CN106506547B - 针对拒绝服务攻击的处理方法、waf、路由器及系统 - Google Patents

Abstract

本发明公开了一种针对拒绝服务攻击的处理方法、WAF、路由器及系统，涉及互联网技术领域，主要目的在于解决现有技术中在云端服务器进行云防护的时间间隔内目标网站被攻击，威胁目标网站的安全的问题。本发明的技术方案包括：Web应用防火墙WAF获取目标网站的访问信息；对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控；若监控到所述叠加后的访问信息超过预设访问阈值，则对所述访问信息进行拦截处理。主要应用于防止CC攻击过程中。

Description

针对拒绝服务攻击的处理方法、WAF、路由器及系统

技术领域

本发明涉及互联网技术领域，特别是涉及一种针对拒绝服务攻击的处理方法、WAF、路由器及系统。

背景技术

分布式拒绝服务(Distributed Denial of Service，DDoS)攻击是指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或者多个目标发起拒绝服务器(Denial of Service，DOS)攻击，从而提高DOS攻击的破坏程度。伴随着互联网的发展，DDoS攻击也随之发展，DDoS攻击的种类也越来越多，其中，CC(ChallengeCollapsar)攻击是DDoS攻击的一种类型，CC攻击主要用来攻击网站页面，模拟多个用户不停地对一个目标网站进行访问，占用大量的中央处理器(Central Processing Unit，CPU)，造成服务器资源耗尽，一直到宕机崩溃。

目前，可通过云防护的方式防止CC攻击，其中，云防护原理具体如下：监控范围内的各个机房向云端服务器上传源网站的访问数据，云端服务器接收各个机房发送的源网站的访问数据，并对访问数据进行统计分析，根据分析结果确定哪些或者哪个源网站存在CC攻击，并对该CC攻击进行及时防护，以确保被攻击源网站的安全。

在实施上述方法的过程中发现至少存在如下问题：由于云端服务器在确定CC攻击时，需要一定的时间间隔完成云防护，包括：数据接收、数据分析及数据响应；但是，在实际应用中，当某个源站受CC攻击时，可能只需较短的时间，该源站被CC攻击的时间要小于云端服务器进行云防护的时间，即在云防护的时间间隔内，源站可能已经被CC攻击，威胁源站的安全，严重时可能会发生源站崩溃。

发明内容

有鉴于此，本发明提供的一种针对拒绝服务攻击的处理方法、WAF、路由器及系统，主要目的在于解决现有技术中在云端服务器进行云防护的时间间隔内目标网站被攻击，威胁目标网站的安全的问题。

依据本发明第一方面，本发明提供了一种针对拒绝服务攻击的处理方法，包括：

Web应用防火墙WAF获取目标网站的访问信息；

对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控；

若监控到所述叠加后的访问信息超过预设访问阈值，则对所述访问信息进行拦截处理。

第二方面，本发明提供一种针对拒绝服务器攻击的处理方法，包括：

路由器接收Web应用防火墙WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息；

对所述访问信息进行解析，获取所述目标网站对应的标识信息；

根据所述目标网站对应的标识信息，计算所述目标网站的访问量；

若所述目标网站的访问量小于预设访问量，则将接收的所述目标网站的访问请求做禁止访问处理。

第三方面，本发明还提供一种WAF，包括：

获取单元，用于获取目标网站的访问信息；

叠加单元，用于对所述获取单元获取的所述访问信息进行叠加处理；

监控单元，用于对所述叠加单元叠加后的访问信息进行实时监控；

处理单元，用于当所述监控单元监控到所述叠加后的访问信息超过预设访问阈值时，对所述访问信息进行拦截处理。

第四方面，本发明提供一种路由器，包括：

接收单元，用于接收Web应用防火墙WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息；

解析单元，用于对所述接收单元接收到的所述访问信息进行解析；

获取单元，用于在所述解析单元对所述访问信息进行解析后，获取所述目标网站对应的标识信息；

计算单元，用于根据所述获取单元获取的所述目标网站对应的标识信息，计算所述目标网站的访问量；

处理单元，用于当所述计算单元计算的所述目标网站的访问量小于预设访问量时，将接收的所述目标网站的访问请求做禁止访问处理。

第五方面，本发明还提供一种针对拒绝服务攻击的处理系统，所述系统包括：

Web应用防火墙WAF，用于获取目标网站的访问信息，对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控；若监控到所述叠加后的访问信息超过预设访问阈值，则对所述访问信息进行拦截处理；

所述WAF，还用于将汇总后的访问信息发送至路由器；

所述路由器，用于接收所述WAF发送的汇总后的访问信息，对所述访问信息进行解析，获取所述目标网站对应的标识信息；根据所述目标网站对应的标识信息，计算所述目标网站的访问量；若所述目标网站的访问量小于预设访问量，则将接收到的所述目标网站的访问请求忽略。

可选的，所述系统还包括：

所述WAF，还用于向云端服务器发送访问信息；

所述云端服务器，用于接收所述WAF发送的所述访问信息，并对所述访问信息进行分析，确定拒绝服务攻击的攻击源。

借由上述技术方案，本发明提供的针对拒绝服务攻击的处理方法、WAF、路由器及系统，WAF获取目标网站的访问信息，对刚问信息进行叠加处理，并对叠加后的访问信息进行实时监控，若监控到叠加后的访问信息超过预设访问阈值，则对访问信息进行拦截处理，与现有技术相比，本发明能够实时对接收到的访问信息进行监控，有效预防目标网站在短时间内收到拒绝服务攻击，确保目标网站的安全。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的一种B/S结构示意图；

图2示出了本发明实施例提供的一种针对拒绝服务供给的处理方法的流程图；

图3示出了本发明实施例提供的第二种针对拒绝服务供给的处理方法的流程图；

图4示出了本发明实施例提供的第三种针对拒绝服务供给的处理方法的流程图；

图5示出了本发明实施例提供的一种WAF的组成框图；

图6示出了本发明实施例提供的另一种WAF的组成框图；

图7示出了本发明实施例提供的一种路由器的组成框图；

图8示出了本发明实施例提供的另一种路由器的组成框图；

图9示出了本发明实施例提供的一种针对拒绝服务攻击的处理系统的组成框图；

图10示出了本发明实施例提供的另一种针对拒绝服务攻击的处理系统的组成框图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

在对本发明实施例所示方法进行说明之前。为了便于理解，首先，给出本发明实施例提供的B/S结构(Browser/Server，浏览器/服务器模式)的示意图，应当明确，该示意图中的内容仅是示例性的，不作为本发明实施例的实际应用场景及设备部署方式不作限定。

如图1所示，当客户基于客户端(例如：浏览器)发送的目标网站访问信息后，由路由器根据网站访问信息确定优选的路由路径，确定访问目标网站的最优路径后，将目标网站访问信息发送至互联网数据中心(Internet Data Center，IDC)中的目标网站中，以访问该目标网站，实现数据访问的完整流程。在实际应用中，为了确保IDC中各个目标网站的安全，在向IDC中的目标网站发送访问信息之前，需要通过云端Web应用防火墙(WebApplication Firewall，WAF)确认访问信息是否存在恶意攻击。

现有技术中，在接收到目标网站访问信息后，防护节点将目标网站访问信息直接发送至云端服务器，由云端服务器确认目标网站访问信息中是否携带有恶意攻击。在实际应用中，当防护节点将目标网站访问信息上传至云端服务器，由云端服务器进行数据的接收、分析及处理，需要一定的时间间隔才能完成防护，但是，在云端服务器执行防护过程中，IDC中的目标网站可能被恶意攻击，造成目标网站的崩溃。

为了解决上述问题，下面，基于图1所示的示意图，给出本发明实施例提供的一种针对拒绝服务供给的处理方法，该方法应用于WAF侧，如图2所示，所述方法包括：

101、WAF获取目标网站的访问信息。

需要说明的是，本发明实施例所述的方法相对于图1所示而言，图2所示的方法从局部拒绝服务攻击，而图1所示的云防护为从整体预防拒绝服务攻击，两者相辅相成，共同确定IDC中各个目标网站的安全。本发明实施例所述的恶意攻击包括但不局限于以下方式，例如：拒绝服务(Denial of Service，DDoS)攻击、分布式拒绝服务(Distributed Denialof Service，DDoS)攻击等等，为了便于后续表达，以下实施例会以DDoS类型的CC(ChallengeCollapsar)攻击为例进行说明，但应当明确的是，该种说明方式并非意在限定恶意攻击仅能为CC攻击。

WAF获取客户端发送的目标网站的访问信息，所述访问信息中可以包含但不局限于以下内容，例如：入流量、源IP、目的IP、链接地址、域名、数据内容等等，具体的，本发明实施例对访问信息的具体内容不作限定。

102、WAF对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控。

基于步骤101获取的访问信息，根据访问信息中的其中一种属性信息，例如入流量，对访问信息进行叠加处理，其目的在于，防止在云端服务器对目标网站进行防护过程中，目标网站突然接收到大量CC攻击，威胁目标网站的安全。

对叠加后的入流量进行实时监控，以确保目标网站的安全，需要说明的是，本发明实施例中，要求WAF的实时监控(每秒监控)，该种监控方式与云防护相结合，进一步增强了目标网站的安全。

在实际应用中，WAF可以通过统计每秒钟目标网站的入流量，若该些入流量均为正常用户访问，目标网站能够对该些访问信息进行响应，响应完成后，释放访问信息的中央处理器(Central Processing Unit，CPU)占用，并继续对下一个访问信息进行响应，如此往复。若该些访问信息的入流量为CC攻击模拟的多个用户不停的对目标网站进行访问，占用大量目标网站的CPU处理资源，造成目标网站既不能响应已经接收到的访问请求，也不能响应新接收到的访问请求，使目标网站达到超级繁忙状态，直至目标网站宕机崩溃。

103、若监控到所述叠加后的访问信息超过预设访问阈值，则WAF对所述访问信息进行拦截处理。

若监控到目标网站的当前访问信息超过了预设访问阈值，则WAF自动将接收到的访问信息进行拦截，以便目标网站对已经接收到的访问信息进行响应。

作为本发明实施例的可选方式，WAF在对访问信息拦截之后，还同步监控目标网站的当前CPU占用率，当目标网站的当前CPU占用率较小时，则WAF允许目标网站继续接收并响应访问信息。

本发明实施例提供的针对拒绝服务攻击的处理方法，WAF获取目标网站的访问信息，对刚问信息进行叠加处理，并对叠加后的访问信息进行实时监控，若监控到叠加后的访问信息超过预设访问阈值，则对访问信息进行拦截处理，与现有技术相比，本发明实施例能够实时对接收到的访问信息进行监控，有效预防目标网站在短时间内收到拒绝服务攻击，确保目标网站的安全。

进一步的，作为对上述实施例的细化和扩展，在步骤103执行WAF对所述访问信息进行拦截处理时，可以采用但不局限于以下方式进行拦截处理，例如：禁止一切访问信息继续访问目标网站，目标网站只响应访问信息，直至响应完所有的访问信息后，在重新接收其他的访问信息；或者，将访问目标网站的访问信息进行拦截，待目标网站处理完其已经接收的访问信息后，继续接收并处理被拦截的访问信息。具体的，本发明实施例对WAF拦截处理的具体实现方式不作限定。

进一步的，由图1及步骤101可知，图1所示的方式是针对CC攻击的局部防护策略，为了确保目标网站的整体安全，甚至是维护整个互联网的安全。本发明实施例中还提供一种针对拒绝服务攻击的处理方法，如图3所示，所述方法包括：

201、WAF获取目标网站的访问信息(原步骤101)。

202、WAF对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控(原步骤102)。

203、若监控到所述叠加后的访问信息超过预设访问阈值，则WAF对所述访问信息进行拦截处理(原步骤103)。

204、WAF将所述访问信息上传至云端服务器，以便所述云端服务器对所述访问信息进行分析，确定拒绝服务攻击的攻击源。

图1所示的方法是针对一个IDC进行的防护，在本步骤中，WAF将监控到的一个目标网站的访问信息上传至云端服务器，而在实际应用中，一个云端服务器会连接多个IDC，每个IDC中会包含多个目标网站，云端服务器会将各个WAF发送的访问信息进行汇总、统计、处理，根据访问信息中的源IP、目的IP、链接地址等信息确定出CC攻击的攻击源。

在云端服务器确定出攻击源后，将该攻击源的信息发送至各个WAF，以便于WAF在接收到攻击源发送的访问信息后，直接禁止其访问，增强互联网络安全。

进一步的，图2所示的实施例结合云端服务器，从局部到整体进行了CC攻击的防护，作为本发明实施例的另一种实现方式，在WAF从局部防护CC攻击后，可基于预设周期向路由器发送汇总后的访问信息，路由器接收WAF发送的访问信息，根据目标网站的不同标识，累加在预设周期内不同目标网站的访问量，若访问量小于预设访问量，则说明该目标网站可能为“僵尸网站”或者“死网站”，那么在路由器进行路由检测时，会禁止访问“僵尸网站”。其中，预设周期为一经验值，一般可设置为网络资源占用较少的时间段，例如，可设置每天的24时向路由器发送一次汇总后的访问信息等等，具体的，本发明实施例对预设周期不作具体限定。

进一步的，本发明实施例还提供一种针对拒绝服务器攻击的处理方法，该方法应用于路由器侧，如图4所示，所述方法包括：

301、路由器接收WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息。

在实际应用中，一个WAF监控一个IDC内的网站信息，而一个IDC中包含多个网站，WAF在监控IDC过程中，根据目标网站的标识信息，将该网站的访问信息进行汇总，并将其发送至路由器，路由器接收汇总后的访问信息，路由器可接收多个WAF发送的访问信息。

302、路由器对所述访问信息进行解析，获取所述目标网站对应的标识信息。

303、路由器根据所述目标网站对应的标识信息，计算所述目标网站的访问量。

路由器根据各个WAF发送的访问信息对应的标识信息，计算各个网站的访问量。

304、若所述目标网站的访问量小于预设访问量，则将接收的所述目标网站的访问请求做禁止访问处理。

所述预设访问量为可配置的参数，例如，可以配置所述预设访问量为200，也可以配置预设访问量为100等等，具体的，本发明实施例对预设访问量不做限定。

在确定目标网站的访问量小于预设访问量后，可以确定目标网站为“僵尸网站”或“死网站”，若路由器接收到的访问请求为访问目标网站，则将该条访问信息进行拦截或者忽略，禁止客户端访问僵尸网站，有效降低WAF及云端服务器的负荷压力，进而提高防CC攻击的效率。

进一步的，作为对步骤303的细化，在执行根据所述目标网站对应的标识信息，计算所述目标网站的访问量时，可以采用但不局限于以下方式实现，首先，获取预设统计列表，所述预设统计列表中记录有网站及其对应的标识信息之间的映射关系、以及网站的访问量；若所述预设统计表中记录有所述目标网站及其对应的标识信息的映射关系，则根据所述标识信息查找目标网站的访问量，并在所述目标网站的访问量的基础上进行访问量的累加；若所述预设统计表中未记录所述目标网站及其对应的标识信息的映射关系，则将所述目标网站及其对应的标识信息的映射关系、目标网站的访问量记录于所述预设统计表中。

为了便于对预设统计列表进行理解，以下将以示例的形式进行详细说明，如表1所示，表1示出了本发明实施例提供的一种预设统计列表，在该预设统计列表中包含有网站及标识信息之间的一一对应关系、以及网站的访问量，在接收到客户端发送的访问信息后，从预设统计列表中获取访问信息中目标网站的标识信息对应的访问量，若预设统计列表中存在该标识信息，则在预设统计列表记录的访问量的基础上累加访问量；若预设统计列表中不存在标识信息，则将标识信息与目标网站的隐射关系记录于预设统计表中，并将接收到的访问量记录于预设统计列表中，保存该预设统计表。需要说明的是，表1仅为示例性的举例，本发明实施例对预设统计列表记录数据的形式不作限定。

表1

进一步的，作为对图4所示方法的扩展，在对接收的所述目标网站的访问请求做禁止访问处理之前，将所述目标网站的访问量与所述预设访问量进行比对；若所述目标网站的访问量小于所述预设访问量，则在路由表内根据所述标识信息对对应的目标网站进行标记。在具体实现过程中，路由器通过路由表选择最优路径，当路由器确定出路由表中存在“僵尸网站”或“死网站”时，在路由表中对相应的网站进行标记，以确保在下次进行路由选择时，禁止访问该“僵尸网站”或“死网站”。

进一步的，对接收的所述目标网站的访问请求做禁止访问处理，具体包括：接收客户端发送的访问信息，所述访问信息中包含目标网站的标识信息；获取所述访问信息中包含的目标网站的标识信息；根据所述目标网站的标识信息，确定所述路由表中与所述标识信息对应的目标网站是否存在标记；若确定所述路由表中与所述标识信息对应的目标网站存在标记，则将所述访问信息忽略。

进一步的，作为对上述图1所示方法的实现，本发明另一实施例还提供了一种WAF。该装置实施例与前述方法实施例对应，为便于阅读，本装置实施例不再对前述方法实施例中的细节内容进行逐一赘述，但应当明确，本实施例中的装置能够对应实现前述方法实施例中的全部内容。

本发明实施例提供一种WAF，如图5所示，所述WAF包括：

获取单元41，用于获取目标网站的访问信息；

叠加单元42，用于对所述获取单元41获取的所述访问信息进行叠加处理；

监控单元43，用于对所述叠加单元42叠加后的访问信息进行实时监控；

处理单元44，用于当所述监控单元43监控到所述叠加后的访问信息超过预设访问阈值时，对所述访问信息进行拦截处理。

进一步的，如图6所述，所述处理单元44包括：

禁止模块441，用于禁止访问所述目标网站；

拦截单元442，用于将访问所述目标网站的访问信息进行拦截。

进一步的，如图6所述，所述WAF还包括：

上传单元45，用于将所述获取单元41获取的所述访问信息上传至云端服务器，以便所述云端服务器对所述访问信息进行分析，确定拒绝服务攻击的攻击源。

进一步的，如图6所述，所述WAF还包括：

发送单元46，用于基于预设周期向路由器发送汇总后的访问信息，以便所述路由器根据汇总后的访问信息进行目标网站的路由检测。

进一步的，所述访问信息包括：入流量、源IP、目的IP、链接地址、域名。

进一步的，本发明实施例还提供一种路由器，如图7所示，所述路由器包括：

接收单元51，用于接收Web应用防火墙WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息；

解析单元52，用于对所述接收单元51接收到的所述访问信息进行解析；

获取单元53，用于在所述解析单元52对所述访问信息进行解析后，获取所述目标网站对应的标识信息；

计算单元54，用于根据所述获取单元53获取的所述目标网站对应的标识信息，计算所述目标网站的访问量；

处理单元55，用于当所述计算单元54计算的所述目标网站的访问量小于预设访问量时，对接收的所述目标网站的访问请求做禁止访问处理。

进一步的，如图8所示，所述计算单元54包括：

获取模块541，用于获取预设统计列表，所述预设统计列表中记录有网站及其对应的标识信息之间的映射关系、以及网站的访问量；

查找模块542，用于当所述预设统计表中记录有所述目标网站及其对应的标识信息的映射关系时，根据所述标识信息查找目标网站的访问量；

累加模块543，用于在所述查找模块542查找的所述目标网站的访问量的基础上进行访问量的累加；

记录模块544，用于当所述预设统计表中未记录所述目标网站及其对应的标识信息的映射关系时，将所述目标网站及其对应的标识信息的映射关系、目标网站的访问量记录于所述预设统计表中。

进一步的，如图8所示，所述路由器还包括：

比对单元56，用于在所述处理单元55对接收的所述目标网站的访问请求做禁止访问处理之前，将所述目标网站的访问量与所述预设访问量进行比对；

标记单元57，用于当所述目标网站的访问量小于所述预设访问量时，根据所述目标网站的标识信息对对应的目标网站进行标记。

进一步的，如图8所示，所述处理单元55包括：

接收模块551，用于接收客户端发送的访问请求，所述访问请求中包含目标网站的标识信息；

获取模块552，用于获取所述接收模块551接收到的所述访问请求中包含的目标网站的标识信息；

确定模块553，用于根据所述获取模块552获取的所述目标网站的标识信息，确定与所述标识信息对应的目标网站是否存在标记；

禁止模块554，用于当所述确定模块553确定与所述标识信息对应的目标网站存在标记时，禁止所述客户端对所述目标网站进行访问。

进一步的，本发明实施例还提供一种针对拒绝服务攻击的处理系统，如图9所示，所述系统包括：

Web应用防火墙WAF61，用于获取目标网站的访问信息，对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控；若监控到所述叠加后的访问信息超过预设访问阈值，则对所述访问信息进行拦截处理；

所述WAF61，还用于将汇总后的访问信息发送至路由器62；

所述路由器62，用于接收所述WAF61发送的汇总后的访问信息，对所述访问信息进行解析，获取所述目标网站对应的标识信息；根据所述目标网站对应的标识信息，计算所述目标网站的访问量；若所述目标网站的访问量小于预设访问量，则将接收到的所述目标网站的访问请求忽略。

进一步的，如图10所示，所述系统还包括：

所述WAF61，还用于向云端服务器63发送访问信息；

所述云端服务器63，用于接收所述WAF61发送的所述访问信息，并对所述访问信息进行分析，确定拒绝服务攻击的攻击源。

本发明实施例提供的WAF、路由器及针对拒绝服务攻击的处理系统，WAF获取目标网站的访问信息，对刚问信息进行叠加处理，并对叠加后的访问信息进行实时监控，若监控到叠加后的访问信息超过预设访问阈值，则对访问信息进行拦截处理，与现有技术相比，本发明实施例能够实时对接收到的访问信息进行监控，有效预防目标网站在短时间内收到拒绝服务攻击，确保目标网站的安全。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

可以理解的是，上述方法及装置中的相关特征可以相互参考。另外，上述实施例中的“第一”、“第二”等是用于区分各实施例，而并不代表各实施例的优劣。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的针对拒绝服务攻击的处理方法、WAF、路由器及系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (14)

1.一种针对拒绝服务攻击的处理方法，其特征在于，包括：

Web应用防火墙WAF获取目标网站的访问信息，所述访问信息包括：入流量、源IP、目的IP、链接地址、域名；

对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控；所述对所述访问信息进行叠加处理包括：对所述访问信息中的任意一种信息进行叠加处理；

若监控到所述叠加后的访问信息超过预设访问阈值，则对所述访问信息进行拦截处理；

所述方法还包括：将所述访问信息上传至云端服务器，以便所述云端服务器对所述访问信息进行分析，确定拒绝服务攻击的攻击源；

基于预设周期向路由器发送汇总后的访问信息，以便所述路由器根据汇总后的访问信息进行目标网站的路由检测；路由器接收Web应用防火墙WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息；根据在预设周期内的目标网站的标识信息，累加目标网站的访问量；若所述目标网站的访问量小于预设访问量，则对接收的所述目标网站的访问请求做禁止访问处理。

2.根据权利要求1所述的方法，其特征在于，对所述访问信息进行拦截处理包括：

禁止访问所述目标网站；

或者，将访问所述目标网站的访问信息进行拦截。

3.一种针对拒绝服务器攻击的处理方法，其特征在于，包括：

路由器接收Web应用防火墙WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息；

对所述访问信息进行解析，获取所述目标网站对应的标识信息；

根据所述目标网站对应的标识信息，计算所述目标网站的访问量；

若所述目标网站的访问量小于预设访问量，则对接收的所述目标网站的访问请求做禁止访问处理。

4.根据权利要求3所述的方法，其特征在于，根据所述目标网站对应的标识信息，计算所述目标网站的访问量包括：

获取预设统计列表，所述预设统计列表中记录有网站及其对应的标识信息之间的映射关系、以及网站的访问量；

若所述预设统计列表中记录有所述目标网站及其对应的标识信息的映射关系，则根据所述标识信息查找目标网站的访问量，并在所述目标网站的访问量的基础上进行访问量的累加；

若所述预设统计列表中未记录所述目标网站及其对应的标识信息的映射关系，则将所述目标网站及其对应的标识信息的映射关系、目标网站的访问量记录于所述预设统计列表中。

5.根据权利要求4所述的方法，其特征在于，在对接收的所述目标网站的访问请求做禁止访问处理之前，所述方法还包括：

将所述目标网站的访问量与所述预设访问量进行比对；

若所述目标网站的访问量小于所述预设访问量，则根据所述目标网站的标识信息对对应的目标网站进行标记。

6.根据权利要求5所述的方法，其特征在于，对接收的所述目标网站的访问请求做禁止访问处理包括：

接收客户端发送的访问请求，所述访问请求中包含目标网站的标识信息；

获取所述访问请求中包含的目标网站的标识信息；

根据所述目标网站的标识信息，确定与所述标识信息对应的目标网站是否存在标记；

若与所述标识信息对应的目标网站存在标记，则禁止所述客户端对所述目标网站进行访问。

7.一种Web应用防火墙WAF，其特征在于，包括：

获取单元，用于获取目标网站的访问信息，所述访问信息包括：入流量、源IP、目的IP、链接地址、域名；

叠加单元，用于对所述获取单元获取的所述访问信息进行叠加处理；所述对所述访问信息进行叠加处理包括：对所述访问信息中的任意一种信息进行叠加处理；

监控单元，用于对所述叠加单元叠加后的访问信息进行实时监控；

处理单元，用于当所述监控单元监控到所述叠加后的访问信息超过预设访问阈值时，对所述访问信息进行拦截处理；

所述WAF还包括：

上传单元，用于将所述获取单元获取的所述访问信息上传至云端服务器，以便所述云端服务器对所述访问信息进行分析，确定拒绝服务攻击的攻击源；

发送单元，用于基于预设周期向路由器发送汇总后的访问信息，以便所述路由器根据汇总后的访问信息进行目标网站的路由检测；路由器接收Web应用防火墙WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息；根据在预设周期内的目标网站的标识信息，累加目标网站的访问量；若所述目标网站的访问量小于预设访问量，则对接收的所述目标网站的访问请求做禁止访问处理。

8.根据权利要求7所述的WAF，其特征在于，所述处理单元包括：

禁止模块，用于禁止访问所述目标网站；

拦截单元，用于将访问所述目标网站的访问信息进行拦截。

9.一种路由器，其特征在于，包括：

接收单元，用于接收Web应用防火墙WAF发送的汇总后的访问信息，所述访问信息中包含目标网站的标识信息；

解析单元，用于对所述接收单元接收到的所述访问信息进行解析；

获取单元，用于在所述解析单元对所述访问信息进行解析后，获取所述目标网站对应的标识信息；

计算单元，用于根据所述获取单元获取的所述目标网站对应的标识信息，计算所述目标网站的访问量；

处理单元，用于当所述计算单元计算的所述目标网站的访问量小于预设访问量时，对接收的所述目标网站的访问请求做禁止访问处理。

10.根据权利要求9所述的路由器，其特征在于，所述计算单元包括：

获取模块，用于获取预设统计列表，所述预设统计列表中记录有网站及其对应的标识信息之间映射关系、以及网站的访问量；

查找模块，用于当所述预设统计列表中记录有所述目标网站及其对应的标识信息的映射关系时，根据所述标识信息查找目标网站的访问量；

累加模块，用于在所述查找模块查找的所述目标网站的访问量的基础上进行访问量的累加；

记录模块，用于当所述预设统计列表中未记录所述目标网站及其对应的标识信息的映射关系时，将所述目标网站及其对应的标识信息的映射关系、目标网站的访问量记录于所述预设统计列表中。

11.根据权利要求10所述的路由器，其特征在于，所述路由器还包括：

比对单元，用于在所述处理单元对接收的所述目标网站的访问请求做禁止访问处理之前，将所述目标网站的访问量与所述预设访问量进行比对；

标记单元，用于当所述目标网站的访问量小于所述预设访问量时，根据所述目标网站的标识信息对对应的目标网站进行标记。

12.根据权利要求11所述的路由器，其特征在于，所述处理单元包括：

接收模块，用于接收客户端发送的访问请求，所述访问请求中包含目标网站的标识信息；

获取模块，用于获取所述接收模块接收到的所述访问请求中包含的目标网站的标识信息；

确定模块，用于根据所述获取模块获取的所述目标网站的标识信息，确定与所述标识信息对应的目标网站是否存在标记；

禁止模块，用于当所述确定模块确定与所述标识信息对应的目标网站存在标记时，禁止所述客户端对所述目标网站进行访问。

13.一种针对拒绝服务攻击的处理系统，其特征在于，所述系统包括：

Web应用防火墙WAF，用于获取目标网站的访问信息，对所述访问信息进行叠加处理，并对叠加后的访问信息进行实时监控；若监控到所述叠加后的访问信息超过预设访问阈值，则对所述访问信息进行拦截处理；

所述WAF，还用于将汇总后的访问信息发送至路由器；

所述路由器，用于接收所述WAF发送的汇总后的访问信息，对所述访问信息进行解析，获取所述目标网站对应的标识信息；根据所述目标网站对应的标识信息，计算所述目标网站的访问量；若所述目标网站的访问量小于预设访问量，则将接收到的所述目标网站的访问请求忽略。

14.根据权利要求13所述的系统，其特征在于，所述系统还包括：

所述WAF，还用于向云端服务器发送访问信息；

所述云端服务器，用于接收所述WAF发送的所述访问信息，并对所述访问信息进行分析，确定拒绝服务攻击的攻击源。

Images