CN106330911A - 一种cc攻击的防护方法及装置 - Google Patents

Abstract

本发明公开了一种CC攻击的防护方法及装置。该方法包括：获取发起传输控制协议TCP连接请求的客户端的IP地址；根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击；若是，则拒绝所述客户端访问。本发明实施例提供的技术方案可识别并过滤非正常客户端发起的请求，从而拒绝该客户端访问，减少服务器资源的使用，提高了CC攻击的防护效果。

Description

一种CC攻击的防护方法及装置

技术领域

本发明实施例涉及网络安全技术，尤其涉及一种CC攻击的防护方法及装置。

背景技术

随着科学技术的不断发展与提高，互联网已经成为人们生活中不可或缺的一部分。互联网安全的维护是互联网技术中的重点。

CC(Challenge Collapsar，挑战黑洞)攻击是一种以网站页面为主要攻击目标的分布式拒绝服务(Distributed Denial Of Service，DDOS)攻击。CC攻击通常是通过大量的傀儡机对被攻击的服务器发起请求，由于这些请求都是有效的，符合网络通信的协议，因此传统的网络安全设备无法对其进行识别和过滤，从而使得这些请求占用服务器的大量资源，导致服务器不能为正常的客户端发起的服务请求进行响应，达到攻击的目的。目前，CC攻击的防护方法一般为限制服务器应答客户端发起的SYN消息的个数，从而限制服务器连接的客户端数量，使得CC攻击不能通过大量的傀儡机占用服务器的大量资源。其中，SYN是通过传输控制协议/因特网互联协议(Transmission Control Protocol/InternetProtocol，TCP/IP)建立连接时使用的握手信号。

然而当服务器应答客户端发起的SYN消息的个数达到限制个数时，这种防护方法也会导致服务器拒绝正常的客户端发起的服务请求，防护效果较差。

发明内容

本发明提供一种CC攻击的防护方法及装置，以提高CC攻击的防护效果。

第一方面，本发明实施例提供了一种CC攻击的防护方法，包括：

获取发起TCP连接请求的客户端的IP地址；

根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击；

若是，则拒绝所述客户端访问。

第二方面，本发明实施例还提供了一种CC攻击的防护装置，该装置包括：

IP地址获取单元，用于获取发起TCP连接请求的客户端的IP地址；

攻击判断单元，用于根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击；

访问拒绝单元，用于若所述客户端的TCP连接请求是CC攻击，则拒绝所述客户端访问。

本发明通过获取发起TCP连接请求的客户端的IP地址，根据IP地址确定客户端的TCP连接请求是否为CC攻击，若确定客户端的TCP连接请求为CC攻击，则拒绝该客户端访问。本发明实施例可根据IP地址识别并过滤非正常客户端发起的请求，从而拒绝该客户端访问，减少服务器资源的使用，提高了CC攻击的防护效果。

附图说明

图1是本发明实施例一中的一种CC攻击的防护方法的流程示意图；

图2是本发明实施例二中的一种CC攻击的防护方法的流程示意图；

图3是本发明实施例三中的一种CC攻击的防护方法的流程示意图；

图4是本发明实施例四中的一种CC攻击的防护方法的流程示意图；

图5是本发明实施例五中的一种CC攻击的防护方法的流程示意图；

图6是本发明实施例六中的一种CC攻击的防护装置的结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

实施例一

图1为本发明实施例一提供的一种CC攻击的防护方法的流程示意图，本实施例可适用于任何需要防御CC攻击的情况，该方法可以由CC攻击的防护装置来执行，该CC攻击的防护装置可以配置在服务器中，该方法具体包括如下步骤：

步骤110、获取发起TCP连接请求的客户端的IP地址；

其中，TCP(Transmission Control Protocol，传输控制协议)是一种面向连接的可靠的传输层通信协议。TCP的连接过程包括三次握手过程。第一次握手，客户端发送SYN消息至服务器，等待服务器确认；第二次握手，服务器收到客户端发送的SYN消息，向客户端发送确认消息，即ACK消息，同时服务器还发送一个SYN消息，等待客户端确认；第三次握手，客户端收到服务器发送的ACK消息和SYN消息，向服务器发送确认消息，即ACK消息，从而完成三次握手。三次握手过程完成后，客户端可向服务器发送请求命令，请求服务器为其提供服务，服务器将客户端请求的内容发送给客户端便可断开连接，或客户端还可请求服务器将请求的内容发送至客户端时不断开连接，从而服务器在本次将客户端请求的内容发送至客户端时，不断开连接。

IP地址(Internet Protocol Address，互联网协议地址)是IP协议(InternetProtocol，互联网协议)提供的一种统一的地址格式，网络中的每个客户端都有一个唯一的IP地址。

在接收到客户端发起的TCP连接请求后，根据该TCP连接请求获取该客户端的IP地址。其中，所述TCP连接请求可以为收到客户端发送的SYN消息，也可以是三次握手成功与客户端建立TCP连接后客户端发送来的访问请求。当收到客户端发送的SYN消息时，便可知发送SYN消息的客户端的IP地址。

步骤120、根据IP地址确定客户端的TCP连接请求是否为CC攻击；

示例性的，由于每个客户端都有一个唯一的IP地址，从而可根据IP地址获得对应客户端的访问记录，对所述访问记录进行分析，并与对应的预设值进行对比，从而确定客户端的TCP连接请求是否为CC攻击。

步骤130、若是，则拒绝客户端访问。

示例性的，在与客户端未完成TCP连接三次握手时，确定该客户端的TCP连接请求为CC攻击，则可将该客户端在未连接队列中的信息删除，使得该客户端不占用资源，并记录该IP地址，屏蔽该IP地址的访问。

示例性的，若在与客户端已完成TCP连接三次握手后，确认该客户端的TCP连接请求为CC攻击，则立即断开与该客户端的连接，不与该客户端继续通信，并记录该IP地址，屏蔽该IP地址的访问。

本实施例的技术方案，通过获取发起TCP连接请求的客户端的IP地址，根据IP地址确定客户端的TCP连接请求是否为CC攻击，若确定客户端的TCP连接请求为CC攻击，则拒绝该客户端访问。本发明实施例可识别并过滤非正常客户端发起的请求，从而拒绝该客户端访问，减少服务器资源的使用，提高了CC攻击的防护效果。

实施例二

图2为本发明实施例二提供的一种CC攻击的防护方法的流程示意图。本实施例为对上述实施例的进一步优化，在本实施例中，将根据IP地址确定客户端的TCP连接请求是否为CC攻击优化为：若IP地址为非预设地区的IP地址，则确定客户端的TCP连接请求为CC攻击，该方法具体包括：

步骤210、获取发起TCP连接请求的客户端的IP地址；

步骤220、若IP地址为非预设地区的IP地址，则确定客户端的TCP连接请求为CC攻击。

示例性的，根据获取的IP地址，可通过查询IP地理位置得到获取的IP地址所属区域。

示例性的，预设地区为中国，若查询到获取的IP地址为非中国的IP地址，则确定客户端的TCP连接请求为CC攻击。

示例性的，预设地区为广东省、江苏省和北京市，若查询到获取的IP地址不是上述三个地区的IP地址，则确定客户端的TCP连接请求为CC攻击。

步骤230、拒绝客户端访问。

本实施例的技术方案，通过根据获取的IP地址是否为预设地区的IP地址，从而确定客户端的TCP连接请求是否为CC攻击，识别并过滤发起的TCP连接请求的客户端的IP地址为非预设地区的客户端，确定该客户端的TCP连接请求为CC攻击，从而拒绝该客户端访问，减少服务器资源的使用，提高了CC攻击的防护效果。

实施例三

图3为本发明实施例三提供的一种CC攻击的防护方法的流程示意图。本实施例为对上述实施例的进一步优化，在本实施例中，根据IP地址确定客户端的TCP连接请求是否为CC攻击优化为：根据IP地址获取与客户端本次建立连接的时间；若与客户端本次建立连接的时间大于第一阈值，则确定客户端的TCP连接请求为CC攻击。该方法具体包括：

步骤310、获取发起TCP连接请求的客户端的IP地址；

步骤320、根据IP地址获取与客户端本次建立连接的时间；

步骤330、若与客户端本次建立连接的时间大于第一阈值，则确定客户端的TCP连接请求为CC攻击。

其中，与客户端建立连接的时间为建立TCP连接的三次握手的时间。

示例性的，可以在与客户端建立连接的过程中周期性地获取与客户端本次建立连接的时间，若获取的与客户端本次建立连接的时间在未达到第一阈值时，已完成建立TCP连接的三次握手，则认为该客户端的TCP连接请求不是CC攻击，允许该客户端与服务器继续进行通信。若在达到第一阈值时，未完成建立TCP连接的三次握手，则确定该客户端的TCP连接请求为CC攻击。

示例性的，还可在与客户端建立连接的过程中，第一次以较长的时间获取与客户端本次建立连接的时间，而后以相对较短时间来获取与客户端本次建立连接的时间。示例性的，在客户端发起TCP连接请求的5s后获取与客户端本次建立连接的时间，而后以500ms的间隔来获取与客户端本次建立连接的时间。

上述方案中，可选的是，第一阈值为第一预设时间内与客户端建立连接的历史时间的平均值，以准确确定该TCP连接请求是否为CC攻击。

示例性的，第一预设时间可以为一个星期或一个月，本发明对此不作限定。

示例性的，获取第一预设时间内的每次与该客户端建立连接的时间，并将获取的时间的平均值作为第一阈值。

示例性的，还可通过人工来判别与客户端本次建立连接的时间是否大于第一阈值，若与客户端本次建立连接的时间大于第一阈值，则确定该客户端的TCP连接请求为CC攻击。

步骤340、拒绝客户端访问。

本实施例的技术方案，通过根据IP地址获取与客户端本次建立连接的时间，并通过确定与客户端本次建立连接的时间是否大于第一阈值，从而识别并过滤与客户端本次建立连接的时间大于一定值的客户端，确定该客户端的TCP连接请求为CC攻击，拒绝该客户端访问，减少服务器资源的使用，提高了CC攻击的防护效果。

实施例四

图4为本发明实施例四提供的一种CC攻击的防护方法的流程示意图。本实施例为对上述实施例的进一步优化，在本实施例中，根据IP地址确定客户端的TCP连接请求是否为CC攻击优化为：根据IP地址获取客户端的当前访问时间；若客户端的当前访问时间大于第二阈值，则确定客户端的TCP连接请求为CC攻击。该方法具体包括：

步骤410、获取发起TCP连接请求的客户端的IP地址；

步骤420、根据IP地址获取客户端的当前访问时间；

步骤430、若客户端的当前访问时间大于第二阈值，则确定客户端的TCP连接请求为CC攻击。

其中，访问时间为从客户端发起连接时间起至与客户端断开连接止。

示例性的，可以在客户端访问过程中周期性地获取客户端的当前访问时间，若获取的客户端的当前访问时间在未达到第二阈值时，已断开连接，则认为该客户端的TCP连接请求不是CC攻击。若当前访问时间在达到第二阈值时，未断开连接，则确定该客户端的TCP连接请求为CC攻击。

示例性的，还可在客户端访问过程中，第一次以较长的时间获取客户端的当前访问时间，而后以相对较短时间来获取客户端的当前访问时间。示例性的，在客户端发起TCP连接请求的1min后获取客户端的当前访问时间，而后以5s的间隔来获取客户端的当前访问时间。

上述方案中，可选的是，第二阈值为第二预设时间内客户端的历史访问时间的平均值。

示例性的，第二预设时间可以为一个星期或一个月，本发明对此不作限定。

示例性的，获取第二预设时间内的该客户端的每次历史访问时间，并将获取的时间的平均值作为第二阈值。

示例性的，还可通过人工来进行判别客户端的当前访问时间是否大于第二阈值，若客户端的当前访问时间大于第二阈值，则确定该客户端的TCP连接请求为CC攻击。

步骤440、拒绝客户端访问。

本实施例的技术方案通过根据IP地址获取与客户端的当前访问时间，并通过确定客户端的当前访问时间是否大于第二阈值，从而识别并过滤当前访问时间大于一定值的客户端，确定该客户端的TCP连接请求为CC攻击，拒绝该客户端访问，减少服务器资源的使用，提高了CC攻击的防护效果。

实施例五

图5为本发明实施例五提供的一种CC攻击的防护方法的流程示意图。本实施例为对上述实施例的进一步优化，在本实施例中，根据IP地址确定客户端的TCP连接请求是否为CC攻击优化为：根据IP地址获取客户端的请求命令；若客户端的请求命令为非预设的请求命令，则客户端的TCP连接请求为CC攻击。该方法具体包括：

步骤510、获取发起TCP连接请求的客户端的IP地址；

步骤520、根据IP地址获取客户端的请求命令；

步骤530、若客户端的请求命令为非预设的请求命令，则客户端的TCP连接请求为CC攻击。

其中，请求命令为在客户端与服务器建立连接后，客户端向服务器发送的请求命令。

示例性的，客户端发送的请求命令一般为请求访问某一网页，请求访问某一文件，请求上传文件或请求进行付费操作等。

示例性的，预设的请求命令可以为上述任意请求命令或自定义的请求命令。若客户端发送的请求命令为预设的请求命令，则认为该客户端的TCP连接请求不是CC攻击，否则，则确认该客户端的TCP连接请求为CC攻击。

示例性的，还可以通过机器学习的方式进行识别该客户端的请求命令是否为预设的请求命令，典型的机器学习方法包括：神经网络、支持向量机、贝叶斯学习及聚类分析等算法。

示例性的，还可通过人工方式识别客户端的请求命令是否为预设的命令。

示例性的，若请求命令为预设的请求命令，但服务器将其请求内容发送至该客户端后，该客户端并未进行相应操作，则认为该客户端的TCP连接请求为CC攻击。

示例性的，若请求命令为付费操作，但在服务器将对应请求内容发送至该客户端时，该客户端并未进行付费，即没有该客户端对应的付费记录，则认为该客户端的TCP连接请求为CC攻击。

步骤540、拒绝客户端访问。

本实施例的技术方案，通过根据IP地址获取客户端的请求命令，并通过确定请求命令是否为预设的请求命令，从而识别并过滤请求命令不符合预设请求命令的客户端，确定该客户端的TCP连接请求为CC攻击，拒绝该客户端访问，减少服务器资源的使用，提高了CC攻击的防护效果。

实施例六

图6为本发明实施例六提供的一种CC攻击的防护装置的结构示意图。该装置包括：

IP地址获取单元610，用于获取发起TCP连接请求的客户端的IP地址；

攻击判断单元620，用于根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击；

访问拒绝单元630，用于若所述客户端的TCP连接请求是CC攻击，则拒绝所述客户端访问。

上述方案中，可选的是，攻击判断单元具体用于：

若所述IP地址为非预设地区的IP地址，则确定所述客户端的TCP连接请求为CC攻击。

上述方案中，可选的是，攻击判断单元具体用于：

根据所述IP地址获取与所述客户端本次建立连接的时间；

若所述与所述客户端本次建立连接的时间大于第一阈值，则确定所述客户端的TCP连接请求为CC攻击。

上述方案中，可选的是，第一阈值为第一预设时间内与客户端建立连接的历史时间的平均值。

上述方案中，可选的是，攻击判断单元具体用于：

根据所述IP地址获取所述客户端的当前访问时间；

若所述客户端的当前访问时间大于第二阈值，则确定所述客户端的TCP连接请求为CC攻击。

上述方案中，可选的是，第二阈值为第二预设时间内客户端的历史访问时间的平均值。

上述方案中，可选的是，攻击判断单元具体用于：

根据所述IP地址获取所述客户端的请求命令；

若所述客户端的请求命令为非预设的请求命令，则确定所述客户端的TCP连接请求为CC攻击。

上述装置可执行本发明任意实施例所提供的方法，具备执行上述方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本发明实施例所提供的方法。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (14)

1.一种CC攻击的防护方法，其特征在于，包括：

获取发起传输控制协议TCP连接请求的客户端的IP地址；

根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击；

若是，则拒绝所述客户端访问。

2.根据权利要求1所述的CC攻击的防护方法，其特征在于，所述根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击，包括：

若所述IP地址为非预设地区的IP地址，则确定所述客户端的TCP连接请求为CC攻击。

3.根据权利要求1所述的CC攻击的防护方法，其特征在于，所述根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击，包括：

根据所述IP地址获取与所述客户端本次建立连接的时间；

若所述与所述客户端本次建立连接的时间大于第一阈值，则确定所述客户端的TCP连接请求为CC攻击。

4.根据权利要求3所述的CC攻击的防护方法，其特征在于，所述第一阈值为第一预设时间内与所述客户端建立连接的历史时间的平均值。

5.根据权利要求1所述的CC攻击的防护方法，其特征在于，所述根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击，包括：

根据所述IP地址获取所述客户端的当前访问时间；

若所述客户端的当前访问时间大于第二阈值，则确定所述客户端的TCP连接请求为CC攻击。

6.根据权利要求5所述的CC攻击的防护方法，其特征在于，所述第二阈值为第二预设时间内所述客户端的历史访问时间的平均值。

7.根据权利要求1所述的CC攻击的防护方法，其特征在于，所述根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击，包括：

根据所述IP地址获取所述客户端的请求命令；

若所述客户端的请求命令为非预设的请求命令，则确定所述客户端的TCP连接请求为CC攻击。

8.一种CC攻击的防护装置，其特征在于，包括：

IP地址获取单元，用于获取发起TCP连接请求的客户端的IP地址；

攻击判断单元，用于根据所述IP地址确定所述客户端的TCP连接请求是否为CC攻击；

访问拒绝单元，用于若所述客户端的TCP连接请求是CC攻击，则拒绝所述客户端访问。

9.根据权利要求8所述的CC攻击的防护装置，其特征在于，所述攻击判断单元具体用于：

若所述IP地址为非预设地区的IP地址，则确定所述客户端的TCP连接请求为CC攻击。

10.根据权利要求8所述的CC攻击的防护装置，其特征在于，所述攻击判断单元具体用于：

根据所述IP地址获取与所述客户端本次建立连接的时间；

若所述与所述客户端本次建立连接的时间大于第一阈值，则确定所述客户端的TCP连接请求为CC攻击。

11.根据权利要求10所述的CC攻击的防护装置，其特征在于，所述第一阈值为第一预设时间内与所述客户端建立连接的历史时间的平均值。

12.根据权利要求8所述的CC攻击的防护装置，其特征在于，所述攻击判断单元具体用于：

根据所述IP地址获取所述客户端的当前访问时间；

若所述客户端的当前访问时间大于第二阈值，则确定所述客户端的TCP连接请求为CC攻击。

13.根据权利要求12所述的CC攻击的防护装置，其特征在于，所述第二阈值为第二预设时间内所述客户端的历史访问时间的平均值。

14.根据权利要求1所述的CC攻击的防护装置，其特征在于，所述攻击判断单元具体用于：

根据所述IP地址获取所述客户端的请求命令；

若所述客户端的请求命令为非预设的请求命令，则确定所述客户端的TCP连接请求为CC攻击。