CN106453373A

CN106453373A - 一种高效的SYN Flood攻击识别及处置方法

Info

Publication number: CN106453373A
Application number: CN201610959361.8A
Authority: CN
Inventors: 毛帅
Original assignee: Beijing Future Information Technology Co Ltd
Current assignee: Beijing Future Information Technology Co Ltd
Priority date: 2016-11-03
Filing date: 2016-11-03
Publication date: 2017-02-22

Abstract

本发明公开了一种高效的SYN Flood攻击识别及处置方法。本方法为：1)在服务器端设置一用于保存待分类IP名单的New表、一用于保存IP白名单的White表和一用于保存IP黑名单的Black表；2)服务端丢弃每个连接请求上的第一个SYN数据包，并将该SYN数据包的源地址记录到该New表中；3)服务器端对收到的每一连接请求的SYN数据包，获取该SYN数据包的源地址；如果该源地址位于该New表中，则将该源地址转入到该White表中，如果该源地址位于该Black表中，则直接丢弃该SYN数据包。本发明的识别率高达98％，可以将攻击影响降到最低。

Description

一种高效的SYN Flood攻击识别及处置方法

技术领域

本发明涉及一种高效的SYN Flood攻击识别及处置方法，属于网络技术领域。

背景技术

SYN Flood是目前非常流行的DDoS攻击方式，这是一种利用TCP协议缺陷，伪造大量的TCP连接请求，从而使得被攻击方资源耗尽(CPU耗尽、内存不足、带宽被打满等)的攻击方式。

TCP是Transmission Control Protocol的简写，中文译作传输控制协议。TCP是面向连接的通信协议，提供的是一种稳定、可靠的数据流服务。

TCP要通过“三次握手”建立连接：

第一次握手：客户端发送SYN包(syn＝j)到服务端，并进入SYN_SEND状态

第二次握手：服务端收到客户端发送的SYN包后，返回SYN+ACK包(syn＝k,ack＝j+1)给客户端，并进入SYN_RECV状态

第三次握手：客户端收到服务端的SYN+ACK包后，向服务端发送ACK(ack＝k+1)包；客户端和服务端进入ESTABLISHED状态，完成三次握手

问题就是出在这“三次握手”过程中：假如一个用户向服务端发送了SYN报文后突然死机或掉线，那么服务端发出的SYN+ACK报文无法收到客户端的ACK报文，这时服务端一般会进行重试发送SYN+ACK报文并等待一段时间后丢弃这个未完成的连接，这段时间为SYNTimeout，但这期间服务端会维护一个半连接表。SYN Foold攻击时会有海量的伪造IP向服务端发送SYN包，这时服务端会维护一个庞大的半连接表，造成服务端端资源耗尽，无法响应正常的请求。

发明内容

针对现有技术中存在的技术问题，本发明的目的在于提供一种高效的SYN Flood攻击识别及处置方法。

正常的TCP连接建立时，客户端发送SYN数据包给服务端后，如果一定时间内没有收到服务端返回的SYN+ACK包时会认为数据包丢失，客户端就会重新发送。这个特性非常适合识别目前通过伪造源IP进行SYN Flood的攻击，因为伪造的源地址根本不会进行超时重传。

本发明的技术方案为：

一种高效的SYN Flood攻击识别及处置方法，其步骤为：

1)在服务器端设置一用于保存待分类IP名单的New表、一用于保存IP白名单的White表和一用于保存IP黑名单的Black表；

2)服务器端丢弃每个连接请求上的第一个SYN数据包，并将该SYN数据包的源地址记录到该New表中；

3)服务器端对收到的每一连接请求的SYN数据包，获取该SYN数据包的源地址；如果该源地址位于该New表中，则将该源地址转入到该White表中，如果该源地址位于该Black表中，则直接丢弃该SYN数据包。

进一步的，该New中的每个源地址设置一存活时间；当该New表中一源地址超过该存活时间后，服务器端自动删除该源地址并将其记录到该Black表中。

进一步的，步骤2)中，服务器端根据New表、White表和Black表判断每个连接请求的SYN数据包是否为该连接请求的第一个SYN数据包；即，如果该连接请求的SYN数据包的源地址均不存在于New表、White表和Black表中，则判断该连接请求的SYN数据包是该连接请求的第一个SYN数据包；然后服务器端丢弃该SYN数据包并将该SYN数据包的源地址记录到该New表中。

进一步的，步骤3)中，如果该源地址位于该New表中，则将该源地址转入到该White表中并建立服务器端与该源地址之间的连接。

进一步的，所述存活时间小于或等于20秒。

进一步的，所述连接请求为TCP连接请求。与现有技术相比，本发明的积极效果为：

本发明通过TCP的超时重传机制识别SYN Flood攻击，服务端针对伪造源IP的SYNFlood攻击准确识别率高达98％，可以将攻击影响降到最低。

附图说明

图1为本发明方法的流程图。

具体实施方式

下面结合附图，对优选实施例作详细说明。应该强调的是下述说明仅仅是示例性的，而不是为了限制本发明的范围及其应用。

此发明的原理图如下：

服务端故意丢弃每个连接请求上的第一个SYN数据包，后续的SYN只有遵守TCP超时重传机制才能通过。

对所有请求的源地址进行分类并记录，源地址共分为3类

●New：待分类IP名单。如果源地址已在此表则代表是TCP重传数据包，请求通过并将源地址移动到Whiter表。

●White：IP白名单。如果源地址在此表则请求直接通过。

●Black：IP黑名单。如果源地址在此表则请求直接丢弃。

如果Client的IP不在上面的3个表中则将数据包直接丢弃，同时将Client IP记录到New表；New中的每个IP存活时间20秒(记录到此表的IP 20秒后将会被自动删除同时将IP记录到Black表)。

另外从实际获取到的DDoS攻击数据来看，暂时没发生过伪造固定IP攻击的情况(很容易通过构造一个计数器等方式进行识别)

实施例1

1、客户端向服务器发起TCP连接建立请求。

2、服务器端丢弃该连接请求的第一个SYN数据包并将该SYN数据包中的客户端IP记录到New表。

3、达到超时重传时间后，客户端没有收到服务器端的响应，会再次发送连接请求。

4、服务器端发现该连接请求的客户端IP在New表，请求通过，同时将客户端IP从New表移到White表。

实施例2

1、恶意客户端通过伪造的随机源IP向服务器发起TCP连接建立请求。

2、服务器端丢弃该连接请求的第一个SYN数据包并将该SYN数据包的客户端IP记录到New表。

3、20秒后，服务器端发现没有同一IP的再次连接请求，服务器端会将伪造的源IP从New表移到Black表。

4、恶意客户端伪造随机源IP如果超时20秒后重复，请求会被服务器端直接丢弃。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims

1.一种高效的SYN Flood攻击识别及处置方法，其步骤为：

2.如权利要求1所述的方法，其特征在于，该New中的每个源地址设置一存活时间；当该New表中一源地址超过该存活时间后，服务器端自动删除该源地址并将其记录到该Black表中。

3.如权利要求1或2所述的方法，其特征在于，步骤2)中，服务器端根据New表、White表和Black表判断每个连接请求的SYN数据包是否为该连接请求的第一个SYN数据包；即，如果该连接请求的SYN数据包的源地址均不存在于New表、White表和Black表中，则判断该连接请求的SYN数据包是该连接请求的第一个SYN数据包；然后服务器端丢弃该SYN数据包并将该SYN数据包的源地址记录到该New表中。

4.如权利要求1或2所述的方法，其特征在于，步骤3)中，如果该源地址位于该New表中，则将该源地址转入到该White表中并建立服务器端与该源地址之间的连接。

5.如权利要求2所述的方法，其特征在于，所述存活时间小于或等于20秒。

6.如权利要求1所述的方法，其特征在于，所述连接请求为TCP连接请求。