CN107231344A - 流量清洗方法和装置 - Google Patents

流量清洗方法和装置 Download PDF

Info

Publication number
CN107231344A
CN107231344A CN201710307072.4A CN201710307072A CN107231344A CN 107231344 A CN107231344 A CN 107231344A CN 201710307072 A CN201710307072 A CN 201710307072A CN 107231344 A CN107231344 A CN 107231344A
Authority
CN
China
Prior art keywords
flow
cleaning
platform
flow rate
unusual
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710307072.4A
Other languages
English (en)
Other versions
CN107231344B (zh
Inventor
邢涛
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou DPTech Technologies Co Ltd
Original Assignee
Hangzhou DPTech Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou DPTech Technologies Co Ltd filed Critical Hangzhou DPTech Technologies Co Ltd
Priority to CN201710307072.4A priority Critical patent/CN107231344B/zh
Publication of CN107231344A publication Critical patent/CN107231344A/zh
Application granted granted Critical
Publication of CN107231344B publication Critical patent/CN107231344B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0681—Configuration of triggering conditions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请提供一种流量清洗方法和装置，应用于流量清洗系统，所述流量清洗系统中包括检测平台、清洗平台以及管理平台，该方法包括：管理平台接收到检测平台上报的告警信息；所述告警信息由检测平台在检测到流量异常的IP地址时生成，所述告警信息中包括所述IP地址和所述IP地址的当前流量；管理平台根据所述IP地址的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量；如果确定清洗平台的流量不会超出负载流量，则管理平台将所述IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对所述异常IP地址的流量进行流量清洗。本申请技术方案可以避免随机丢包的问题，从而减小用户的正常业务所受到的影响。

Description

流量清洗方法和装置
技术领域
本申请涉及通信技术领域，尤其涉及一种流量清洗方法和装置。
背景技术
在现阶段的网络中经常会存在各种各样的异常流量，这些异常流量会导致整个网络的带宽被大量消耗，影响用户的正常使用。为了解决该问题，可以在适当位置部署异常流量的清洗系统，该清洗系统可以检测并过滤网络中的异常流量。清洗系统中通常包括检测平台、清洗平台和管理平台，并与网络中的核心设备保持连接，这三个平台可以位于不同设备中，也可以位于同一设备中。核心设备可以将流量镜像发送给检测平台，或者也可以将flow数据流发送给检测平台，以供检测平台进行流量检测。检测平台如果确认流量中某个IP地址受到异常流量攻击，则可以上报管理平台，由管理平台通知清洗平台对该IP地址的流量进行流量清洗。清洗平台可以向核心设备发布其路由信息，从而使核心设备可以将发送至该IP地址的流量牵引至清洗平台进行过滤，后续清洗平台可以将过滤后的流量返回给核心设备，以达到清洗异常流量的目的。
如果牵引至清洗平台的总流量超出清洗平台的负载流量，则清洗平台返回给核心设备的过滤后的流量会出现随机丢包的问题，导致用户的正常业务受到影响。
发明内容
有鉴于此，本申请提供一种流量清洗方法和装置，以解决相关技术中随机丢包而导致用户的正常业务受到影响的问题。
具体地，本申请是通过如下技术方案实现的：
第一方面，本申请提供一种流量清洗方法，所述方法应用于流量清洗系统中的管理平台，所述流量清洗系统中还包括检测平台、清洗平台，所述方法包括：
管理平台接收到检测平台上报的告警信息；所述告警信息由检测平台在检测到流量异常的IP地址时生成，所述告警信息中包括所述IP地址和所述IP地址的当前流量；
管理平台根据所述IP地址的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量；
如果确定清洗平台的流量不会超出负载流量，则管理平台将所述IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对所述异常IP地址的流量进行流量清洗。
第二方面，本申请提供一种流量清洗装置，所述装置应用于流量清洗系统中的管理平台，所述流量清洗系统中还包括检测平台、清洗平台，所述装置包括：
接收单元，用于接收到检测平台上报的告警信息；所述告警信息由检测平台在检测到流量异常的IP地址时生成，所述告警信息中包括所述IP地址和所述IP地址的当前流量；
评估单元，用于根据所述IP地址的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量；
通知单元，用于在确定清洗平台的流量不会超出负载流量时，将所述IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对所述异常IP地址的流量进行流量清洗。
分析上述技术方案可知，在已将多个IP地址的流量牵引至清洗平台进行流量清洗时，如果检测平台新检测到流量异常的IP地址，则管理平台可以评估若将该IP地址的流量牵引至清洗平台进行流量清洗，清洗平台的总流量是否会超出负载流量。如果管理平台确定清洗平台的总流量会超出负载流量，则可以不通知清洗平台对该IP地址的流量进行流量清洗，以避免牵引至清洗平台进行流量清洗的总流量超出清洗平台的负载流量。因此清洗平台不会随机丢弃部分流量，即清洗平台返回给核心设备的这多个IP地址的过滤后的流量并不会出现随机丢包的问题，这样可以减小用户的正常业务所受到的影响，提高用户正常业务的可靠性与连续性。
附图说明
图1是流量清洗系统的系统架构图的一种示例；
图2是本申请一示例性实施例示出的一种流量清洗方法的流程图；
图3是本申请一示例性实施例示出的一种流量清洗装置所在设备的硬件结构图；
图4是本申请一示例性实施例示出的一种流量清洗装置的框图。
具体实施方式
这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。
在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。
应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。
请参考图1，为流量清洗系统的系统架构图的一种示例。相关技术中，核心设备可以将发送给下游设备的流量镜像发送给检测平台，或者也可以将flow数据流发送给检测平台，以供检测平台进行流量检测。检测平台可以检测各个IP地址的当前流量，并将检测到的当前流量与预先配置的异常阈值进行比较，如果当前流量大于异常阈值，则检测平台可以将对应的IP地址确定为流量异常的IP地址。此外，检测平台还可以对各个IP地址的流量中包含的数据进行特征码检测，如果流量中包含的数据匹配预先配置的特征码，则检测平台也可以将对应的IP地址确定为流量异常的IP地址。
检测平台在检测到流量异常的IP地址时，可以上报管理平台，由管理平台通知清洗平台对该IP地址的流量进行流量清洗。清洗平台则可以向核心设备发布路由信息，从而使核心设备可以将发送至该IP地址的流量牵引至清洗平台进行过滤，后续清洗平台可以将过滤后的流量返回给核心设备，以达到清洗异常流量的目的。
清洗平台的负载流量用于表示清洗平台的流量清洗最大能力，如果被牵引至清洗平台的总流量超出清洗平台的负载流量，则清洗平台返回给核心设备的过滤后的流量极有可能出现随机丢包的问题。具体地，如果已将多个IP地址的流量牵引至清洗平台进行流量清洗，且这多个IP地址的当前流量之和已超过清洗平台的负载能力，则清洗平台可能会随机丢弃部分流量，导致用户的正常业务受到极大影响。
针对上述问题，清洗平台可以在总流量超过负载流量时，针对流量被牵引至清洗平台的IP地址向管理员进行告警。或者，清洗平台也可以将流量被牵引至清洗平台的IP地址上报给管理平台，由管理平台向管理员进行告警。但采用这种方式及时性较差，管理员可能在较长时间后才会查看告警信息，因此也无法保证用户正常业务的可靠性与连续性。
本申请提供一种流量清洗方法和装置，以解决相关技术中清洗平台总流量超过负载流量而随机丢包的问题，提高用户正常业务的可靠性与连续性。请参考图2，为本申请一示例性实施例示出的一种流量清洗方法的流程图。该流量清洗方法可以应用于清洗系统中的管理平台，包括以下步骤：
步骤201：管理平台接收到检测平台上报的告警信息；所述告警信息由检测平台在检测到流量异常的IP地址时生成，所述告警信息中包括所述IP地址和所述IP地址的当前流量。
步骤202：管理平台根据所述IP地址的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量。
步骤203：如果确定清洗平台的流量不会超出负载流量，则管理平台将所述IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对所述异常IP地址的流量进行流量清洗。
与相关技术类似，检测平台可以对由核心设备镜像发送的流量或核心设备发送的flow数据流进行流量检测，以确定是否存在流量异常的IP地址。
在本实施例中，检测平台在检测到流量异常的IP地址时，可以向管理平台上报告警信息，所述告警信息中通常可以包括流量异常的IP地址，以及该IP地址的当前流量。
清洗平台可以定期主动向管理平台上报牵引至清洗平台进行流量清洗的当前总流量，也可以由管理平台在接收到检测平台上报的告警信息时，向清洗平台发送请求，从而使清洗平台向管理平台上报牵引至清洗平台进行流量清洗的当前总流量。
管理平台在接收到检测平台上报的告警信息时，可以根据该告警信息中的当前流量以及清洗平台最近一次上报的当前总流量，评估清洗平台的流量是否会超出负载流量。
具体地，管理平台在可以将接收到的告警信息中的当前流量，与清洗平台最近一次上报的当前总流量相加得到流量之和，并将得到的流量之和与预设的极限阈值进行比较。其中，所述极限阈值可以由管理员预先设置，用户可以将清洗平台的负载流量设置为所述极限阈值。
当所述流量之和不大于所述极限阈值时，说明在将该告警信息中的IP地址的流量牵引至清洗平台进行流量清洗后，清洗平台的总流量仍未超出清洗平台的负载流量，因此管理平台可以确定清洗平台的总流量不会超出负载流量，并将该IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对该异常IP地址的流量进行流量清洗。而当所述流量之和大于所述极限阈值时，则说明在将该告警信息中的IP地址的流量牵引至清洗平台进行流量清洗后，清洗平台的总流量已超出清洗平台的负载流量，因此管理平台可以确定清洗平台的总流量会超出负载流量，在这种情况下，管理平台可以不通知清洗平台对该IP地址的流量进行流量清洗，而可以基于该IP地址向管理员进行告警，以提醒管理员存在未进行流量清洗的异常IP地址，后续管理员可以自行选择是否需要清洗平台对该IP地址的流量进行流量清洗。
举例来说，假设有123.125.81.31、123.125.81.10和123.125.81.22这3个流量被牵引至清洗平台的异常IP地址，且IP地址123.125.81.31的当前流量为1GB，IP地址123.125.81.10的当前流量为3GB，IP地址123.125.81.22的当前流量为2GB，如下表1所示：
异常IP地址 当前流量
123.125.81.31 1GB
123.125.81.10 3GB
123.125.81.22 2GB
表1
假设清洗平台的负载流量为8GB，如果检测平台检测到流量异常的IP地址123.125.81.5，且该IP地址的当前流量为1GB，则管理平台可以根据检测平台上报的告警信息，以及清洗平台上报的当前总流量1GB+2GB+3GB＝6GB，判断出6GB+1GB＝7GB＜8GB，即清洗平台的总流量不会超出清洗平台的负载流量，因此管理平台可以通知清洗平台对IP地址123.125.81.5的流量进行流量清洗。
如果检测平台检测到流量异常的IP地址123.125.81.8，且该IP地址的当前流量为3GB，则管理平台可以根据检测平台上报的告警信息，以及清洗平台上报的当前总流量1GB+2GB+3GB＝6GB，判断出6GB+3GB＝9GB＞8GB，即清洗平台的总流量会超出清洗平台的负载流量，因此管理平台可以不通知清洗平台对IP地址123.125.81.8的流量进行流量清洗，而可以基于IP地址123.125.81.8向管理员进行告警。
采用本申请提供的技术方案，在已将多个IP地址的流量牵引至清洗平台进行流量清洗时，如果检测平台检测到新的流量异常的IP地址，则管理平台可以评估若将该IP地址的流量牵引至清洗平台进行流量清洗，清洗平台的总流量是否会超出负载流量。如果管理平台确定清洗平台的总流量会超出负载流量，则可以不通知清洗平台对该IP地址的流量进行流量清洗，以避免牵引至清洗平台进行流量清洗的总流量超出清洗平台的负载流量。因此清洗平台不会随机丢弃部分流量，即清洗平台返回给核心设备的这多个IP地址的过滤后的流量并不会出现随机丢包的问题，这样可以减小用户的正常业务所受到的影响，提高用户正常业务的可靠性与连续性。
然而，由于各个IP地址的流量是实时变化的，因此牵引至清洗平台进行流量清洗的总流量也是实时变化的。在这种情况下，采用上述实施例所描述的方式，虽然可以在检测平台新检测到流量异常的IP地址时，由管理平台判断是否要将该IP地址的流量牵引至清洗平台进行流量清洗，以避免清洗平台的总流量超出负载流量，但是无法在已牵引至清洗平台的某个IP地址的流量突增时，判断清洗平台的总流量是否会超出负载流量，从而可能导致随机丢包的问题。为了解决这一问题，管理员可以预先设置时间周期，并由清洗平台按照该时间周期定期向管理平台上报清洗信息，所述清洗信息中通常可以包括流量被牵引至清洗平台的各个异常IP地址，以及各个异常IP地址的当前流量。
管理平台可以在本地维护如上表1所示的当前流量表，所述当前流量表中可以保存有各个异常IP地址和各个异常IP地址的当前流量。管理平台在接收到清洗平台上报的清洗信息时，可以根据该清洗信息中的异常IP地址和所述异常IP地址的当前流量，更新本地保存的当前流量表。
管理平台在接收到清洗平台上报的清洗信息时，还可以判断清洗平台的当前总流量是否大于所述极限阈值。其中，清洗平台的当前总流量可以由管理平台将各个异常IP地址的当前流量相加得到，也可以由清洗平台通过所述清洗信息将清洗平台的当前总流量上报给管理平台。
当清洗平台的当前总流量大于所述极限阈值时，说明牵引至清洗设备进行流量清洗的总流量已超出清洗设备的负载流量。由于当前流量较大的IP地址可能受到大量的异常流量攻击，若停止对这类IP地址的流量进行流量清洗，可能造成下游设备瘫痪，对用户的正常业务造成较大的影响，因此管理平台可以从所述当前流量表中清除当前流量最小的异常IP地址以及所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗。
进一步地，管理平台还可以在从所述当前流量表中清除当前流量最小的异常IP地址和所述异常IP地址的当前流量后，继续判断各个异常IP地址的当前流量之和是否大于所述极限阈值的预设比例。其中，所述预设比例也可以由管理员自行设置。
如果各个异常IP地址的当前流量之和大于所述极限阈值的预设比例，则管理平台可以继续从所述当前流量表中清除当前流量最小的异常IP地址和所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗，以给清洗平台预留出部分负载流量，使清洗平台可以对检测平台新检测到的异常IP地址的流量进行流量清洗。
为了便于管理平台确定当前流量最小的异常IP地址，管理平台在本地维护所述当前流量表时，可以将各个异常IP地址按照当前流量从大到小的顺序依次排列，如下表2所示：
异常IP地址 当前流量
123.125.81.10 3GB
123.125.81.22 2GB
123.125.81.31 1GB
表2
管理平台在判断出清洗平台的当前总流量大于所述极限阈值，或者各个异常IP地址的当前流量之和大于所述极限阈值的预设比例时，可以将该当前流量表中排列在末位的异常IP地址和该异常IP地址的当前流量清除。
管理平台在从所述当前流量表中清除当前流量最小的异常IP地址和所述异常IP地址的当前流量后，也可以基于该异常IP地址向管理员进行告警，以提醒管理员存在未进行流量清洗的异常IP地址，后续管理员可以自行选择是否需要清洗平台重新对该IP地址的流量进行流量清洗。
与前述流量清洗方法的实施例相对应，本申请还提供了流量清洗装置的实施例。
本申请流量清洗装置的实施例可以应用在流量清洗系统中的管理平台上，该流量清洗系统可以装载在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在网络设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图3所示，为本申请流量清洗装置所在网络设备的一种硬件结构图，除了图3所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的网络设备通常根据该流量清洗的实际功能，还可以包括其他硬件，对此不再赘述。
请参考图4，为本申请一示例性实施例示出的一种流量清洗装置的框图。所述装置400可以应用在图3所示的网络设备上，包括：
接收单元401，用于接收到检测平台上报的告警信息；所述告警信息由检测平台在检测到流量异常的IP地址时生成，所述告警信息中包括所述IP地址和所述IP地址的当前流量；
评估单元402，用于根据所述IP地址的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量；
通知单元403，用于在确定清洗平台的流量不会超出负载流量时，将所述IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对所述异常IP地址的流量进行流量清洗。
在一个可选的实施例中，所述评估单元402可以包括：
判断子单元4021，用于判断所述当前流量与所述当前总流量之和是否大于预设的极限阈值；
确定子单元4022，用于在所述当前流量与所述当前总流量之和不大于所述极限阈值时，确定清洗平台的总流量不会超出负载流量；
所述确定子单元4022还可以用于在所述当前流量与所述当前总流量之和大于所述极限阈值时，确定清洗平台的总流量会超出负载流量。
在另一个可选的实施例中，所述装置400还可以包括：
更新单元404，用于在接收到清洗平台按照预设的时间周期上报的清洗信息时，根据所述清洗信息中的异常IP地址和所述异常IP地址的当前流量，更新本地保存的当前流量表；
判断单元405，用于判断清洗平台的当前总流量是否大于所述极限阈值；所述当前总流量等于各个异常IP地址的当前流量之和；
清除单元406，用于在所述当前总流量大于所述极限阈值时，从所述当前流量表中清除当前流量最小的异常IP地址以及所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗。
在另一个可选的实施例中，所述判断单元405还可以用于在从所述当前流量表中清除所述异常IP地址和所述异常IP地址的当前流量后，继续判断各个异常IP地址的当前流量之和是否大于所述极限阈值的预设比例；
所述清除单元406还可以用于在各个异常IP地址的当前流量之和大于所述极限阈值的预设比例时，继续从所述当前流量表中清除当前流量最小的异常IP地址和所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗。
在另一个可选的实施例中，所述装置400还可以包括：
告警单元407，用于在确定清洗平台的流量超出负载流量时，基于所述IP地址进行告警。
上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。
对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种流量清洗方法，其特征在于，所述方法应用于流量清洗系统中的管理平台，所述流量清洗系统中还包括检测平台、清洗平台，所述方法包括：
管理平台接收到检测平台上报的告警信息；所述告警信息由检测平台在检测到流量异常的IP地址时生成，所述告警信息中包括所述IP地址和所述IP地址的当前流量；
管理平台根据所述IP地址的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量；
如果确定清洗平台的流量不会超出负载流量，则管理平台将所述IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对所述异常IP地址的流量进行流量清洗。
2.根据权利要求1所述的方法，其特征在于，所述根据所述告警信息中携带的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量，包括：
判断所述当前流量与所述当前总流量之和是否大于预设的极限阈值；
如果所述当前流量与所述当前总流量之和不大于所述极限阈值，则确定清洗平台的总流量不会超出负载流量；
如果所述当前流量与所述当前总流量之和大于所述极限阈值，则确定清洗平台的总流量会超出负载流量。
3.根据权利要求2所述的方法，其特征在于，所述方法还包括：
管理平台在接收到清洗平台按照预设的时间周期上报的清洗信息时，根据所述清洗信息中的异常IP地址和所述异常IP地址的当前流量，更新本地保存的当前流量表；
管理平台判断清洗平台的当前总流量是否大于所述极限阈值；所述当前总流量等于各个异常IP地址的当前流量之和；
如果所述当前总流量大于所述极限阈值，则管理平台从所述当前流量表中清除当前流量最小的异常IP地址以及所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗。
4.根据权利要求3所述的方法，其特征在于，所述方法还包括：
管理平台在从所述当前流量表中清除所述异常IP地址和所述异常IP地址的当前流量后，继续判断各个异常IP地址的当前流量之和是否大于所述极限阈值的预设比例；
如果各个异常IP地址的当前流量之和大于所述极限阈值的预设比例，则管理平台继续从所述当前流量表中清除当前流量最小的异常IP地址和所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗。
5.根据权利要求1所述的方法，其特征在于，所述方法还包括：
如果确定清洗平台的流量超出负载流量，则管理平台基于所述IP地址进行告警。
6.一种流量清洗装置，其特征在于，所述装置应用于流量清洗系统中的管理平台，所述流量清洗系统中还包括检测平台、清洗平台，所述装置包括：
接收单元，用于接收到检测平台上报的告警信息；所述告警信息由检测平台在检测到流量异常的IP地址时生成，所述告警信息中包括所述IP地址和所述IP地址的当前流量；
评估单元，用于根据所述IP地址的当前流量以及清洗平台上报的当前总流量，评估清洗平台的总流量是否会超出负载流量；
通知单元，用于在确定清洗平台的流量不会超出负载流量时，将所述IP地址作为异常IP地址发送给清洗平台，以通知清洗平台对所述异常IP地址的流量进行流量清洗。
7.根据权利要求6所述的装置，其特征在于，所述评估单元包括：
判断子单元，用于判断所述当前流量与所述当前总流量之和是否大于预设的极限阈值；
确定子单元，用于在所述当前流量与所述当前总流量之和不大于所述极限阈值时，确定清洗平台的总流量不会超出负载流量；
所述确定子单元还用于在所述当前流量与所述当前总流量之和大于所述极限阈值时，确定清洗平台的总流量会超出负载流量。
8.根据权利要求7所述的装置，其特征在于，所述装置还包括：
更新单元，用于在接收到清洗平台按照预设的时间周期上报的清洗信息时，根据所述清洗信息中的异常IP地址和所述异常IP地址的当前流量，更新本地保存的当前流量表；
判断单元，用于判断清洗平台的当前总流量是否大于所述极限阈值；所述当前总流量等于各个异常IP地址的当前流量之和；
清除单元，用于在所述当前总流量大于所述极限阈值时，从所述当前流量表中清除当前流量最小的异常IP地址以及所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗。
9.根据权利要求8所述的装置，其特征在于，
所述判断单元还用于在从所述当前流量表中清除所述异常IP地址和所述异常IP地址的当前流量后，继续判断各个异常IP地址的当前流量之和是否大于所述极限阈值的预设比例；
所述清除单元还用于在各个异常IP地址的当前流量之和大于所述极限阈值的预设比例时，继续从所述当前流量表中清除当前流量最小的异常IP地址和所述异常IP地址的当前流量，并通知清洗平台停止对所述异常IP地址的流量进行流量清洗。
10.根据权利要求6所述的装置，其特征在于，所述装置还包括：
告警单元，用于在确定清洗平台的流量超出负载流量时，基于所述IP地址进行告警。
CN201710307072.4A 2017-05-04 2017-05-04 流量清洗方法和装置 Active CN107231344B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710307072.4A CN107231344B (zh) 2017-05-04 2017-05-04 流量清洗方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710307072.4A CN107231344B (zh) 2017-05-04 2017-05-04 流量清洗方法和装置

Publications (2)

Publication Number Publication Date
CN107231344A true CN107231344A (zh) 2017-10-03
CN107231344B CN107231344B (zh) 2020-04-03

Family

ID=59934116

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710307072.4A Active CN107231344B (zh) 2017-05-04 2017-05-04 流量清洗方法和装置

Country Status (1)

Country Link
CN (1) CN107231344B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108337254A (zh) * 2018-01-30 2018-07-27 杭州迪普科技股份有限公司 一种防护混合型DDoS攻击的方法和装置
CN109450955A (zh) * 2018-12-30 2019-03-08 北京世纪互联宽带数据中心有限公司 一种基于网络攻击的流量处理方法及装置
CN110784458A (zh) * 2019-10-21 2020-02-11 新华三信息安全技术有限公司 流量异常检测方法、装置及网络设备
CN111224924A (zh) * 2018-11-27 2020-06-02 北京金山云网络技术有限公司 流量处理方法、装置、电子设备及存储介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917425A (zh) * 2010-08-09 2010-12-15 中国电信股份有限公司 双向在线方式的网吧流量集中式清洗系统及方法
CN101924764A (zh) * 2010-08-09 2010-12-22 中国电信股份有限公司 基于二级联动机制的大规模DDoS攻击防御系统及方法
CN104954367A (zh) * 2015-06-04 2015-09-30 饶小毛 一种互联网全向跨域DDoS攻击防护方法
CN106131031A (zh) * 2016-07-19 2016-11-16 北京兰云科技有限公司 一种DDoS流量清洗处理的方法及装置
CN106161333A (zh) * 2015-03-24 2016-11-23 华为技术有限公司 基于sdn的ddos攻击防护方法、装置及系统
CN106330951A (zh) * 2016-09-14 2017-01-11 北京神州绿盟信息安全科技股份有限公司 一种网络防护方法、装置和系统
CN106534043A (zh) * 2015-09-09 2017-03-22 阿里巴巴集团控股有限公司 一种流量处理方法，设备和系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917425A (zh) * 2010-08-09 2010-12-15 中国电信股份有限公司 双向在线方式的网吧流量集中式清洗系统及方法
CN101924764A (zh) * 2010-08-09 2010-12-22 中国电信股份有限公司 基于二级联动机制的大规模DDoS攻击防御系统及方法
CN106161333A (zh) * 2015-03-24 2016-11-23 华为技术有限公司 基于sdn的ddos攻击防护方法、装置及系统
CN104954367A (zh) * 2015-06-04 2015-09-30 饶小毛 一种互联网全向跨域DDoS攻击防护方法
CN106534043A (zh) * 2015-09-09 2017-03-22 阿里巴巴集团控股有限公司 一种流量处理方法，设备和系统
CN106131031A (zh) * 2016-07-19 2016-11-16 北京兰云科技有限公司 一种DDoS流量清洗处理的方法及装置
CN106330951A (zh) * 2016-09-14 2017-01-11 北京神州绿盟信息安全科技股份有限公司 一种网络防护方法、装置和系统

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108337254A (zh) * 2018-01-30 2018-07-27 杭州迪普科技股份有限公司 一种防护混合型DDoS攻击的方法和装置
CN108337254B (zh) * 2018-01-30 2020-12-29 杭州迪普科技股份有限公司 一种防护混合型DDoS攻击的方法和装置
CN111224924A (zh) * 2018-11-27 2020-06-02 北京金山云网络技术有限公司 流量处理方法、装置、电子设备及存储介质
CN109450955A (zh) * 2018-12-30 2019-03-08 北京世纪互联宽带数据中心有限公司 一种基于网络攻击的流量处理方法及装置
CN109450955B (zh) * 2018-12-30 2022-04-05 北京世纪互联宽带数据中心有限公司 一种基于网络攻击的流量处理方法及装置
CN110784458A (zh) * 2019-10-21 2020-02-11 新华三信息安全技术有限公司 流量异常检测方法、装置及网络设备
CN110784458B (zh) * 2019-10-21 2023-04-18 新华三信息安全技术有限公司 流量异常检测方法、装置及网络设备

Also Published As

Publication number Publication date
CN107231344B (zh) 2020-04-03

Similar Documents

Publication Publication Date Title
CN107231344A (zh) 流量清洗方法和装置
CN111817911B (zh) 一种探测网络质量的方法、装置、计算设备及存储介质
JP5767617B2 (ja) ネットワーク障害検出システムおよびネットワーク障害検出装置
US7634682B2 (en) Method and system for monitoring network health
CN106294073B (zh) 服务调用方法及装置
CN107528749A (zh) 基于云防护日志的网站可用性检测方法、装置及系统
CN109005085A (zh) 一种服务可用性监控系统、方法、装置及设备
CN105379201B (zh) 路径切换的方法、控制器和故障切换交换机
WO2015020648A1 (en) Method and apparatus for dynamic monitoring condition control
JP5251538B2 (ja) 異常箇所特定プログラム、異常箇所特定装置、異常箇所特定方法
WO2011009000A1 (en) Method and apparatus for telecommunications network performance anomaly events detection and notification
CN107769943A (zh) 一种主备集群切换的方法和设备
JP2011071718A (ja) 遅延時間測定装置、遅延時間測定プログラム及び方法
CN109450666A (zh) 分布式系统网络管理方法及装置
JP2007189615A (ja) ネットワーク監視支援装置、ネットワーク監視支援方法およびネットワーク監視支援プログラム
CN101741991A (zh) 告警处理方法、装置及系统
CN107888455A (zh) 一种数据检测方法、装置和系统
JP2013054402A (ja) 運用監視装置、運用監視プログラム及び記録媒体
CN109981450B (zh) 路径连通维护方法、装置和系统
US20120174209A1 (en) Method and Device for Detecting Validation of Access Control List
Bouillard et al. Hidden anomaly detection in telecommunication networks
JP6033189B2 (ja) 通信装置、通信方法および通信プログラム
CN108183884A (zh) 一种网络攻击判定方法及装置
JP2009010438A (ja) ネットワーク管理装置及びネットワーク管理方法及びプログラム
CN111586018B (zh) 一种流量清洗方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant