CN105827470A - 一种识别异常网络互联流量的方法及装置 - Google Patents

Abstract

本发明公开了一种识别异常网络互联流量的方法，所述方法包括：在核心路由器上针对指定的下行接口建立网络会话记录；确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。本发明还同时公开了一种识别异常网络互联流量的装置。

Description

一种识别异常网络互联流量的方法及装置

技术领域

本发明涉及数据处理技术，尤其涉及一种识别异常网络互联流量的方法及装置。

背景技术

目前，中国的各运营商接入网、城域网和骨干网基本都是独立建设，通过集团层面建设统一的互联互通链路实现不同运营商之间的互联互通；集团层面建设的互联互通链路的流量需要进行网间结算。

由于网间结算是基于流量的计算，滋生个别非法企业从一级网络运营商批量购买带宽后，企业自己并不使用低价批量购买的带宽，而是将低价批量购买的带宽转卖给二级网络运营商，以此谋取利润。互联互通链路的流量示意图，如图1所示，互联网服务提供商(InternetServiceProvider，ISP)A属于一级网络运营商，ISPB属于二级网络运营商；实线部分表示异常流量，即非法流量，虚线部分表示正常流量，即合法流量。

二级网络运营商通过非法的互联互通链路使自己的接入客户绕开正常的网间结算的互联互通通道来访问一级网络运营商的业务资源，降低二级网络运营商的网间结算费用和运营成本，损害一级网络运营商的利益。

发明内容

有鉴于此，本发明实施例期望提供一种识别异常网络互联流量的方法及装置，不仅能够识别异常网络互联流量，即二级网络运营商通过非法的互联互通链路使自己的接入客户绕开正常的网间结算的互联互通通道来访问一级网络运营商的业务资源所使用的流量，保护一级网络运营商的利益。

本发明实施例的技术方案是这样实现的：

本发明实施例提供一种识别异常网络互联流量的方法，所述方法包括：在核心路由器上针对指定的下行接口建立网络会话记录；确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。

在一实施例中，在接收报文后，所述方法还包括：在所述指定的下行接口上接收报文时检查已经建立的网络会话记录，确认所述报文的信息与已经建立的网络会话记录信息不匹配时，新建所述报文的网络会话记录；其中，所述报文的网络会话记录与已经建立的网络会话记录信息不匹配，包括：所述报文的中的源地址、目的地址、源端口号、目的端口号、接收报文的入接口和接收报文的时间戳与已经建立的网络会话记录信息不一致。

在一实施例中，所述确认接收的报文为可疑报文，包括：所述报文的入接口为所述指定的下行接口时，确认所述报文为可疑报文。

在一实施例中，所述根据所述网络请求报文识别异常网络互联流量，包括：在已经建立的网络会话记录中不存在与所述网络请求报文的网络会话记录信息匹配的信息、或所述网络请求报文的入接口不是所述指定的下行接口、或所述网络请求报文不包括可疑报文的网络会话记录所关联的标识所述可疑报文的数据特征时，识别为异常网络互联流量。

在一实施例中，所述方法还包括：在识别异常网络互联流量后，记录异常访问用户的互联网协议IP地址和访问时间。

本发明实施例还提供一种识别异常网络互联流量的装置，所述装置包括：建立模块、第一处理模块和识别模块；其中，

所述建立模块，用于在核心路由器上针对指定的下行接口建立网络会话记录；

所述第一处理模块，用于确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；

所述识别模块，用于接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。

在一实施例中，所述装置还包括：第二处理模块，用于在所述指定的下行接口上接收报文时检查已经建立的网络会话记录，确认所述报文的信息与已经建立的网络会话记录信息是否匹配；

相应的，所述建立模块，还用于在所述第二处理模块确认所述报文的信息与已经建立的网络会话记录信息不匹配时，新建所述报文的网络会话记录；

所述报文的信息与已经建立的网络会话记录信息不匹配，包括：所述报文的中的源地址、目的地址、源端口号、目的端口号、接收报文的入接口和接收报文的时间戳与已经建立的网络会话记录信息不一致时，确认所述报文的信息与已经建立的网络会话记录信息不匹配。

在一实施例中，所述第一处理模块，具体用于在所述报文的入接口为所述指定的下行接口时，确认所述报文为可疑报文。

在一实施例中，所述识别模块，具体用于在已经建立的网络会话记录中不存在与所述网络请求报文的网络会话记录信息匹配的信息、或所述网络请求报文的入接口不是所述指定的下行接口、或所述网络请求报文不包括可疑报文的网络会话记录所关联的标识所述可疑报文的数据特征时，识别为异常网络互联流量。

在一实施例中，所述装置还包括：记录模块，用于在识别异常网络互联流量后，记录异常访问用户的IP地址和访问时间。

本发明实施例所提供的识别异常网络互联流量的方法及装置，在核心路由器上针对指定的下行接口建立网络会话记录；确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。如此，通过对可疑报文构建探测报文，能够主动探测可疑报文的源端主机位置，将合法报文和非法报文的流量路径进行分离，识别异常网络互联流量，即二级网络运营商通过非法的互联互通链路使自己的接入客户绕开正常的网间结算的互联互通通道来访问一级网络运营商的业务资源所使用的流量，保护了一级网络运营商的利益。

附图说明

图1为本发明互联互通链路的流量示意图；

图2为本发明一级网络运营商检测异常网络互联互通流量的方案示意图；

图3为本发明实施例识别异常网络互联流量的方法的处理流程示意图；

图4为本发明实施例报文路径示意图；

图5为本发明实施例可疑报文为企业客户内部服务器或主机发出的网络报文时，识别异常网络互联流量的处理流程示意图；

图6为本发明实施例可疑报文为ISPB的用户B发出的网络报文时，识别异常网络互联流量的处理流程示意图；

图7为本发明实施例识别异常网络互联流量的装置的组成结构示意图。

具体实施方式

本发明实施例中，在一级网络运营商的核心路由器上针对指定的下行接口建立网络会话记录；确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。

为更好地理解本发明实施例的技术方案，下面简要说明现有技术中一级网络运营商检测异常网络互联互通流量的技术方案。

现有技术中一级网络运营商检测异常网络互联互通流量的方案示意图，如图2所示，企业客户数据中心采用公网互联网协议(InternetProtocol，IP)地址，在流量出口没有进行(NetworkAddressTranslation，NAT)网络地址转换的情况下，企业客户数据中心内部网络从一级网络运营商学习一级网络运营商的全网路由用于优化转发路径，全网路由如图2中实线所示；企业客户出口路由设备能同时学习到ISPA和ISPB的全网路由，并且使企业客户出口路由设备成为互通节点。在ISPA的核心路由器下行接口(即连接企业客户的接口)上启动路由策略和源地址检查；其中，路由策略是不接收除了企业客户既定地址范围之外的其他路由信息。这样，ISPB的路由信息就不能够通过企业客户的路由器发布到ISPA的网络中；源地址检查时要求ISPA核心路由器从下行接口接收企业客户的报文时，检查报文的源地址信息，检查源地址不属于ISPA分配给企业客户的地址段范围时，直接丢弃所述报文。

通过路由策略和源地址检查，ISPA可以阻止一部分异常的互联互通链路；但是，如图2中的企业客户在出口路由器上启动了NAT，通过路由策略和源地址检查则无法发现ISPA和ISPB之间通过企业数据中心进行互联互通。ISPB的用户访问ISPA的数据资源的路径如图2点划线所示，用户B发送访问报文，访问报文的目的地址是ISPA的服务器地址，访问报文的源地址是ISPB分配给自己的地址；在ISPB中查找路由发现可以通过企业客户的路由器访问目的地址，用户B发送的访问报文到达企业客户出口路由器；在企业出口路由器上对用户B发送的访问报文的源地址转换为ISPA分配给企业客户的地址。报文上行到ISPA核心路由器，顺利地通过源地址检查，并且能够正常访问ISPA服务器；ISPA服务器的响应报文目的地址是企业客户出口路由器上的NAT地址，响应报文到达企业客户路由器后，企业客户路由器进行目的地址转换，将报文的目的地址转换为用户B的地址，企业路由器拥有ISPB的路由信息，将响应报文转发给用户B。

因此，现有的通过路由策略和源地址检查技术识别异常网络互联流量时，不能屏蔽在出口路由器上启动NAT后进行的异常网络互联互通问题。

下面结合附图和具体实施例对本发明的技术方案进一步详细阐述。

本发明实施例所提供的识别异常网络互联流量的方法的处理流程，如图3所示，包括以下步骤：

步骤101，在核心路由器上针对指定的下行接口建立网络会话记录；

这里，由于互联网的流量都是基于网络(WEB)，在数据中心出口处WEB流量的比重更大；并且互访流量也是以WEB流量为主；因此，识别异常网络互联流量以监管WEB流量为核心；

所述指定的下行接口是指ISPA与企业IDC之间的互联接口。

步骤102，确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；

具体地，在接收的报文为指定的下行接口时，表示所述报文是由企业客户主动向ISPA发起的连接请求，则ISPA核心路由器确认所述报文为可疑报文，获取所述报文的源地址，提取可以标识所述报文的特征数据，如所述报文的统一资源定位器(UniformResoureLocator，URL)等，将所述特征数据与所述报文对应的网络会话记录相关联，并构建探测报文，在指定的下行接口上将所述探测报文发送至企业出口路由器，如图4中虚线所示，图4为本发明实施例报文路径示意图；

可疑报文为企业客户内部服务器或主机发出的网络报文的路径，如图4中点划线所示；在所述可疑报文为企业客户内部服务器或主机发出的网络报文时，识别异常网络互联流量的处理流程示意图，如图5所示，包括以下步骤：

步骤1a，将所述探测报文在企业出口路由器上匹配NAT会话记录，并将所述探测报文的目的地址IP4变成IP2，还原所述探测报文的端口号；

具体地，将所述探测报文在企业出口路由器上匹配NAT会话记录，并将所述探测报文的目的地址IP4变成IP2，所述探测报文的端口号也进行相应的还原为NAT之前的端口号；

其中，所述探测报文是强制重定向报文，即模拟WEB服务器返回的重定向报文，所述探测报文的目的地址与所述网络会话的源地址相同，所述探测报文的端口号与所述网络会话的端口号相同，所述探测报文的源地址与所述网络会话的目的地址相同，所述探测报文的端口号与所述网络会话的端口号相同；

这里，所述重定向报文中的重定向目的地址是ISPA的探测地址IP1，IP1为预先规划的特定的探测IP地址，所述探测IP地址在发布路由时，根据边界网关协议(BorderGatewayProtocol，BGP)属性调整路由发布的优先级，使发布到企业IDC内接口的路由的优先级低于该路由器上其它接口的优先级；探测地址IP1配置在ISPA核心路由器的Loopback接口上。

步骤1b，将所述探测报文转发至企业客户内部服务器或主机；

具体地，将所述探测报文转发至企业客户内部服务器或主机的路径，如图4双点划线所示。

步骤1c，客户内部服务器或主机根据所述探测报文发送网络请求报文；

其中，所述探测报文强制要求客户向指定的IP1地址重新发送网络请求报文，所述网络请求报文的目的地址是IP1；所述网络请求报文重新发出的网络请求在出口路由器处进行NAT，将源地址转换为IP4；根据目的地址IP1查找路由，由于企业客户的网络在ISPA数据中心机房的AS范围内，所以下一跳的优选路由是ISPA核心路由器，如图4双点划线所示，将所述网络请求报文转发至ISPA核心路由器。

可疑报文为ISPB的用户B发出的网络报文的路径，如图4中点划线所示，与客户服务器所发出的报文路径相同，ISPB为属于网络运营商；在所述可疑报文为ISPB的用户B发出的网络报文时，识别异常网络互联流量的处理流程示意图，如图6所示，包括以下步骤：

步骤2a，将所述探测报文在企业出口路由器上匹配NAT会话记录，并将所述探测报文的目的地址IP4变成IP3，还原所述探测报文的端口号；

具体地，将所述探测报文在企业出口路由器上匹配NAT会话记录，并将所述探测报文的目的地址IP4变成IP3，所述探测报文的端口号也进行相应的还原为NAT之前的端口号；

其中，所述探测报文是强制重定向报文，即模拟WEB服务器返回的重定向报文，所述探测报文的目的地址与所述网络会话的源地址相同，所述探测报文的端口号与所述网络会话的端口号相同，所述探测报文的源地址与所述网络会话的目的地址相同，所述探测报文的端口号与所述网络会话的端口号相同；

这里，所述重定向报文中的重定向目的地址是ISPA的探测地址IP1，IP1为预先规划的特定的探测IP地址，所述探测IP地址在发布路由时，根据BGP属性调整路由发布的优先级，使发布到企业IDC内接口的路由的优先级低于该路由器上其它接口的优先级；探测地址IP1配置在ISPA核心路由器的Loopback接口上。

步骤2b，将所述探测报文转发至用户B；

具体地，将所述探测报文转发至用户B的路径，如图4双点划线所示。

步骤2c，用户B根据所述探测报文发送网络请求报文；

其中，所述探测报文强制要求客户向指定的IP1地址重新发送网络请求报文，所述网络请求报文的目的地址是IP1；根据目的地址IP1在ISPB查找路由，由于IP1通过企业客户网络发布的路由增加了AS-Path或MED值，所以有限期比较低，优选路由为ISPA与ISPB之间的计费通道，如图4双点划线所示，通过ISPA与ISPB之间的通道，将所述网络请求报文转发至ISPA核心路由器。

步骤103，接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量；

具体地，ISPA核心路由器接收所述网络请求报文，根据所述网络请求报文识别异常网络互联流量包括：

在已经建立的网络会话记录中不存在与所述网络请求报文的网络会话记录信息匹配的信息、或所述网络请求报文的入接口不是所述指定的下行接口、或所述网络请求报文不包括可疑报文的网络会话记录所关联的标识所述可疑报文的数据特征时，识别所述报文为异常网络互联流量。

在步骤102中，接收报文后，所述方法还包括：在所述指定的下行接口上接收报文时检查已经建立的网络会话记录，确认所述报文的信息与已经建立的网络会话记录信息不匹配时，新建所述报文的网络会话记录；

具体地，ISPA核心路由器确认所述报文的信息与已经建立的网络会话记录信息不匹配时，新建所述报文的网络会话记录，并添加时间戳，所述时间戳用于标记会话建立的时间；确认所述报文的信息与已经建立的网络会话记录信息匹配时，即所述报文的信息与已经建立的网络会话记录信息中的任意一项匹配时，按照常规流程进行报文转发；所述ISPA属于一级网络运营商；

其中，所述网络会话记录信息包括：会话的源地址、会话的目的地址、会话的源端口号、会话的目的端口号、接收报文的入接口和接收报文的时间戳等；

所述报文的信息与已经建立的网络会话记录信息不匹配包括：所述报文的信息与已经建立的网络会话记录信息中的任意一项均不匹配；

这里，建立的网络会话记录会自动老化，老化时间根据需要灵活设定。

在执行步骤103之后，本发明实施例还包括：

步骤104，记录异常访问用户的IP地址和访问时间；

这里，ISPA记录异常访问用户的IP地址和访问时间，用于事后溯源。

为实现上述识别异常网络互联流量的方法，本发明实施例还提供一种识别异常网络互联流量的装置，所述装置的组成结构，如图7所示，包括建立模块11、第一处理模块12和识别模块13；其中，

所述建立模块11，用于在核心路由器上针对指定的下行接口建立网络会话记录；

所述第一处理模块12，确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；

所述识别模块13，用于接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。

上述实现方案中，所述装置还包括：第二处理模块14，用于在所述指定的下行接口上接收报文时检查已经建立的网络会话记录，确认所述报文的信息与已经建立的网络会话记录信息是否匹配；

相应的，所述建立模块11，还用于在所述第二处理模块14确认所述报文的信息与已经建立的网络会话记录信息不匹配时，新建所述报文的网络会话记录；

其中，所述报文的信息与已经建立的网络会话记录信息不匹配，包括：所述报文的中的源地址、目的地址、源端口号、目的端口号、接收报文的入接口和接收报文的时间戳与已经建立的网络会话记录信息不一致。

上述实现方案中，所述第二处理模块12，具体用于在所述报文的入接口为所述指定的下行接口时，确认所述报文为可疑报文。

上述实现方案中，所述识别模块13，具体用于在已经建立的网络会话记录中不存在所述网络请求报文的网络会话记录信息匹配的信息、或所述网络请求报文的入接口不是所述指定的下行接口、或所述网络请求报文不包括可疑报文的网络会话记录所关联的标识所述可疑报文的数据特征时，识别为异常网络互联流量。

上述实现方案中，所述装置还包括：记录模块15，用于在识别异常网络互联流量后，记录异常访问用户的IP地址和访问时间。

上述实现方案中，所述建立模块11，新建报文的网络会话记录后，添加时间戳，所述时间戳用于标记会话建立的时间；确认所述报文的信息与已经建立的网络会话记录信息匹配时，即所述报文的信息与已经建立的网络会话记录信息中的任意一项匹配时，按照常规流程进行报文转发；所述ISPA属于一级网络运营商；其中，所述网络会话记录信息包括：会话的源地址、会话的目的地址、会话的源端口号、会话的目的端口号、接收报文的入接口和接收报文的时间戳等；所述报文的信息与已经建立的网络会话记录信息不匹配包括：所述报文的信息与已经建立的网络会话记录信息中的任意一项均不匹配；建立的网络会话记录会自动老化，老化时间根据需要灵活设定。

上述实现方案中，在所述报文的入接口为指定的下行接口时，表示所述网络会话对应的报文是由企业客户主动向ISPA发起的连接请求，则ISPA核心路由器中的第二处理模块13确认所述报文为可疑报文，获取所述报文的源地址，提取可以标识所述报文的特征数据，如所述报文的URL等，将所述特征数据与所述报文对应的网络会话记录相关联，并构建探测报文，在指定的下行接口上将所述探测报文发送至企业出口路由器。

本发明实施例中，所述识别异常网络互联流量的装置可由一级网络运营商中的核心路由器实现。

需要说明的是，在实际应用中，所述建立模块11、第一处理模块12、识别模块13、第二处理模块14和记录模块15的功能可由位于核心路由器上的中央处理器(CPU)、或微处理器(MPU)、或数字信号处理器(DSP)、或可编程门阵列(FPGA)实现。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (10)

1.一种识别异常网络互联流量的方法，其特征在于，所述方法包括：

在核心路由器上针对指定的下行接口建立网络会话记录；

确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；

接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。

2.根据权利要求1所述识别异常网络互联流量的方法，其特征在于，在接收报文后，所述方法还包括：

在所述指定的下行接口上接收报文时检查已经建立的网络会话记录，确认所述报文的信息与已经建立的网络会话记录信息不匹配时，新建所述报文的网络会话记录；其中，

所述报文的信息与已经建立的网络会话记录信息不匹配，包括：

所述报文的中的源地址、目的地址、源端口号、目的端口号、接收报文的入接口和接收报文的时间戳与已经建立的网络会话记录信息不一致。

3.根据权利要求1或2所述识别异常网络互联流量的方法，其特征在于，所述确认接收的报文为可疑报文，包括：

所述报文的入接口为所述指定的下行接口时，确认所述报文为可疑报文。

4.根据权利要求1或2所述识别异常网络互联流量的方法，其特征在于，所述根据所述网络请求报文识别异常网络互联流量，包括：

在已经建立的网络会话记录中不存在与所述网络请求报文的网络会话记录信息匹配的信息、或所述网络请求报文的入接口不是所述指定的下行接口、或所述网络请求报文不包括可疑报文的网络会话记录所关联的标识所述可疑报文的数据特征时，识别为异常网络互联流量。

5.根据权利要求1或2所述识别异常网络互联流量的方法，其特征在于，所述方法还包括：

在识别异常网络互联流量后，记录异常访问用户的互联网协议IP地址和访问时间。

6.一种识别异常网络互联流量的装置，其特征在于，所述装置包括：建立模块、第一处理模块和识别模块；其中，

所述建立模块，用于在核心路由器上针对指定的下行接口建立网络会话记录；

所述第一处理模块，用于确认接收的报文为可疑报文时，构建探测报文，并将所述探测报文在所述指定的下行接口上发送至可疑报文的发送方；

所述识别模块，用于接收可疑报文的发送方根据所述探测报文发送的网络请求报文，并根据所述网络请求报文识别异常网络互联流量。

7.根据权利要求6所述识别异常网络互联流量的装置，其特征在于，所述装置还包括：第二处理模块，用于在所述指定的下行接口上接收报文时检查已经建立的网络会话记录，确认所述报文的信息与已经建立的网络会话记录信息是否匹配；

相应的，所述建立模块，还用于在所述第二处理模块确认所述报文的信息与已经建立的网络会话记录信息不匹配时，新建所述报文的网络会话记录；

其中，所述报文的信息与已经建立的网络会话记录信息不匹配，包括：所述报文的中的源地址、目的地址、源端口号、目的端口号、接收报文的入接口和接收报文的时间戳与已经建立的网络会话记录信息不一致。

8.根据权利要求6或7所述识别异常网络互联流量的装置，其特征在于，所述第一处理模块，具体用于在所述报文的入接口为所述指定的下行接口时，确认所述报文为可疑报文。

9.根据权利要求6或7所述识别异常网络互联流量的装置，其特征在于，所述识别模块，具体用于在已经建立的网络会话记录中不存在与所述网络请求报文的网络会话记录信息匹配的信息、或所述网络请求报文的入接口不是所述指定的下行接口、或所述网络请求报文不包括可疑报文的网络会话记录所关联的标识所述可疑报文的数据特征时，识别为异常网络互联流量。

10.根据权利要求6或7所述识别异常网络互联流量的装置，其特征在于，所述装置还包括：记录模块，用于在识别异常网络互联流量后，记录异常访问用户的IP地址和访问时间。