP头的Protocol字段及协议规定的报文类型值与报文类型的对应关系，获取接收的报文的类型。

示例性的，报文类型可以包括互联网控制消息协议(英文：internetcontrolmessageprotocol，简称ICMP)类型、动态主机配置协议(英文：dynamichostconfigurationprotocol，简称DHCP)类型、地址解析协议(英文：addressresolutionprotocol，简称ARP)类型，开放式最短路径优先(英文：openshortestpathfirst，简称OSPF)类型等。

根据报文中包括的报文类型可以得到该报文是二层协议报文或者三层协议报文，报文类型与报文性质(二层协议报文或三层协议报文)的关系是通信协议定义好的。

示例性的，DHCP协议类型报文、ARP协议类型报文属于二层协议报文，OSPF类型报文属于三层协议报文。

需要说明的是，暂停报文中的报文类型，可以与攻击报文中包括的报文类型相同，也可以重新定义暂停报文中的报文类型的表示方式且由网络中的设备所共知。

优选的，暂停报文可以包括第一预设时长；暂停报文包括的第一预设时长用于指示报文的源端设备暂停发送协议类型为暂停报文中包括的报文类型的报文的时长。

当然，若暂停报文中不包括第一预设时长，源端设备暂停发送协议类型为暂停报文中包括的报文类型的报文的时长可以为默认值。

需要说明的是，在实际应用中，可以根据实际需要对第一预设时长的长短进行设定；第一预设时长设定的过长，会导致发送攻击报文的端口的缓冲区溢出，第一预设时长设定的过短，会使得被攻击的设备频繁发送暂停报文。

优选的，第一预设时长为30ms。

可选的，暂停报文的形式可以为控制报文(例如控制帧)，也可以为其他的形式。

进一步的，当暂停报文为帧时，可以采用现有的帧，也可以采用自定义的帧。

优选的，暂停报文可以用电气和电子工程师协会(英文：instituteofelectricalandelectronicsengineers，简称IEEE)802.3X定义的PAUSE帧表示，PAUSE帧包括自身定义的一些字段和可以扩展的Padding区；可以对PAUSE帧的Padding区进行扩展，使得Padding区包括报文类型和目的地址，这样PAUSE帧就可以完全表示暂停报文。

示例性的，如表1所示，示意出一种用PAUSE帧表示的暂停报文，其中，Type表示该帧的类型为暂停帧；PauseTime表示暂停时间的长短，即暂停报文包括的第一预设时长，报文类型和目的地址是对Padding区的扩展。

表1

进一步的，所述方法还包括：判断报文是否为攻击报文。

可选的，判断报文是否为攻击报文，可以通过下述步骤A和步骤B实现：

步骤A、统计在接收报文之前的第二预设时长内，接收到的第一目的地址为目的端设备的地址的协议类型为报文类型的报文的传输速率。

报文的传输速率是指报文在每秒内传输的数据量的大小，单位为比特每秒(英文：bitspersecond，简称bps)。

需要说明的是，在实际应用中，可以根据实际需要对第二预设时长进行设定。

步骤B、若传输速率大于或等于预设阈值，则确定报文为攻击报文。

可选的，对于预设阈值的设定，可以对不同类型的协议报文分别设置相应的预设阈值；不同类型的协议报文的预设阈值可以相同，也可以不同。

优选的，对不同类型的协议报文分别设置不同的预设阈值用于判断报文是否为攻击报文。

示例性的，判断OSPF类型的协议报文是否为攻击报文时，传输速率的预设阈值可以设定为512Kbps，判断ARP-REPLY类型的协议报文是否为攻击报文时，传输速率的预设阈值可以设定为128Kbps，判断ICMP类型的协议报文是否为攻击报文时，传输速率的预设阈值可以设定为256Kbps。

示例性的，假设第一预设时长为1s，判断类型2的报文是否为攻击报文时的传输速率的预设阈值为：256Kbps；假设目的端设备接收到报文2，报文2的类型为类型2，通过上述步骤A和步骤B判断报文2是否为攻击报文。

目的端设备统计从接收到报文2的时刻之前的1s内接收到与报文2同类型的报文的大小为300Kb，则在报文2在接收报文之前的1s内的传输速率为300Kbps，大于预设阈值256Kbps，则判定报文2为攻击报文。

示例性的，假设目的端设备的MAC地址为00-01-1C-01-A1-10，IP地址为192.168.1.9；目的端设备从端口2接收到如表2所示的报文2，报文2为三层协议报文，且报文2的目的IP地址为目的端设备的IP地址，若目的端设备确定报文2为攻击报文，则目的端设备从端口2发送如表4的暂停报文；其中，表4所示的暂停报文的目的MAC地址，是目的端设备根据表4所示的暂停报文的目的IP地址在表3所示的对应关系中对应的MAC，也就是根据表2所示的报文2的源IP地址在表3所示的对应关系中对应的MAC。

表2

报文类型	源IP地址	目的IP地址	目的MAC地址
				类型1	192.168.1.11	192.168.1.9	00-01-1C-01-A1-10

表3

IP地址	端口	下一级设备的MAC地址
			192.168.1.11	端口2	00-01-6C-06-A6-22

表4

报文类型	第一预设时长	目的IP地址	目的MAC地址
				类型1	30ms	192.168.1.11	00-01-6C-06-A6-22

需要说明的是，由于在网络设备的连接中，网络设备的端口之间的连接是固定的，因此，当目的端设备接收到的报文的目的地址为目的端设备地址，且该报文被目的端设备判定为攻击报文时，则目的端设备从接收报文的端口发出的包括第二目的地址(对应原接收的报文的源地址)的暂停报文可以到达源端设备发送原报文的端口。

本发明实施例提供一种防御攻击的方法，通过目的端设备接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，第一目的地址为目的端设备的地址，报文的源地址为源端设备的地址；若报文为攻击报文，目的端设备向源端设备发送暂停报文；其中，暂停报文包括攻击报文的报文类型以指示源端设备在第一预设时长内暂停向目的端设备发送协议类型为报文类型的报文；暂停报文的目的地址为第二目的地址，第二目的地址为源端设备的地址。由于当目的端设备接收的报文的目的地址为目的端设备的地址且被判定为攻击报文时，目的端设备会自动向源端设备发送包括攻击报文类型的暂停报文，使得源端设备(即发送攻击报文的设备)在第一预设时长内暂停发送暂停报文中包括的协议类型的报文；若被判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

实施例二

本发明是实例二提供另一种防御攻击的方法，如图2所示，该方法可以包括：

S201、源端设备接收目的端设备发送的暂停报文，暂停报文的目的地址为源端设备的地址；其中，暂停报文包括报文类型。

可选的，若暂停报文中包括的报文类型指示二层协议报文，则目的地址为第一目的MAC地址。

若暂停报文中包括的报文类型指示三层协议报文，则目的地址为目的IP地址。

进一步的，若暂停报文中包括的报文类型指示三层协议报文，暂停报文需要进行三层交换，暂停报文的目的MAC地址为源端设备的MAC地址。

需要说明的是，对于报文类型指示报文性质，已经在实施例一中进行了描述。

需要说明的是，源端设备可以为路由器或交换机或个人计算机。

S202、源端设备在第一预设时长内暂停向目的端设备发送协议类型为暂停报文中包括的报文类型的报文。

其中，暂停报文是协议规定的控制报文，协议规定处理暂停报文的设备，需按照暂停报文的指示，暂停发送协议类型为暂停报文包括的报文类型的报文；网络中的设备均需根据协议规定进行通信。

需要说明的是，对于第一预设时长，已在实施例一中进行了详细描述。

还需要说明的是，源端设备暂停向目的端设备发送协议类型为暂停报文中包括的报文类型的报文的端口，通常是源端设备接收该暂停报文的端口。

示例性的，若源端设备从端口1接收到的暂停报文1如表5所示，源端设备判断暂停报文的目的地址为源端设备的地址，则源端设备自接收到暂停报文1起30ms内暂停从端口1发送报文类型为类型1的报文。

表5

报文类型	第一预设时长	目的MAC地址
			类型1	30ms	00-01-11-06-A1-11

需要说明的是，在第一预设时长内，源端设备只暂停向目的端设备发送暂停报文中包括的报文类型的报文，还可以继续发送除暂停报文中包括的报文类型以外的其他类型的报文。

本发明实施例提供一种防御攻击的方法，通过源端设备接收目的端设备发送的暂停报文，暂停报文的目的地址为源端设备的地址；其中，暂停报文包括报文类型；源端设备在第一预设时长内暂停向目的端设备发送协议类型为报文类型的报文。由于源端设备发送的报文若被目的端设备判定为攻击报文时，目的端设备会自动向源端设备发送暂停报文，并在暂停报文中包括被判定为攻击报文的报文类型；源端设备接收暂停报文，根据该暂停报文在第一预设时长内暂停向目的端设备发送暂停报文包括的报文类型的报文，若被目的端设备判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被目的端设备判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

实施例三

本发明实施例三提供又一种防御攻击的方法；如图3所示，网络设备A通过网络设备B以及网络设备C与外网进行通信，网络设备A的A1端口与网络设备B的B1端口连接，网络设备B的B2端口与网络设备C的C1端口连接；

假设网络设备A通过类型1的报文(三层协议报文)攻击网络设备C，那么，网络设备A为源端设备，网络设备C为目的端设备。

再假设判断类型1的报文是否为攻击报文的规则为：统计在接收报文之前1s内的接收的类型1的传输速率是否大于或等于预设阈值512Kbps；若大于，则为攻击报文，否则，不是攻击报文。

本实施例以网络设备A向网络设备C发送的类型为类型1的报文3的处理过程为例，对图1和图2所示的方法进行详细说明；假设网络设备A在向网络设备C发送报文3之前已经向网络设备C发送了600KB报文类型为类型1的报文；

如图4所示，该方法可以包括：

S401、网络设备A向网络设备C发送报文3；

示例性的，网络设备A从A1端口发送的报文3如表6所示，报文3的源IP地址为网络设备A的IP地址，报文3的目的IP地址为网络设备C的IP地址，报文3的目的MAC地址为网络设备B的MAC地址。

表6

报文类型	源IP地址	目的IP地址	目的MAC地址
				类型1	IP-A	IP-C	MAC-B

S402、网络设备B将报文3转发；

示例性的，假设网络设备B接收到如表6所示的报文3，网络设备B判断报文3中包括的目的MAC地址(MAC-B)与网络设备B的MAC地址(MAC-B)相同，进一步判断报文3中包括的目的IP地址(IP-C)与网络设备B的IP地址(IP-B)不相同，因此，网络设备B将报文3的目的MAC地址修改为报文3的目的IP地址对应的下一跳的MAC地址，之后转发；其中，报文3的目的IP地址对应的下一跳的MAC地址可以由表7体现。

网络设备B将报文3中包括的目的MAC地址(MAC-B)修改为报文3中目的IP地址(IP-C)对应的MAC地址(MAC-C)，修改后的报文3如表8所示；

网络设备B从B2端口将修改后的报文3(表8所示)发出，修改后的报文3的目的IP地址为网络设备C的IP地址，修改后的报文3的目的MAC地址为网络设备C的MAC地址。

表7

IP地址	端口	下一级设备的MAC地址
			IP-C	B2	MAC-C
IP-A	B1	MAC-A

表8

报文类型	源IP地址	目的IP地址	目的MAC地址
				类型1	IP-A	IP-C	MAC-C

S403、网络设备C接收目的IP地址为网络设备C的IP地址的报文3，确定报文3为攻击报文。

其中，网络设备C从C1端口接收到的报文3，是S402中修改目的MAC地址后的报文3。

网络设备C统计在接收到报文3之前的1秒内，接收的目的IP地址为网络设备C的IP地址的类型1的报文的传输速率为600Kbp，网络设备C判断在接收到报文3之前1s内类型1的报文的传输速率大于预设阈值，因此，确定报文3为攻击报文。

S404、网络设备C向网络设备A发送暂停报文1；

示例性的，以S402中的示例为基础，网络设备C从接收报文3的端口(即C1端口)发送的暂停报文1可以如表9所示，暂停报文1的目的IP地址为网络设备A的IP地址，暂停报文1的目的MAC地址为与网络设备A的IP地址对应的下一跳的MAC地址(即网络设备B的MAC地址)。

表9

S405、网络设备B将暂停报文1转发；

示例性的，假设网络设备B接收到的暂停报文1如表9所示，网络设备B判断暂停报文1中包括的目的MAC地址(MAC-B)与网络设备B的MAC地址(MAC-B)相同，进一步判断目的IP地址(IP-A)与网络设备B的IP地址(IP-B)不相同，因此，网络设备B将暂停报文1的目的MAC地址修改为暂停报文1的目的IP地址对应的下一跳的MAC地址，之后转发；其中，暂停报文1的目的IP地址对应的下一跳的MAC地址可以由表7体现。

网络设备B将暂停报文1中包括的目的MAC地址(MAC-B)修改为暂停报文1中包括的目的IP地址(IP-A)对应的MAC地址(MAC-A)，修改后的暂停报文1如表10所示。

网络设备B从B1端口发送修改后的暂停报文1，修改后的暂停报文1的目的IP地址为网络设备A的IP地址，修改后的暂停报文的目的MAC地址为网络设备A的MAC地址。

表10

S406、网络设备A接收目的IP地址为网络设备A的IP地址的暂停报文1，在第一预设时长内暂停向网络设备C发送报文类型为类型1的报文。

其中，网络设备A接收的暂停报文为S405中修改后的暂停报文1。

示例性的，网络设备A从A1端口接收到如表10所示的修改后的暂停报文1，暂停报文1的目的MAC地址为网络设备A的MAC地址，暂停报文1的目的IP地址为网络设备A的IP地址也，网络设备A自收到暂停报文起，从A1端口暂停30ms向网络设备C发送报文类型为类型1的报文。

本发明实施例提供一种防御攻击的方法，通过目的端设备接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，第一目的地址为目的端设备的地址，报文的源地址为源端设备的地址；若报文为攻击报文，目的端设备向源端设备发送暂停报文；其中，暂停报文包括攻击报文的报文类型以指示源端设备在第一预设时长内暂停向目的端设备发送协议类型为报文类型的报文；暂停报文的目的地址为第二目的地址，第二目的地址为源端设备的地址。由于当目的端设备接收的报文的目的地址为目的端设备的地址且被判定为攻击报文时，目的端设备会自动向源端设备发送包括攻击报文类型的暂停报文，使得源端设备(即发送攻击报文的设备)在第一预设时长内暂停发送暂停报文中包括的协议类型的报文；若被判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

实施例四

本发明实施例四提供一种防御攻击的装置50，包括于目的端设备，如图5所示，所述防御攻击的装置50可以包括：

接收单元501，用于接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，所述第一目的地址为所述目的端设备的地址，所述报文的源地址为所述源端设备的地址。

发送单元502，用于若报文为攻击报文，向源端设备发送暂停报文；其中，所述暂停报文包括所述攻击报文的报文类型以指示所述源端设备在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文；所述暂停报文的目的地址为第二目的地址，所述第二目的地址为所述源端设备的地址。

可选的，若报文为二层协议报文，所述源地址为源MAC地址，所述第一目的地址为第一目的MAC地址。

若报文为三层协议报文，所述源地址为源IP地址，所述第一目的地址为目的IP地址；所述暂停报文的目的MAC地址为与所述源IP地址对应的MAC地址。

进一步的，如图6所示，所述防御攻击的装置50还可以包括：

统计单元503，用于统计在接收报文之前的第二预设时长内，接收到的第一目的地址为目的端设备的地址的协议类型为报文类型的报文的传输速率；

确定单元504，用于若传输速率大于或等于预设阈值，则确定报文为攻击报文。

本发明实施例提供一种防御攻击的装置50，通过目的端设备接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，第一目的地址为目的端设备的地址，报文的源地址为源端设备的地址；若报文为攻击报文，目的端设备向源端设备发送暂停报文；其中，暂停报文包括攻击报文的报文类型以指示源端设备在第一预设时长内暂停向目的端设备发送协议类型为所述报文类型的报文，暂停报文的目的地址为第二目的地址，第二目的地址为源端设备的地址。由于当目的端设备接收的报文的目的地址为目的端设备的地址且被判定为攻击报文时，目的端设备会自动向源端设备发送包括攻击报文类型的暂停报文，使得源端设备(即发送攻击报文的设备)在第一预设时长内暂停发送暂停报文中包括的协议类型的报文；若被判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

实施例五

本发明实施例五提供一种防御攻击的装置70，包括于目的端设备，如图7所示，所述防御攻击的装置70可以包括：

接收单元701，用于接收目的端设备发送的暂停报文，所述暂停报文的目的地址为所述源端设备的地址；其中，暂停报文包括报文类型。

发送单元702，用于若接收单元701接收到暂停报文，在第一预设时长内暂停向所述目的端设备发送所述报文类型的报文。

具体的，若报文类型指示二层协议报文，目的地址为第一目的MAC地址。

若所述报文类型指示三层协议报文，目的地址为目的IP地址。

本发明实施例提供一种防御攻击的装置70，通过源端设备接收目的端设备发送的暂停报文，暂停报文的目的地址为所述源端设备的地址；其中，暂停报文包括报文类型；在第一预设时长内暂停向目的端设备发送暂停报文中包括的报文类型的报文。由于源端设备发送的报文若被目的端设备判定为攻击报文时，目的端设备会自动向源端设备发送暂停报文，并在暂停报文中包括被判定为攻击报文的报文类型；源端设备接收暂停报文，根据该暂停报文在第一预设时长内暂停向目的端设备发送暂停报文包括的报文类型的报文，若被目的端设备判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被目的端设备判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

实施例六

本发明实施例四提供一种网络设备80。该网络设备80可以为路由器或交换机。如图8所示，所述网络设备80可以包括：

至少一个处理器801，存储器802、总线803、以太网端口804。

其中，处理器801可以是一个CPU，访问存储器802。

存储器802用于存储程序代码，并将该程序代码传输给该处理器801，处理器801根据程序代码执行下述步骤。存储器802可以是易失性存储器(英文：volatilememory)，例如随机存取存储器(英文：random-accessmemory，缩写：RAM)；或者非易失性存储器(英文：non-volatilememory)，例如只读存储器(英文：read-onlymemory，缩写：ROM)，快闪存储器(英文：flashmemory)，硬盘(英文：harddiskdrive，缩写：HDD)或固态硬盘(英文：solid-statedrive，缩写：SSD)；或者上述种类的存储器的组合。

处理器801，用于通过以太网端口804接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，所述第一目的地址为该网络设备80的地址，所述报文的源地址为所述源端设备的地址。

处理器801，用于若报文为攻击报文，通过以太网端口804向源端设备发送暂停报文；其中，暂停报文包括所述攻击报文的报文类型以指示所述源端设备在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文；所述暂停报文的目的地址为第二目的地址，所述第二目的地址为所述源端设备的地址。

可选的，若报文为二层协议报文，所述源地址为源MAC地址，所述第一目的地址为第一目的MAC地址。

若报文为三层协议报文，所述源地址为源IP地址，所述第一目的地址为目的IP地址；所述暂停报文的目的MAC地址为与所述源IP地址对应的MAC地址。

进一步的，处理器801具体用于：

统计在接收报文之前的第二预设时长内，接收到的第一目的地址为目的端设备的地址的协议类型为报文类型的报文的传输速率；

若传输速率大于或等于预设阈值，则确定报文为攻击报文。

本发明实施例提供一种网络设备80，通过接收源端设备发送的报文；其中，报文的目的地址为第一目的地址，第一目的地址为网络设备80的地址，报文的源地址为源端设备的地址；若报文为攻击报文，向源端设备发送暂停报文；其中，暂停报文包括攻击报文的报文类型以指示源端设备在第一预设时长内暂停向网络设备80发送协议类型为所述报文类型的报文，暂停报文的目的地址为第二目的地址，第二目的地址为源端设备的地址。由于当接收的报文的目的地址为目的端设备的地址且被判定为攻击报文时，会自动向源端设备发送包括攻击报文类型的暂停报文，使得源端设备(即发送攻击报文的设备)在第一预设时长内暂停发送暂停报文中包括的协议类型的报文；若被判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

实施例七

本发明实施例八提供一种网络设备90。该网络设备90可以为路由器或交换机。如图9所示，所述网络设备90可以包括：

至少一个处理器901、存储器902、总线903，以太网端口904；

处理器901可以是一个CPU，访问存储器902。

存储器902用于存储程序代码，并将该程序代码传输给该处理器901，处理器901根据程序代码执行下述步骤。存储器902可以是易失性存储器(英文：volatilememory)，例如RAM；或者非易失性存储器(英文：non-volatilememory)，例如ROM，快闪存储器(英文：flashmemory)，HDD或SSD；或者上述种类的存储器的组合。

其中，处理器901，用于通过以太网端口904接收目的端设备发送的暂停报文，所述暂停报文的目的地址为该网络设备90的地址；其中，暂停报文包括报文类型。

处理器901，用于若接收到暂停报文，在第一预设时长内暂停向所述目的端设备发送所述报文类型的报文。

具体的，若报文类型指示二层协议报文，目的地址为第一目的MAC地址。

若所述报文类型指示三层协议报文，目的地址为目的IP地址。

本发明实施例提供一种网络设备90，通过接收目的端设备发送的暂停报文，暂停报文的目的地址为所述源端设备的地址；其中，暂停报文包括报文类型；在第一预设时长内暂停向目的端设备发送暂停报文中包括的报文类型的报文。由于发送的报文若被目的端设备判定为攻击报文时，目的端设备会自动发送暂停报文，并在暂停报文中包括被判定为攻击报文的报文类型；网络设备90接收暂停报文，根据该暂停报文在第一预设时长内暂停向目的端设备发送暂停报文包括的报文类型的报文，若被目的端设备判定为攻击报文的报文确实为攻击报文，就避免了攻击的发生；若被目的端设备判定为攻击报文的报文实质为正常业务的报文，由于报文会在第一预设时长之后继续发送，这样就使得攻击的防御避免影响正常的业务。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理包括，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：快闪存储器(英文：flashmemory)、移动硬盘、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案脱离权利要求的范围。

Claims (10)

1.一种防御攻击的方法，其特征在于，所述方法包括：

目的端设备接收源端设备发送的报文；其中，所述报文的目的地址为第一目的地址，所述第一目的地址为所述目的端设备的地址，所述报文的源地址为所述源端设备的地址；

若所述报文为攻击报文，所述目的端设备向所述源端设备发送暂停报文；其中，所述暂停报文包括所述攻击报文的报文类型以指示所述源端设备在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文；

所述暂停报文的目的地址为第二目的地址，所述第二目的地址为所述源端设备的地址。

2.根据权利要求1所述的方法，其特征在于，

若所述报文为二层协议报文，所述源地址为源媒体访问控制MAC地址，所述第一目的地址为第一目的MAC地址；

若所述报文为三层协议报文，所述源地址为源互联网协议IP地址，所述第一目的地址为目的IP地址；所述暂停报文的目的MAC地址为与所述源IP地址对应的MAC地址。

3.根据权利要求1或2所述的方法，其特征在于，在所述接收源端设备发送的报文之后，所述方法还包括：

统计在接收所述报文之前的第二预设时长内，接收到的所述第一目的地址为所述目的端设备的地址的协议类型为所述报文类型的报文的传输速率；

若所述传输速率大于或等于预设阈值，则确定所述报文为攻击报文。

4.一种防御攻击的方法，其特征在于，所述方法包括：

源端设备接收目的端设备发送的暂停报文，所述暂停报文的目的地址为所述源端设备的地址；其中，所述暂停报文包括报文类型；

在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文。

5.根据权利要求4所述的方法，其特征在于，

若所述报文类型指示二层协议报文，所述目的地址为第一目的媒体访问控制MAC地址；

若所述报文类型指示三层协议报文，所述目的地址为目的互联网协议IP地址。

6.一种防御攻击的装置，其特征在于，包括于源端设备，所述装置包括：

接收单元，用于接收源端设备发送的报文；其中，所述报文的目的地址为第一目的地址，所述第一目的地址为所述目的端设备的地址，所述报文的源地址为所述源端设备的地址；

发送单元，用于若所述报文为攻击报文，向所述源端设备发送暂停报文；其中，所述暂停报文包括所述攻击报文的报文类型以指示所述源端设备在第一预设时长内暂停向所述目的端设备发送协议类型为所述报文类型的报文；

所述暂停报文的目的地址为第二目的地址，所述第二目的地址为所述源端设备的地址。

7.根据权利要求6所述的装置，其特征在于，

若所述报文为二层协议报文，所述源地址为源媒体访问控制MAC地址，所述第一目的地址为第一目的MAC地址；

若所述报文为三层协议报文，所述源地址为源互联网协议IP地址，所述第一目的地址为目的IP地址；所述暂停报文的目的MAC地址为与所述源IP地址对应的MAC地址。

8.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

统计单元，用于统计在接收所述报文之前的第二预设时长内，接收到的所述第一目的地址为所述目的端设备的地址的协议类型为所述报文类型的报文的传输速率；

确定单元，用于若所述传输速率大于或等于预设阈值，则确定所述报文为攻击报文。

9.一种防御攻击的装置，其特征在于，包括于源端设备，所述装置包括：

接收单元，用于接收目的端设备发送的暂停报文，所述暂停报文的目的地址为所述源端设备的地址；其中，所述暂停报文包括报文类型；

发送单元，用于若所述接收单元接收到暂停报文，在第一预设时长内暂停向所述目的端设备发送所述报文类型的报文。

10.根据权利要求9所述的装置，其特征在于，

若所述报文类型指示二层协议报文，所述目的地址为第一目的媒体访问控制MAC地址；

若所述报文类型指示三层协议报文，所述目的地址为目的互联网协议IP地址。