CN105991509A - 会话处理方法及装置 - Google Patents

Abstract

本申请提供一种会话处理方法及装置，应用于网络安全设备上，该方法包括：计算接收到的属于同一会话的数据报文中的数据的发送速率；当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。本申请充分利用慢速攻击报文的特点，快速准确地识别出慢速攻击报文，该识别方法更加灵活，不受限于具体的报文特征，便于维护，同时，提高了对慢速攻击报文的处理效率。

Description

会话处理方法及装置

技术领域

本申请涉及网络通信技术领域，尤其涉及会话处理方法及装置。

背景技术

随着网络的高速发展，网络安全问题也日渐增多。DDoS(DistributedDenial of Service，分布式拒绝服务)攻击是目前最强大、最难防御的攻击之一，其主要目的是让指定目标无法提供正常服务。以往的DDoS攻击主要以单一报文的大流量攻击为主，近几年来已演变为慢速攻击，该慢速攻击更具有隐蔽性，是对正常网络协议的变形，完全符合协议要求，因此，对慢速攻击的防护更加困难。

现有技术方案利用慢速攻击工具在报文的特定字节进行固定填充的特性，建立慢速攻击特征库。将接收的报文与特征库比对，若匹配成功，说明该报文为慢速攻击报文，中断连接。但是该技术方案不够灵活，若慢速攻击工具升级，特定字节或固定填充内容发生变化，则无法避免攻击。

发明内容

有鉴于此，本申请提供了一种会话处理方法，应用于网络安全设备上，该方法包括：

计算接收到的属于同一会话的数据报文中的数据的发送速率；

当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。

本申请还提供了一种会话处理装置，应用于网络安全设备上，该装置包括：

计算单元，用于计算接收到的属于同一会话的数据报文中的数据的发送速率；

断开单元，用于当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。

本申请中网络安全设备计算接收到的属于同一会话的数据报文中的数据的发送速率，当该数据的发送速率小于预设的数据速率阈值时，断开该数据报文对应的会话连接。本申请充分利用了慢速攻击报文的特点，即慢速攻击报文的发送速率远低于正常数据报文的发送速率，且慢速攻击报文中的数据长度较小，从而更加快速准确地识别出慢速攻击报文，该识别方法更加灵活，不受限于具体的报文特征，便于维护，同时，提高了对慢速攻击报文的处理效率。

附图说明

图1是本申请一种实施例中会话处理方法的处理流程图；

图2是本申请一种实施例中会话处理装置的基础硬件示意图；

图3是本申请一种实施例中会话处理装置的结构示意图。

具体实施方式

为使本申请的目的、技术方案及优点更加清楚明白，以下参照附图对本申请所述方案作进一步地详细说明。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

随着网络的高速发展，网络安全问题也日渐增多。DDoS攻击是目前最强大、最难防御的攻击之一，其主要目的是让指定目标无法提供正常服务。目前比较流行的DDoS慢速攻击具有极强的隐蔽性，主要针对特定的应用或者服务让服务器保持会话连接状态，当大量的恶意会话建立连接而不释放时，将造成系统资源耗尽，最终导致拒绝服务。该慢速攻击不同于以往的单一报文的大流量攻击，而是采取对正常网络协议变形的方式，从表面看完全符合协议要求，因此，增加了慢速攻击的防护难度。

现有技术方案利用慢速攻击工具在报文的特定字节进行固定填充的特性，建立慢速攻击特征库。将接收的报文与特征库比对，若匹配成功，说明该报文为慢速攻击报文，中断对应的会话连接。但是该技术方案不够灵活，若慢速攻击工具升级，特定字节或固定填充内容发生变化，则慢速攻击无法避免，大量恶意会话建立导致系统资源耗尽，服务器无法继续提供服务。

针对上述问题，本申请实施例提出一种会话处理的方法，该方法中网络安全设备计算接收到的属于同一会话的数据报文的发送速率，当该数据报文的发送速率小于预设的报文速率阈值时，断开该数据报文对应的会话连接。

本申请实施例以常见的两种慢速攻击类型Slowloris攻击和Slow HTTPPost攻击为例介绍会话处理过程。首先，简单介绍一下两种慢速攻击原理：Slowloris攻击表现为攻击设备以极低的速度向服务器发送HTTP请求报文，该HTTP请求报文以一个\r\n结束(完整的HTTP请求报文以\r\n\r\n结束，以表示客户端设备数据发送完毕)，且数据长度较短，通过周期发送以保持会话连接状态；Slow HTTP Post攻击表现为在Post报文的数据总长度字节填充一个很大的值，但在实际传输时Post报文携带的数据长度却很短，同样通过周期发送，保持会话连接。

参见图1，为本申请会话处理方法的一个实施例流程图，具体处理过程如下：

步骤110，计算接收到的属于同一会话的数据报文中的数据的发送速率。

在网络安全设备中可以根据需要防护的慢速攻击类型进行配置，假设，网络安全设备配置为只针对Slowloris攻击和Slow HTTP Post攻击进行检查和防护，则网络安全设备在接收到数据报文时，若该数据报文为HTTP请求报文，且以一个\r\n结尾，可初步判断该数据报文为疑似慢速攻击报文；或者该数据报文为Post报文，且该Post报文满足下述条件：发送该Post报文的客户端设备与服务器建立连接后，客户端设备发送的首个Post报文中的数据总长度(位于Post报文中的Content-Length字段中)大于预设的数据长度阈值，则该首个Post报文及后续Post报文可初步判断为疑似慢速攻击报文，其中，数据长度阈值可根据服务器的性能由用户自行配置。

通过上述处理可以排除大量正常的数据报文，对于初步确定为疑似慢速攻击报文的数据报文还需要进一步排查。首先，从数据报文中获取源IP地址，判断该源IP地址是否命中网络安全设备中预存的黑名单表项，该黑名单表项中保存了当前已被确认为慢速攻击设备的IP地址，网络安全设备根据判断结果分为以下两种情况处理。

当获取的源IP地址命中黑名单表项时，说明发送该数据报文的客户端设备早已被作为慢速攻击设备列入黑名单，因此，网络安全设备向客户端设备以及服务器发送复位报文，以断开此次连接。

当获取的源IP地址未命中黑名单表项时，说明发送数据报文的客户端设备还未确认为慢速攻击设备，则查询是否存在该数据报文对应的会话表项。根据查询结果进行如下处理：

当不存在该数据报文对应的会话表项时，创建该数据报文对应的会话表项，并记录该会话表项的创建时间。

当存在该数据报文对应的会话表项时，累积该数据报文中的数据长度，判断当前时间与会话表项的创建时间的时间差值是否达到预设的报文检测时长，该报文检测时长可根据服务器的性能由用户自行配置，报文检测时长越长，对慢速攻击的判断越准确，但同时会造成对慢速攻击的防御不及时，因此，需要综合考虑选择一个合理的值。当时间差值达到报文检测时长时，利用累积的数据长度除以时间差值得到数据的发送速率。

步骤120，当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。

当计算的数据的发送速率小于预设的数据速率阈值时，可以判定属于当前会话的数据报文为慢速攻击报文，此处正是利用了慢速攻击报文发送时间间隔较大且报文中的数据长度较小的特点，因此，计算得到的慢速攻击报文的数据发送速率一定小于正常报文的数据发送速率。其中，预设的数据速率阈值可以结合服务器性能以及正常报文的数据发送速率由用户自行设置。网络安全设备在确定当前数据报文为慢速攻击报文后，向发送该数据报文的客户端设备以及服务器发送复位报文，以中断会话连接，删除对应的会话表项。

此外，网络安全设备在确定数据报文为慢速攻击报文时，可以从数据报文中获取发送数据报文的客户端设备的源IP地址，将该源IP地址添加到黑名单中，以便网络安全设备在接收到新的数据报文时，首先通过黑名单匹配，若相同，则可直接判定数据报文为慢速攻击报文，直接中断连接，无需后续处理，提高网络设备对慢速攻击的防御速度。

同时，可预设黑名单老化时长，当黑名单表项的生存时长达到预设的黑名单老化时长，则删除对应的黑名单表项，避免无用表项长期占用内存，也有利于根据网络运行情况及时更新黑名单。

与前述会话处理方法的实施例相对应，本申请还提供会话处理装置的实施例。

本申请会话处理装置的实施例可以应用在网络安全设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的CPU将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图2所示，为本申请会话处理装置所在设备的一种硬件结构图，除了图2所示的CPU、内存以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件。

请参考图3，为本申请一个实施例中的会话处理装置的结构示意图。该会话处理装置包括：计算单元301和断开单元302，其中：

计算单元301，用于计算接收到的属于同一会话的数据报文中的数据的发送速率；

断开单元302，用于当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。

进一步地，所述会话处理装置还包括：

获取单元，用于在所述计算单元301计算接收到的属于同一会话的数据报文中的数据的发送速率之前，获取所述数据报文的源IP地址；

判断单元，用于判断所述源IP地址是否命中预存的黑名单表项；

处理单元，用于当所述源IP地址命中所述黑名单表项时，断开所述数据报文对应的连接。

进一步地，所述会话处理装置还包括：

所述处理单元，还用于当所述源IP地址未命中所述黑名单表项时，查询是否存在所述数据报文对应的会话表项；当不存在所述数据报文对应的会话表项时，创建所述数据报文对应的会话表项；记录所述会话表项的创建时间；当存在所述数据报文对应的会话表项时，累积所述数据报文中的数据长度；

所述计算单元301，具体用于判断当前时间与所述会话表项的创建时间的时间差值是否达到预设的报文检测时长；当所述时间差值达到所述报文检测时长时，根据累积的数据长度以及所述时间差值计算所述数据的发送速率。

进一步地，所述会话处理装置还包括：

创建单元，用于在所述断开单元302断开所述数据报文对应的会话连接之后，获取所述数据报文中的源IP地址；根据所述源IP地址创建黑名单表项。

进一步地，所述会话处理装置还包括：

删除单元，用于获取预设的黑名单老化时长；当所述黑名单表项的生存时长达到预设的黑名单表项老化时长时，删除对应的黑名单表项。

上述图3示出的会话处理装置的实施例，其具体实现过程可参见前述方法实施例的说明，在此不再赘述。

从以上方法和装置的实施例中可以看出，本申请中网络安全设备计算接收到的属于同一会话的数据报文中的数据的发送速率，当该数据的发送速率小于预设的数据速率阈值时，断开该数据报文对应的会话连接。本申请充分利用了慢速攻击报文的特点，即慢速攻击报文的发送速率远低于正常数据报文的发送速率，且慢速攻击报文中的数据长度较小，从而更加快速准确地识别出慢速攻击报文，该识别方法更加灵活，不受限于具体的报文特征，便于维护，同时，提高了对慢速攻击报文的处理效率。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种会话处理方法，应用于网络安全设备上，其特征在于，该方法包括：

计算接收到的属于同一会话的数据报文中的数据的发送速率；

当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。

2.如权利要求1所述的方法，其特征在于，所述计算接收到的属于同一会话的数据报文中的数据的发送速率之前，还包括：

获取所述数据报文的源IP地址；

判断所述源IP地址是否命中预存的黑名单表项；

当所述源IP地址命中所述黑名单表项时，断开所述数据报文对应的连接。

3.如权利要求2所述的方法，其特征在于，所述方法还包括：

当所述源IP地址未命中所述黑名单表项时，查询是否存在所述数据报文对应的会话表项；

当不存在所述数据报文对应的会话表项时，创建所述数据报文对应的会话表项；记录所述会话表项的创建时间；

当存在所述数据报文对应的会话表项时，累积所述数据报文中的数据长度；

所述计算接收到的属于同一会话的数据报文中的数据的发送速率，具体包括：

判断当前时间与所述会话表项的创建时间的时间差值是否达到预设的报文检测时长；

当所述时间差值达到所述报文检测时长时，根据累积的数据长度以及所述时间差值计算所述数据的发送速率。

4.如权利要求1所述的方法，其特征在于，所述断开所述数据报文对应的会话连接之后，还包括：

获取所述数据报文中的源IP地址；

根据所述源IP地址创建黑名单表项。

5.如权利要求4所述的方法，其特征在于，所述方法还包括：

获取预设的黑名单老化时长；

当所述黑名单表项的生存时长达到预设的黑名单表项老化时长时，删除对应的黑名单表项。

6.一种会话处理装置，应用于网络安全设备上，其特征在于，该装置包括：

计算单元，用于计算接收到的属于同一会话的数据报文中的数据的发送速率；

断开单元，用于当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。

7.如权利要求6所述的装置，其特征在于，所述装置还包括：

获取单元，用于在所述计算单元计算接收到的属于同一会话的数据报文中的数据的发送速率之前，获取所述数据报文的源IP地址；

判断单元，用于判断所述源IP地址是否命中预存的黑名单表项；

处理单元，用于当所述源IP地址命中所述黑名单表项时，断开所述数据报文对应的连接。

8.如权利要求7所述的装置，其特征在于，所述装置还包括：

所述处理单元，还用于当所述源IP地址未命中所述黑名单表项时，查询是否存在所述数据报文对应的会话表项；当不存在所述数据报文对应的会话表项时，创建所述数据报文对应的会话表项；记录所述会话表项的创建时间；当存在所述数据报文对应的会话表项时，累积所述数据报文中的数据长度；

所述计算单元，具体用于判断当前时间与所述会话表项的创建时间的时间差值是否达到预设的报文检测时长；当所述时间差值达到所述报文检测时长时，根据累积的数据长度以及所述时间差值计算所述数据的发送速率。

9.如权利要求6所述的装置，其特征在于，所述装置还包括：

创建单元，用于在所述断开单元断开所述数据报文对应的会话连接之后，获取所述数据报文中的源IP地址；根据所述源IP地址创建黑名单表项。

10.如权利要求9所述的装置，其特征在于，所述装置还包括：

删除单元，用于获取预设的黑名单老化时长；当所述黑名单表项的生存时长达到预设的黑名单表项老化时长时，删除对应的黑名单表项。