CN106899580A - 一种流量清洗方法及装置 - Google Patents

Abstract

本申请提供一种流量清洗方法及装置。本申请中，流量清洗系统中的流量检测设备在向网络管理设备发送攻击开始报文之后，还会持续性地向网络管理设备发送攻击更新报文，以使网络管理设备即使在未接收到攻击开始报文的情况下，依然可以根据该持续发送的攻击更新报文，尽快获取攻击存在的信息，并通过将相应清洗任务表项中的任务状态设置为启动状态的方式，控制流量清洗设备对网络中的攻击流量进行清洗，从而实现了对网络中攻击流量的及时控制。

Description

一种流量清洗方法及装置

技术领域

本申请涉及网络通信技术领域，尤其涉及一种流量清洗方法及装置。

背景技术

为实现对于DDOS(Distributed Denial of Service，分布式拒绝服务)攻击的及时控制、维护网络安全，运营商一般会在网络中构建一流量清洗系统，以对检测到的包含有DDOS攻击的网络流量进行清洗。通常情况下，流量清洗系统可由流量检测设备、网络管理设备、以及流量清洗设备组成。其中，网络管理设备会在接收到流量检测设备发送的攻击开始报文后，控制流量清洗设备对网络流量进行清洗。

然而，上述攻击开始报文通常为无连接的UDP(User Datagram Protocol，用户数据报协议)报文，如果该报文在向网络管理设备的传输过程中发生丢包现象，网络管理设备将无法根据上述攻击开始报文实现对流量清洗设备的及时控制，从而导致网络中攻击流量的泛滥。

发明内容

有鉴于此，本申请提供一种流量清洗方法及装置，以对网络中产生的攻击进行及时控制，防止攻击流量的泛滥。

根据本申请实施例的第一方面，提供一种流量清洗方法，所述方法涉及一流量清洗系统，所述流量清洗系统包括：流量检测设备、网络管理设备、以及流量清洗设备，所述方法应用于所述网络管理设备，所述方法包括：

获取流量检测设备持续发送的攻击更新报文；

根据攻击更新报文中所包含的攻击标识，确定本地预先保存的清洗任务表中，是否存在与所述攻击标识相匹配的清洗任务表项；

如果存在，则将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗；

如果不存在，则在所述清洗任务表中添加所述清洗任务表项，并将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗。

根据本申请实施例的第二方面，提供一种流量清洗装置，所述装置应用于一流量清洗系统中的网络管理设备；其中，所述流量清洗系统包括：流量检测设备、网络管理设备、以及流量清洗设备；所述装置包括：

报文获取单元，用于获取流量检测设备持续发送的攻击更新报文；

表项确定单元，用于根据攻击更新报文中所包含的攻击标识，确定本地预先保存的清洗任务表中，是否存在与所述攻击标识相匹配的清洗任务表项；

表项添加单元，用于在所述清洗任务表中不存在与所述攻击标识相匹配的清洗任务表项的情况下，在所述清洗任务表中添加所述清洗任务表项；

状态设置单元，用于将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗。

本申请中，流量清洗系统中的流量检测设备在向网络管理设备发送攻击开始报文之后，还会持续性地向网络管理设备发送攻击更新报文，以使网络管理设备即使在未接收到攻击开始报文的情况下，依然可以根据该持续发送的攻击更新报文，尽快获取攻击存在的信息，并通过将相应清洗任务表项中的任务状态设置为启动状态的方式，控制流量清洗设备对网络中的攻击流量进行清洗，从而实现了对网络中攻击流量的及时控制。

附图说明

图1是本申请一种流量清洗方法的一个示例性的场景图；

图2是本申请一种流量清洗方法的流程图；

图3是本申请一种流量清洗方法的实施例流程图；

图4是本申请一种流量清洗装置的第一种结构图；

图5是本申请中状态设置单元的结构图；

图6是本申请一种流量清洗装置的第二种结构图；

图7是本申请一种流量清洗装置的第三种结构图；

图8是本申请一种流量清洗装置的第四种结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

参见图1，图1是本申请一种流量清洗方法的一个示例性的场景图。本场景图涉及一流量清洗系统，该流量清洗系统通常可用于对网络中的DDOS攻击流量实时检测及清洗，具体可包括流量检测设备、网络管理设备、以及流量清洗设备。在具体实现中，上述网络管理设备会在接收到流量检测设备发送的攻击开始报文后，控制流量清洗设备对网络流量进行清洗，但由于上述攻击开始报文通常为无连接的UDP报文，报文的传输可靠性较差，一旦该报文在向网络管理设备的传输过程中发生丢包现象，网络管理设备将无法根据上述攻击开始报文实现对流量清洗设备的及时控制，从而导致网络中攻击流量的泛滥。

针对这一问题，本申请提供了一种流量清洗方法。应用本申请所提供的方法，可以实现对网络中所产生攻击流量的及时控制，从而防止攻击流量的泛滥。

为了使本技术领域的人员更好地理解本申请实施例中的技术方案，并使本申请实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本申请实施例中技术方案作进一步详细的说明。

参见图2，图2是本申请一种流量清洗方法的流程图，该流程图可以包括以下步骤：

步骤201：网络管理设备获取流量检测设备持续发送的攻击更新报文。

本方法实施例涉及一流量清洗系统，该流量清洗系统可以包括：流量检测设备、网络管理设备、以及流量清洗设备。

本流量清洗系统中，流量检测设备可通过对网络中的流量进行实时监控的方式，确定本流量清洗系统所部署的网络中是否存在攻击流量，并在确定攻击流量存在后，持续向网络管理设备发送包含有攻击标识的攻击更新报文，以使网络管理设备根据所述攻击更新报文、控制流量清洗设备对包含有所述攻击标识的攻击流量进行清洗。

在实际应用中，流量检测设备在确定上述攻击流量存在后，会首先向网络管理设备发送一攻击开始报文，以期将攻击开始的信息在第一时间传递给网络管理设备，但由于攻击开始报文通常为无连接的UDP报文，传输可靠性较差，所以流量检测设备在向网络管理设备发送攻击开始报文后，还需要持续地向网络管理设备发送攻击更新报文，以一方面保证网络管理设备能够尽快地获取攻击发生的信息；另一方面，也可以将攻击的最新情况及时地汇报给网络管理设备，确保流量清洗系统攻击防御的可靠性。

步骤202：网络管理设备根据攻击更新报文中所包含的攻击标识，确定本地预先保存的清洗任务表中，是否存在与上述攻击标识相匹配的清洗任务表项；如果存在，则执行步骤203；否则，执行步骤204。

步骤203：网络管理设备将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含上述攻击标识的攻击流量进行清洗。

本方法实施例中，网络管理设备可在确定上述清洗任务表项存在时，判断该存在的清洗任务表项中的任务状态是否已设置为启动状态，如果该任务状态未被设置为启动状态，则将该清洗任务表项中的任务状态设置为启动状态。

步骤204：网络管理设备在上述清洗任务表中添加上述清洗任务表项，并将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含上述攻击标识的攻击流量进行清洗。

本方法实施中，网络管理设备会在设备后台实时轮询清洗任务表中的每一清洗任务表项，并在判断出该表项中的攻击更新时刻与当前时刻的差值绝对值大于预设阈值时，将该清洗任务表项中的任务状态设置为停止状态，以使流量清洗设备停止对该清洗任务表项所匹配流量的清洗，并将该清洗任务表项从上述清洗任务表中删除。通过这一方式，即使未收到流量检测设备发送的攻击停止报文，网络管理设备也可以通过控制每一清洗任务所对应的清洗时长，避免清洗设备对网络中正常流量的误杀。具体的，针对接收到的每一攻击更新报文，网络管理设备可在洗任务表中已存在与所获攻击更新报文相匹配的清洗任务表项的情况下，将该清洗任务表项中的攻击更新时刻更新为所获攻击更新报文的接收时刻，以通过及时更新清洗时长起始时刻的方式，在保证不误杀正常流量的前提下，实现对攻击流量的正常清洗。

通过以上方法实施例可以看出，流量清洗系统中的流量检测设备在向网络管理设备发送攻击开始报文之后，还会持续性地向网络管理设备发送攻击更新报文，以使网络管理设备即使在未接收到攻击开始报文的情况下，依然可以根据该持续发送的攻击更新报文，尽快获取攻击存在的信息，并通过将相应清洗任务表项中的任务状态设置为启动状态的方式，控制流量清洗设备对网络中的攻击流量进行清洗，从而实现了对网络中攻击流量的及时控制。

参见图3，图3是本申请一种流量清洗方法的实施例流程图。本实施例与上上述方法实施例的不同之处在于：本实施例以设备间的信息交互方式对本申请所提出的流量清洗方法进行了描述，更具有实际操作意义。

本流程图可以包括以下步骤：

步骤301：流量检测设备确定是否存在攻击流量，并在攻击流量存在时，执行步骤302。

步骤302：流量检测设备持续向网络管理设备发送包含有攻击标识的攻击更新报文。

本实施例中，攻击标识可以由攻击类型、攻击流向、以及保护IP(InternetProtocol，网络之间互联的协议)三个字段唯一确定，其中，攻击流向可以包括出向和入向，具体的，可将攻击报文的攻击目的为外网设备的攻击流向定义为出向，将攻击报文的攻击目的为内网设备的攻击流向定义为入向；保护IP可以包括源IP和目的IP；且当攻击流向为出向时，保护IP一般为源IP，攻击流向为入向时，保护IP一般为目的IP；攻击类型可以为UDP类攻击、TCP(Transmission Control Protocol，传输控制协议)类攻击等。

步骤303：网络管理设备获取流量检测设备持续发送的攻击更新报文。

步骤304：网络管理设备根据攻击更新报文中所包含的攻击标识，确定本地预先保存的清洗任务表中，是否存在与所述攻击标识相匹配的清洗任务表项；如果存在，则执行步骤305；否则，执行步骤307。

本实施例中，若假设攻击标识为源IP+TCP+入向、任务状态为启动、更新时刻为09：22，则清洗任务表项可以表示为如下表1所示的形式：

攻击标识	任务状态	更新时刻
			源IP+TCP+入向	启动	09：22

表1

需要指出的是，针对每一接收到的包含有攻击标识为“源IP+TCP+入向”的攻击更新报文，网络管理设备都会将如上表项的更新时刻更新为该攻击更新报文的接收时刻。这是因为：考虑到流量检测设备发送的攻击停止报文同样为无连接的UDP报文，所以流量清洗系统将同样面对攻击停止报文丢失的问题。为此，在本申请中，网络管理设备会在设备后台实时轮询清洗任务表中的每一清洗任务表项，并在判断出该表项中的攻击更新时刻与当前时刻的差值绝对值大于预设阈值时，将该清洗任务表项中的任务状态设置为停止状态。则假设攻击标识为“源IP+TCP+入向”的攻击已经停止，而网络管理平台并未如期接收到通知该攻击停止的攻击停止报文，网络管理平台也可以在通过控制每一清洗任务所对应清洗时长的方式，避免清洗设备对网络中正常流量的误杀。

步骤305：网络管理设备判断该存在的清洗任务表项中的任务状态是否已设置为启动状态，如果是，则结束；否则，执行步骤306。

步骤306：网络管理设备则将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗。

步骤307：网络管理设备在所述清洗任务表中添加所述清洗任务表项，并将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗。

本实施例中，所添加的清洗任务表项中的任务状态默认为停止状态。

通过以上实施例可以看出，流量清洗系统中的流量检测设备在向网络管理设备发送攻击开始报文之后，还会持续性地向网络管理设备发送攻击更新报文，以使网络管理设备即使在未接收到攻击开始报文的情况下，依然可以根据该持续发送的攻击更新报文，尽快获取攻击存在的信息，并通过将相应清洗任务表项中的任务状态设置为启动状态的方式，控制流量清洗设备对网络中的攻击流量进行清洗，从而实现了对网络中攻击流量的及时控制。

与前述一种流量清洗方法的实施例相对应，本申请还提供了一种流量清洗装置的实施例。

参见图4，图4是本申请一种流量清洗装置的第一种结构图，该装置可应用于一流量清洗系统中的网络管理设备；其中，上述流量清洗系统可以包括：流量检测设备、网络管理设备、以及流量清洗设备；上述装置可以包括：报文获取单元410、表项确定单元420、表项添加单元430、状态设置单元440。

其中，报文获取单元410，用于获取流量检测设备持续发送的攻击更新报文；

表项确定单元420，用于根据攻击更新报文中所包含的攻击标识，确定本地预先保存的清洗任务表中，是否存在与上述攻击标识相匹配的清洗任务表项；

表项添加单元430，用于在上述清洗任务表中不存在与上述攻击标识相匹配的清洗任务表项的情况下，在上述清洗任务表中添加上述清洗任务表项；

状态设置单元440，用于将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含上述攻击标识的攻击流量进行清洗。

在本实施例的第一种实现方式中，上述状态设置单元440可以包括：判断子单元441、设置子单元442，具体可参见图5，图5是本申请中状态设置单元的结构图。

其中，判断子单元441，用于判断该存在的清洗任务表项中的任务状态是否已设置为启动状态；

设置子单元442，用于在上述判断子单元的判断结果为否时，将该清洗任务表项中的任务状态设置为启动状态。

在本实施例的第二种实现方式中，上述装置还可以包括：时刻更新单元450、表项轮询单元460，具体可参见图6，图6是本申请一种流量清洗装置的第二种结构图。

其中，时刻更新单元450，用于在清洗任务表中已存在与所获攻击更新报文相匹配的清洗任务表项的情况下，将该清洗任务表项中的攻击更新时刻更新为所获攻击更新报文的接收时刻；

表项轮询单元460，用于实时轮询清洗任务表中的每一清洗任务表项，判断该表项中的攻击更新时刻与当前时刻的差值绝对值是否大于预设阈值；

上述状态设置单元440，还用于在表项轮询单元针对所轮询到的清洗任务表项、判断出该表项中的攻击更新时刻与当前时刻的差值绝对值大于预设阈值的情况下，将该清洗任务表项中的任务状态设置为停止状态，以使流量清洗设备停止对该清洗任务表项所匹配流量的清洗。

在本实施例的第三种实现方式中，上述装置还可以包括：表项删除单元470，用于在将清洗任务表项中的任务状态设置为停止状态之后，将该清洗任务表项从上述清洗任务表中删除。具体可参见图7，图7是本申请一种流量清洗装置的第三种结构图。

参见图8，图8是本申请一种流量清洗装置的第四种结构图，该装置应用于流量清洗系统中的流量检测设备，该装置可以包括：攻击确定单元810、报文发送单元820。

其中，攻击确定单元810，用于确定是否存在攻击流量；

报文发送单元820，用于当上述攻击流量存在时，持续向网络管理设备发送包含有攻击标识的攻击更新报文，以使网络管理设备根据上述攻击更新报文，控制流量清洗设备对包含有上述攻击标识的攻击流量进行清洗。

通过以上装置实施例可以看出，流量清洗系统中的流量检测设备在向网络管理设备发送攻击开始报文之后，还会持续性地向网络管理设备发送攻击更新报文，以使网络管理设备即使在未接收到攻击开始报文的情况下，依然可以根据该持续发送的攻击更新报文，尽快获取攻击存在的信息，并通过将相应清洗任务表项中的任务状态设置为启动状态的方式，控制流量清洗设备对网络中的攻击流量进行清洗，从而实现了对网络中攻击流量的及时控制。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种流量清洗方法，所述方法涉及一流量清洗系统，所述流量清洗系统包括：流量检测设备、网络管理设备、以及流量清洗设备，所述方法应用于所述网络管理设备，其特征在于，所述方法包括：

获取流量检测设备持续发送的攻击更新报文；

根据攻击更新报文中所包含的攻击标识，确定本地预先保存的清洗任务表中，是否存在与所述攻击标识相匹配的清洗任务表项；

如果存在，则将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗；

如果不存在，则在所述清洗任务表中添加所述清洗任务表项，并将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗。

2.根据权利要求1所述的方法，其特征在于，所述将清洗任务表项中的任务状态设置为启动状态，包括：

判断该存在的清洗任务表项中的任务状态是否已设置为启动状态；如果未设置为启动状态，则将该清洗任务表项中的任务状态设置为启动状态。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在清洗任务表中已存在与所获攻击更新报文相匹配的清洗任务表项的情况下，将该清洗任务表项中的攻击更新时刻更新为所获攻击更新报文的接收时刻；

以及实时轮询清洗任务表中的每一清洗任务表项，判断该表项中的攻击更新时刻与当前时刻的差值绝对值是否大于预设阈值；

如果大于，则将该清洗任务表项中的任务状态设置为停止状态，以使流量清洗设备停止对该清洗任务表项所匹配流量的清洗。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：

在将清洗任务表项中的任务状态设置为停止状态之后，将该清洗任务表项从所述清洗任务表中删除。

5.一种流量清洗方法，所述方法应用于权利要求1所述流量清洗系统中的流量检测设备，其特征在于，所述方法包括：

确定是否存在攻击流量；

当所述攻击流量存在时，持续向网络管理设备发送包含有攻击标识的攻击更新报文，以使网络管理设备根据所述攻击更新报文，控制流量清洗设备对包含有所述攻击标识的攻击流量进行清洗。

6.一种流量清洗装置，所述装置应用于一流量清洗系统中的网络管理设备；其中，所述流量清洗系统包括：流量检测设备、网络管理设备、以及流量清洗设备；其特征在于，所述装置包括：

报文获取单元，用于获取流量检测设备持续发送的攻击更新报文；

表项确定单元，用于根据攻击更新报文中所包含的攻击标识，确定本地预先保存的清洗任务表中，是否存在与所述攻击标识相匹配的清洗任务表项；

表项添加单元，用于在所述清洗任务表中不存在与所述攻击标识相匹配的清洗任务表项的情况下，在所述清洗任务表中添加所述清洗任务表项；

状态设置单元，用于将清洗任务表项中的任务状态设置为启动状态，以使流量清洗设备对包含所述攻击标识的攻击流量进行清洗。

7.根据权利要求6所述的装置，其特征在于，所述状态设置单元，包括：

判断子单元，用于判断该存在的清洗任务表项中的任务状态是否已设置为启动状态；

设置子单元，用于在所述判断子单元的判断结果为否的情况下，将该清洗任务表项中的任务状态设置为启动状态。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

时刻更新单元，用于在清洗任务表中已存在与所获攻击更新报文相匹配的清洗任务表项的情况下，将该清洗任务表项中的攻击更新时刻更新为所获攻击更新报文的接收时刻；

表项轮询单元，用于实时轮询清洗任务表中的每一清洗任务表项，判断该表项中的攻击更新时刻与当前时刻的差值绝对值是否大于预设阈值；

所述状态设置单元，还用于在表项轮询单元针对所轮询到的清洗任务表项、判断出该表项中的攻击更新时刻与当前时刻的差值绝对值大于预设阈值的情况下，将该清洗任务表项中的任务状态设置为停止状态，以使流量清洗设备停止对该清洗任务表项所匹配流量的清洗。

9.根据权利要求7所述的装置，其特征在于，所述装置还包括：

表项删除单元，用于在将清洗任务表项中的任务状态设置为停止状态之后，将该清洗任务表项从所述清洗任务表中删除。

10.一种流量清洗装置，所述方法应用于权利要求6所述流量清洗系统中的流量检测设备，其特征在于，所述装置包括：

攻击确定单元，用于确定是否存在攻击流量；

报文发送单元，用于当所述攻击流量存在时，持续向网络管理设备发送包含有攻击标识的攻击更新报文，以使网络管理设备根据所述攻击更新报文，控制流量清洗设备对包含有所述攻击标识的攻击流量进行清洗。