CN107154915A - 防御分布式拒绝服务DDoS攻击的方法、装置及系统 - Google Patents

Abstract

本发明公开了一种防御分布式拒绝服务DDoS攻击的方法、装置及系统。其中，该方法包括：当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至指定服务节点上的用户流量调度至防御节点；其中，多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

Description

防御分布式拒绝服务DDoS攻击的方法、装置及系统

技术领域

本发明涉及网络安全领域，具体而言，涉及一种防御分布式拒绝服务DDoS攻击的方法、装置及系统。

背景技术

相关技术中的网络安全中，针对客户端/服务器(Client/Server，简称C/S)架构的服务的分布式拒绝服务(Distributed Denial of Service，简称DDoS)攻击防御核心方式，一般防御节点分为2种：服务节点、备份节点；其中，服务节点：在同一时间有且只有一个；备份节点：所有节点中，除了一个服务节点外都是备份节点。因而，相关技术中的防御方式为：在服务节点被攻击的时候将用户流量切换到备份节点中，直到备份节点全部使用完毕。

但是相关技术中的上述防御方式存在以下缺点：

(1)攻击影响范围大：由于很多C/S架构的服务都是传输控制协议(Transmission Control Protocol，简称TCP)长连接服务，那么在如上的划分方式中，一旦DDoS攻击来临，影响范围则是100％。

(2)资源浪费严重：假设分配10个节点，只有1个节点工作，其他备份节点都是浪费的状态。

(3)黑客攻击成功的可能性极高：由于采用的是一主多备的方式，黑客在记录历史节点加快攻击速度的情况下会对成功对该应用进行DDoS攻击。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种防御分布式拒绝服务DDoS攻击的方法、装置及系统，以至少解决相关技术中的防御DDoS攻击方式的防御成功率低的技术问题。

根据本发明实施例的一个方面，提供了一种防御分布式拒绝服务DDoS攻击的方法，包括：当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至指定服务节点上的用户流量调度至防御节点；其中，多个服务节点上的每个服务节点上具 有按照预设规则预先分配的用户流量。

根据本发明实施例的另一方面，还提供了一种防御分布式拒绝服务DDoS攻击的装置，包括：调度模块，用于当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至指定服务节点上的用户流量调度至防御节点；其中，多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

根据本发明实施例的另一方面，还提供了一种防御分布式拒绝服务DDoS攻击的系统，系统包括：服务节点，防御节点，流量监控设备，控制中心；其中，服务节点的数量为多个；服务节点上具有按照预设规则预先分配的用户流量；流量监控设备，用于监控服务节点是否被攻击，以及将服务节点被攻击的信息上报给控制中心；控制中心，用于在接收到信息后，将预先分配至服务节点上的用户流量调度至防御节点上。

在本发明实施例中，采用在接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量的方式，通过在多个服务节点上的每个服务节点上分配有用户流量，使得当其中一个服务节点上被攻击时，不会影响其他服务节点，即采用多主多备的方式，减慢了攻击服务节点的速度，提高了DDoS攻击的防御成功率，进而解决了相关技术中的防御DDoS攻击方式的防御成功率低的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本申请实施例的一种防御分布式拒绝服务DDoS攻击的方法的计算机终端的硬件结构框图；

图2是根据本发明实施例1的防御分布式拒绝服务DDoS攻击的方法的流程图；

图3是根据本申请可选实施例的防御DDoS攻击的方法的示意图；

图4是根据本申请实施例的防御分布式拒绝服务DDoS攻击的装置的结构框图；

图5是根据本申请实施例的防御分布式拒绝服务DDoS攻击的系统的结构框图；

图6是根据本申请实施例的一种计算机终端的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

根据本发明实施例，还提供了一种防御分布式拒绝服务DDoS攻击的方法的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例1所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图1是根据本申请实施例的一种防御分布式拒绝服务DDoS攻击的方法的计算机终端的硬件结构框图。如图1所示，计算机终端10可以包括一个或多个(图中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器104、以及用于通信功能的传输装置106。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端10还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

存储器104可用于存储应用软件的软件程序以及模块，如本发明实施例中的防御分布式拒绝服务DDoS攻击的方法对应的程序指令/模块，处理器102通过运行存储在存储器104内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的防御分布式拒绝服务DDoS攻击的方法。存储器104可包括高速随机存 储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端10的通信供应商提供的无线网络。在一个实例中，传输装置106包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置106可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

在上述运行环境下，本申请提供了如图2所示的防御分布式拒绝服务DDoS攻击的方法。图2是根据本发明实施例1的防御分布式拒绝服务DDoS攻击的方法的流程图，其中，包括步骤S202-步骤S204：

步骤S202，当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量；

需要说明的是，上述防御节点可以包括备份节点，当然也可以包括空闲的服务节点，即可以包括没有分配用户流量的服务节点。上述多个服务节点可以共享一个节点库，该节点库中可以包括一个或者多个防御节点，并不限于此，当然，上述多个服务节点中的每个服务节点也可以都独立对应一个节点库，对应的每个节点库中可以包括一个或者多个防御节点，并不限于此。

在本申请的一个实施例中，可以通过以下方式确定上述指定服务节点被攻击：检测上述指定服务节点上的用户流量是否大于为所述指定服务节点预先分配的用户流量，如果大于，则可以确定上述指定服务节点被攻击；但并不限于此；比如也可以通过在指定服务节点上是否检测到地址不明确的用户信息来确定该服务节点是否被攻击，在检测到地址不明确的用户信息的情况下可确定该指定服务节点被攻击。

需要说明的是，上述预设规则可以包括以下至少之一：规则一：将所有用户的用户流量平均分配至多个服务节点上；规则二：根据用户的IP地址和多个服务节点的数量，将所述用户的用户流量分配至所述多个服务节点上的一个服务节点上。采用规则一的方式分配用户流量，能够使得多个服务节点上分配有等量的用户流量；采用规则二的方式分配用户流量，可以使得多个服务节点上分配有不等量或者等量的用户流量。但是，需要说明的是，不管采用规则一还是规则二进行分配，都是将用户流量分配到 多个服务节点上，使得黑客对某个服务节点进行攻击的时候，不会影响其他服务节点，进而能够解决相关技术中的防御DDoS攻击方式的攻击影响范围大的问题，进而缩小了黑客攻击的范围。

需要说明的是，一个用户的用户流量在一个时间点上，只分配给一个服务节点；一个服务节点上可以分配多个用户的用户流量。对于上述规则二，可以表现为：将用户的IP地址转化为数值N；将N除以多个服务节点的数量，得到余数M；将用户的用户流量分配至多个服务节点的第M个服务节点上。比如，某一用户的IP地址为200.200.80.238；多个服务节点的数量为6；则可以将该IP地址转化为数值200200080238，而200200080238除以6得到余数为4，则将IP地址为200.200.80.238的用户流量分配到编号为4的服务节点上，即分配到第4个服务节点上。需要说明的是，将用户的IP地址转化为数值N的方式可以有多种，比如可以直接去掉该IP地址表达式的中“.”，转化为数值，也可以采用IP地址中对应的二进制数直接作为该数值，但并不限于此。

对于上述规则二，上述表现还可以包括：在检测到第M个服务节点上的用户流量超过第一预定阈值的情况下，将超过第一预定阈值的用户流量调度至多个服务节点中除所述第M个服务节点之外的其他服务节点上。调度到上述多个服务节点的其他服务节点上可以空闲的服务节点，通过该步骤，可以使得采用上述规则二分配到服务节点上的用户流量尽量达到均匀化，同时能够减少服务节点的负载，即实现了负载的均匀化。

在本申请的一个实施例中，上述多个服务节点可以通过以下方式进行获取：从全部节点中选择指定数量A个服务节点，作为所述多个服务节点；其中，A＝P*S，P为预设分配率，且P为0<P<1的实数；S为所述全部节点的数量；所述全部节点为客户端能够访问的所有的节点。即将客户端能够访问的所有的节点按照上述预设分配率进行分配，得到多个服务节点，与现有技术中的只分配有一个服务节点相比，本申请实施例中有多个服务节点进行工作，在一定程度上减轻了服务节点的负载，同时也节省一定的资源。

需要说明的是，上述预设分配率可以是根据用户的需要进行预先设定，其可以是固定的，也可以是根据实际情况进行动态调整的，但并不限于此。预设分配率不同，则分配的服务节点的数量也就不同，因而，在本申请的一个实施例中，通过以下方式对上述服务节点的数量进行动态调整，以提高资源的利用率：在用户的数量小于第二预定阈值的情况下，通过调整预设分配率P，调整多个服务节点的数量；其中，第二预定阈值为调整前的多个服务节点的数量乘以预定比例。

上述用户的数量可以是成千上万，服务节点的数量也可以有成百上千个，并不限于此，为方便理解，以小数据为例进行说明，假设用户的数量为6个，调整前的多个服务节点的数量为20，预定比例为50％，预设分配率为80％，因而第二预定阈值为10，此时如果6个用户中每个用户的用户流量分别分配到不同的服务节点上，也只能分配到6个服务节点上，此时还剩余14空闲的服务节点，资源比较浪费，为了节省资源，可以降低预设分配率为32％，此时调整后的服务节点的数量可以是8个，进而此时只有2个空闲的服务节点。

步骤S204，在所有所述防御节点都被攻击的情况下，直接丢弃预先分配至所述指定服务节点上的用户流量。

需要说明的是，直接对丢弃预先分配至指定服务节点上的用户流量可以表现为：不使用上述多个服务节点中的其他服务节点进行防御，丢弃该指定服务节点上的用户流量，进而使得尽管该指定服务节点被攻击了，黑客也无法通过客户端记录IP地址和快速攻击的方式来攻击其他服务节点，进而提高了防御的成功率。

需要说明的是，在上述分配的服务节点的数量一定的情况下，将多个用户的用户流量尽可能地分配到所有的服务节点上，即用户流量分配地越分散，那么防御DDoS攻击的成功率则会更高，比如服务节点一共有8个，6个用户的用户流量分配到了6个服务节点上，比6个用户的用户流量分配到了2个服务节点上，防御DDoS攻击的成功率要高。

需要说明的是，上述步骤S202可以单独执行(即不执行步骤S202)，也可以结合上述步骤S204执行，都能够解决防御DDoS攻击的成功率低的问题。

上述方法的执行主体可以是控制中心，该控制中心可以是上述图1所示的计算机终端，但并不限于此。

通过上述步骤，采用在接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量的方式，通过在多个服务节点上的每个服务节点上分配有用户流量，使得当其中一个服务节点上被攻击时，不会影响其他服务节点，即采用多主多备的方式，减慢了攻击服务节点的速度，提高了DDoS攻击的防御成功率，进而解决了相关技术中的防御DDoS攻击方式的防御成功率低的技术问题。

为了更好的理解本申请，以下结合可选的实施例对本申请做进一步解释。

本申请提供了一种可选的防御DDoS攻击的方法，图3是根据本申请可选实施例的 防御DDoS攻击的方法的示意图，如图3所示，上述方法可以包括：

步骤S302，用户通过软件开发工具包(Software Deve lopment Kit,简称SDK)通过控制中心获取对应的服务节点，控制中心通过客户端IP(相当于上述实施例中的用户的IP地址)进行hash分配出对应的服务节点。

步骤S304，用户通过IP地址访问上述获取到的服务节点。

步骤S306，攻击者通过某一个客户端获取到该服务节点，并对获取到的该服务节点进行攻击。

步骤S308，流量监控设备监控到攻击流量，同时将该服务节点被攻击者攻击的消息上报给控制中心。

步骤S310，控制中心通过调度，将分配在该服务节点上的用户流量调度到防御节点(相当于上述实施例中的步骤S202)。

步骤S312，如果黑客通过之前的客户端获取到新防御节点，对新防御节点进行攻击，则重复步骤S308和步骤S310。

需要说明的是，在上述步骤S302之前，上述可选的方式还可以包括：根据以下分配公式对客户端能够访问的全部节点进行分配：

服务节点＝节点总数*P

备份节点＝节点总数－服务节点

P(分配率,0<P<1)，服务节点取大于0的整数。

分配率P相当于上述实施例中的预设分配率。

上述可选的方法体现的具体原理可以表现为以下几点：

第一，流量监控设备会对用户访问的流量做镜像处理，获取用户所有的流量信息。流量镜像的技术方案比较多，如通过分光器；即流量监控设备可以对用户的流量信息做备份。

第二，控制中心的调度模块，根据流量监控设备上报的流量信息，取得一段时间内用户业务的平均流量信息，作为客户的正常流量信息。当发现一段时间内业务的流量增长比较大，超过警戒值(相当于上述实施例中的第一预定阈值)后，会动态调整该IP的优先级(相当于上述实施例中的步骤：在检测到述第M个服务节点上的用户流量超过第一预定阈值的情况下，将超过第一预定阈值的用户流量调度至多个服务节点 的其他服务节点上)；

第三，控制中心定期的更新客户端IP对应的hash信息，添加或删除新的IP信息，调整对应的客户端访问的节点；

第四，更新算法包括节点划分，节点调度等，具体算法如下：

A,控制中心会根据用户购买的IP地址和用户输入的P值进行预先分配：用户分组数＝hash数＝服务节点数。这样就能提高资源的利用率，通过P值的更新动态分配节点。

B,客户端通过控制中心获取服务节点时,控制中心通过客户端IP地址进行hash分配，将用户流量分配到固定的服务节点上。

C,由于用户流量进行了均匀划分(相当于上述实施例中的规则一)，所以黑客对某个节点进行攻击的时候，仅需要更新该hash对应的节点(即仅更新被攻击的服务节点对应的节点)，此处使用防御节点进行更新。解决攻击影响范围大的问题。

D,当防御节点全部被黑客攻击进黑洞后，不再使用其他服务节点进行防御，丢弃这部分用户流量(相当于上述实施例中的步骤S204)。这样黑客就无法通过同客户端记录IP和快速攻击的方式，达到使全部节点都进黑洞，从而达到全部攻击成功的目的。

需要说明的是，上述分配率P存在动态更新的可能性，控制中心能够根据攻击者的攻击强弱对P值进行动态更新。上述分配将用户的用户流量分配到对应的服务节点上是根据客户端IP进行计算的，也可以结合客户的实际情况使用C/S应用本身的唯一性标识进行分配。上述控制中心由于具备的一定的调度能力，同时也就说明也具备的一定的黑客定位能力，通过对图3所述的步骤S312，黑客攻击流量的调度分配，能够进一步定位黑客，从而能够找到攻击的溯源。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存 储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

实施例2

根据本发明实施例，还提供了一种用于实施上述防御分布式拒绝服务DDoS攻击的方法的装置，图4是根据本申请实施例的防御分布式拒绝服务DDoS攻击的装置的结构框图，如图4所示，该装置包括：

接收模块42，用于接收多个服务节点上的指定服务节点被攻击的信息；

处理模块44，与上述接收模块42连接，用于在上述接收模块42接收到上述信息后，将预先分配至指定服务节点上的用户流量调度至防御节点；其中，多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

需要说明的是，上述防御节点可以包括备份节点，当然也可以包括空闲的服务节点，即可以包括没有分配用户流量的服务节点。上述多个服务节点可以共享一个节点库，该节点库中可以包括一个或者多个防御节点，并不限于此，当然，上述多个服务节点中的每个服务节点都独立对应一个节点库，对应的每个节点库中可以包括一个或者多个防御节点，并不限于此。

上述指定服务节点被攻击可以表现为上述指定服务节点上的用户流量大于为所述指定服务节点预先分配的用户流量，但并不限于此，比如也可以表现为在指定服务节点上检测到了地址不明确的用户信息。

需要说明的是，上述预设规则可以包括以下至少之一：规则一：将所有用户的用户流量平均分配至多个服务节点上；规则二：根据用户的IP地址和多个服务节点的数量，将所述用户的用户流量分配至所述多个服务节点上的一个服务节点上。规则一，能够使得多个服务节点上分配有等量的用户流量；规则二，可以使得多个服务节点上分配有不等量或者等量的用户流量。但是，需要说明的是，不管采用规则一还是规则二，都是将用户流量分配到多个服务节点上，使得黑客对某个服务节点进行攻击的时候，不会影响其他服务节点，进而能够解决相关技术中的防御DDoS攻击方式的攻击影响范围大的问题，进而缩小了黑客攻击的范围。

需要说明的是，一个用户的用户流量在一个时间点上，只分配给一个服务节点；一个服务节点上可以分配多个用户的用户流量。对于上述规则二，可以表现为：将用户的IP地址转化为数值N；将N除以多个服务节点的数量，得到余数M；将用户的用户流量分配至多个服务节点的第M个服务节点上。比如，某一用户的IP地址为 200.200.80.238；多个服务节点的数量为6；则可以将该IP地址转化为数值200200080238，而200200080238除以6得到余数为4，则将IP地址为200.200.80.238的用户流量分配到编号为4的服务节点上，即分配到第4个服务节点上。需要说明的是，将用户的IP地址转化为数值N的方式可以有多种，比如可以直接去掉该IP地址表达式的中“.”，转化为数值，也可以采用IP地址中对应的二进制数直接作为该数值，但并不限于此。

对于上述规则二，上述表现还可以包括：在检测到第M个服务节点上的用户流量超过第一预定阈值的情况下，将超过第一预定阈值的用户流量调度至多个服务节点的其他服务节点上。调度到上述多个服务节点的其他服务节点上可以空闲的服务节点，通过该步骤，可以使得采用上述规则二分配到服务节点上的用户流量尽量达到均匀化，同时能够减少服务节点的负载，即实现了负载的均匀化。

在本申请的一个实施例中，上述处理模块44，还用于从全部节点中选择指定数量A个服务节点，作为所述多个服务节点；其中，A＝P*S，P为预设分配率，且P为0<P<1的实数；S为所述全部节点的数量；所述全部节点为客户端能够访问的所有的节点。该处理模块44将客户端能够访问的所有的节点按照上述预设分配率进行分配，得到多个服务节点，与现有技术中的只分配有一个服务节点相比，本申请实施例中有多个服务节点进行工作，在一定程度上减轻了服务节点的负载，同时也节省一定的资源。

需要说明的是，上述预设分配率可以是根据用户的需要进行预先设定，其可以是固定的，也可以是根据实际情况进行动态调整的，但并不限于此。预设分配率不同，则分配的服务节点的数量也就不同，因而，在本申请的一个实施例中，上述处理模块44还用于在用户的数量小于第二预定阈值的情况下，通过调整所述预设分配率P，调整所述多个服务节点的数量；其中，所述第二预定阈值为调整前的所述多个服务节点的数量乘以预定比例。需要说明的是，此处调整服务节点的数量可以通过独立于处理模块44的一个分配模块完成，但并不限于此。

上述用户的数量可以是成千上万，服务节点的数量也可以有成百上千个，并不限于此，为方便理解，以小数据为例进行说明，假设用户的数量为6个，调整前的多个服务节点的数量为20，预定比例为50％，预设分配率为80％，因而第二预定阈值为10，此时如果6个用户中每个用户的用户流量分别分配到不同的服务节点上，也只能分配到6个服务节点上，此时还剩余14空闲的服务节点，资源比较浪费，为了节省资源，可以降低预设分配率为32％，此时调整后的服务节点的数量可以是8个，进而此时只有2个空闲的服务节点。

上述处理模块44，还用于在所有所述防御节点都被攻击的情况下，直接丢弃所述 预先分配至所述指定服务节点上的用户流量。

需要说明的是，上述处理模块44直接对丢弃预先分配至指定服务节点上的用户流量可以表现为：不使用上述多个服务节点中的其他服务节点进行防御，丢弃该指定服务节点上的用户流量，进而使得尽管该指定服务节点被攻击了，黑客也无法通过客户端记录IP地址和快速攻击的方式来攻击其他服务节点，进而提高了防御的成功率。

需要说明的是，上述装置可以位于控制中心中，该控制中心可以是上述图1所示的计算机终端，但并不限于此。

通过上述装置，通过在多个服务节点上的每个服务节点上分配有用户流量，使得当其中一个服务节点上被攻击时，不会影响其他服务节点，即采用多主多备的方式，减慢了攻击服务节点的速度，提高了DDoS攻击的防御成功率，进而解决了相关技术中的防御DDoS攻击方式的防御成功率低的技术问题。

需要说明的是，上述各个模块是可以通过软件或者硬件来实现的，对于后者，可以通过以下方式实现，但并不限于此：上述各个模块以任意组合的方式位于不同的处理器中，例如，上述各个模块均位于同一处理器中，或者上述各个模块分别位于不同的处理器中。

实施例3

根据本发明实施例，还提供了一种防御分布式拒绝服务DDoS攻击的系统，图5是根据本申请实施例的防御分布式拒绝服务DDoS攻击的系统的结构框图，如图5所示，该系统包括：服务节点52，防御节点54，流量监控设备56，控制中心58；其中，所述服务节点52的数量为多个；所述服务节点52上具有按照预设规则预先分配的用户流量；

流量监控设备56，与控制中心58连接，用于监控所述服务节点52是否被攻击，以及将所服务节点52被攻击的信息上报给控制中心58；

控制中心58，用于在接收到所述信息后，将预先分配至服务节点52上的用户流量调度至防御节点54上。

通过上述系统，通过在多个服务节点上的每个服务节点上分配有用户流量，使得当其中一个服务节点上被攻击时，不会影响其他服务节点，即采用多主多备的方式，减慢了攻击服务节点的速度，提高了DDoS攻击的防御成功率，进而解决了相关技术中的防御DDoS攻击方式的防御成功率低的技术问题。

需要说明的是，上述预设规则包括以下至少之一：将所有用户的用户流量平均分 配至所述多个服务节点上；根据用户的IP地址和所述多个服务节点的数量，将所述用户的用户流量分配至所述多个服务节点上的一个服务节点上。

需要说明的是，对于该预设规则的具体解释，以及对什么情况下确定上述服务节点被攻击，详见实施例1和实施例2中的描述，此处不再赘述。

需要说明的是，上述系统可以包括一个或者多个防御节点54；上述防御节点54可以包括备份节点，当然也可以包括空闲的服务节点52，即可以包括没有分配用户流量的服务节点52。上述多个服务节点可以共享一个节点库，该节点库中可以包括一个或者多个防御节点，并不限于此，当然，上述多个服务节点中的每个服务节点都独立对应一个节点库，对应的每个节点库中可以包括一个或者多个防御节点，并不限于此。

在本申请的一个实施例中，上述控制中心58，还可以用于在系统中的防御节点54全部被攻击的情况下，直接丢弃预先分配至服务节点52上的用户流量。

需要说明的是，上述控制中心58直接对丢弃预先分配至指定服务节点上的用户流量可以表现为：不使用上述多个服务节点中的其他服务节点进行防御，丢弃该指定服务节点上的用户流量，进而使得尽管该指定服务节点被攻击了，黑客也无法通过客户端记录IP地址和快速攻击的方式来攻击其他服务节点，进而提高了防御的成功率。

在本申请的一个实施例中，上述控制中心58还用于从全部节点中选择指定数量A个服务节点，作为多个服务节点；其中，A＝P*S，P为预设分配率，且P为0<P<1的实数；S为所述全部节点的数量；全部节点为客户端能够访问的所有的节点。该控制中心58将客户端能够访问的所有的节点按照上述预设分配率进行分配，得到多个服务节点，与现有技术中的只分配有一个服务节点相比，本申请实施例中有多个服务节点进行工作，在一定程度上减轻了服务节点的负载，同时也节省一定的资源。

需要说明的是，上述预设分配率可以是根据用户的需要进行预先设定，其可以是固定的，也可以是根据实际情况进行动态调整的，但并不限于此。预设分配率不同，则分配的服务节点的数量也就不同，因而，在本申请的一个实施例中，上述控制中心58还可以用于在用户的数量小于第二预定阈值的情况下，通过调整所述预设分配率P，调整所述多个服务节点的数量；其中，所述第二预定阈值为调整前的所述多个服务节点的数量乘以预定比例。

上述用户的数量可以是成千上万，服务节点的数量也可以有成百上千个，并不限于此，为方便理解，以小数据为例进行说明，假设用户的数量为6个，调整前的多个服务节点的数量为20，预定比例为50％，预设分配率为80％，因而第二预定阈值为10，此时如果6个用户中每个用户的用户流量分别分配到不同的服务节点上，也只能分配 到6个服务节点上，此时还剩余14空闲的服务节点，资源比较浪费，为了节省资源，可以降低预设分配率为32％，此时调整后的服务节点的数量可以是8个，进而此时只有2个空闲的服务节点。

实施例4

本发明的实施例可以提供一种计算机终端，该计算机终端可以是计算机终端群中的任意一个计算机终端设备。可选地，在本实施例中，上述计算机终端也可以替换为移动终端等终端设备。

可选地，在本实施例中，上述计算机终端可以位于计算机网络的多个网络设备中的至少一个网络设备。

在本实施例中，上述计算机终端可以执行防御分布式拒绝服务DDoS攻击的方法中以下步骤的程序代码：当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

可选地，图6是根据本申请实施例的一种计算机终端的结构框图。如图6所示，该计算机终端A可以包括：一个或多个(图中仅示出一个)处理器、存储器、以及传输装置。

其中，存储器可用于存储软件程序以及模块，如本发明实施例中的安全漏洞检测方法和装置对应的程序指令/模块，处理器通过运行存储在存储器内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的系统漏洞攻击的检测方法。存储器可包括高速随机存储器，还可以包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至终端A。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

处理器可以通过传输装置调用存储器存储的信息及应用程序，以执行下述步骤：当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

可选的，上述处理器还可以执行如下步骤的程序代码：在所有所述防御节点都被攻击的情况下，直接丢弃所述预先分配至所述指定服务节点上的用户流量。

采用本发明实施例，通过在多个服务节点上的每个服务节点上分配有用户流量， 使得当其中一个服务节点上被攻击时，不会影响其他服务节点，即采用多主多备的方式，减慢了攻击服务节点的速度，提高了DDoS攻击的防御成功率，进而解决了相关技术中的防御DDoS攻击方式的防御成功率低的技术问题。

本领域普通技术人员可以理解，图6所示的结构仅为示意，计算机终端也可以是智能手机(如Android手机、iOS手机等)、平板电脑、掌声电脑以及移动互联网设备(Mobile Internet Devices，MID)、PAD等终端设备。图6其并不对上述电子装置的结构造成限定。例如，计算机终端A还可包括比图6中所示更多或者更少的组件(如网络接口、显示装置等)，或者具有与图6所示不同的配置。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(Read-Only Memory，ROM)、随机存取器(Random Access Memory，RAM)、磁盘或光盘等。

实施例5

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的防御分布式拒绝服务DDoS攻击的方法所执行的程序代码。

可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

可选地，在本实施例中，存储介质还被设置为存储用于执行以下步骤的程序代码：在所有所述防御节点都被攻击的情况下，直接丢弃所述预先分配至所述指定服务节点上的用户流量。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分， 仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (17)

1.一种防御分布式拒绝服务DDoS攻击的方法，其特征在于，包括：

当接收到多个服务节点上的指定服务节点被攻击的信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所有所述防御节点都被攻击的情况下，直接丢弃所述预先分配至所述指定服务节点上的用户流量。

3.根据权利要求1所述的方法，其特征在于，所述多个服务节点通过以下方式获取：

从全部节点中选择指定数量A个服务节点，作为所述多个服务节点；其中，A＝P*S，P为预设分配率，且P为0<P<1的实数；S为所述全部节点的数量；所述全部节点为客户端能够访问的所有的节点。

4.根据权利要求1至3中任一项所述的方法，其特征在于，所述预设规则包括以下至少之一：

将所有用户的用户流量平均分配至所述多个服务节点上；

根据用户的IP地址和所述多个服务节点的数量，将所述用户的用户流量分配至所述多个服务节点上的一个服务节点上。

5.根据权利要求4所述的方法，其特征在于，根据用户的IP地址和所述多个服务节点的数量，将所述用户的用户流量分配至所述多个服务节点上的一个服务节点上包括：

将所述IP地址转化为数值N；

将所述N除以所述多个服务节点的数量，得到余数M；

将所述用户的用户流量分配至所述多个服务节点的第M个服务节点上。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

在检测到所述第M个服务节点上的用户流量超过第一预定阈值的情况下，将超过所述第一预定阈值的用户流量调度至所述多个服务节点中除所述第M个服务节点之外的其他服务节点上。

7.根据权利要求5所述的方法，其特征在于，所述方法还包括：

在所述用户的数量小于第二预定阈值的情况下，通过调整预设分配率P，调整所述多个服务节点的数量；其中，所述第二预定阈值为调整前的所述多个服务节点的数量乘以预定比例。

8.一种防御分布式拒绝服务DDoS攻击的装置，其特征在于，包括：

接收模块，用于接收多个服务节点上的指定服务节点被攻击的信息；

处理模块，用于在所述接收模块接收到所述信息后，将预先分配至所述指定服务节点上的用户流量调度至防御节点；其中，所述多个服务节点上的每个服务节点上具有按照预设规则预先分配的用户流量。

9.根据权利要求8所述的装置，其特征在于，所述处理模块，还用于在所有所述防御节点都被攻击的情况下，直接丢弃所述预先分配至所述指定服务节点上的用户流量。

10.根据权利要求8所述的装置，其特征在于，所述处理模块，还用于从全部节点中选择指定数量A个服务节点，作为所述多个服务节点；其中，A＝P*S，P为预设分配率，且P为0<P<1的实数；S为所述全部节点的数量；所述全部节点为客户端能够访问的所有节点。

11.根据权利要求8至10中任一项所述的装置，其特征在于，所述预设规则包括以下至少之一：

将所有用户的用户流量平均分配至所述多个服务节点上；

根据用户的IP地址和所述多个服务节点的数量，将所述用户的用户流量分配至所述多个服务节点上的一个服务节点上。

12.根据权利要求10所述的装置，其特征在于，所述处理模块，还用于在用户的数量小于第二预定阈值的情况下，通过调整所述预设分配率P，调整所述多个服务节点的数量；其中，所述第二预定阈值为调整前的所述多个服务节点的数量乘以预定比例。

13.一种防御分布式拒绝服务DDoS攻击的系统，其特征在于，所述系统包括：服务节点，防御节点，流量监控设备，控制中心；其中，所述服务节点的数量为多个；所述服务节点上具有按照预设规则预先分配的用户流量；

所述流量监控设备，用于监控所述服务节点是否被攻击，以及将所述服务节点被攻击的信息上报给所述控制中心；

所述控制中心，用于在接收到所述信息后，将预先分配至所述服务节点上的用户流量调度至所述防御节点上。

14.根据权利要求13所述的系统，其特征在于，所述系统包括一个或者多个所述防御节点；

所述控制中心，还用于在所述系统中的所述防御节点全部被攻击的情况下，直接丢弃所述预先分配至所述服务节点上的用户流量。

15.根据权利要求13所述的系统，其特征在于，所述控制中心还用于从全部节点中选择指定数量A个服务节点，作为多个所述服务节点；其中，A＝P*S，P为预设分配率，且P为0<P<1的实数；S为所述全部节点的数量；所述全部节点为客户端能够访问的所有的节点。

16.根据权利要求13至15中任一项所述的系统，其特征在于，所述预设规则包括以下至少之一：

将所有用户的用户流量平均分配至多个所述服务节点上；

根据用户的IP地址和所述多个服务节点的数量，将所述用户的用户流量分配至多个所述服务节点上的一个服务节点上。

17.根据权利要求15所述的系统，其特征在于，所述控制中心还用于在用户的数量小于第二预定阈值的情况下，通过调整所述预设分配率P，调整多个所述服务节点的数量；其中，所述第二预定阈值为调整前的多个所述服务节点的数量乘以预定比例。