CN109005175B - 网络防护方法、装置、服务器及存储介质 - Google Patents

Abstract

本发明公开了一种网络防护方法、装置、服务器及存储介质，属于网络安全领域。所述方法包括：当服务器被攻击时，获取向服务器发送的报文，报文包括用户标识和安全水印；根据报文中的安全水印对报文的合法性进行检测，得到检测结果；当检测结果为报文合法时，统计报文中的用户标识周期时间内出现的次数；当报文中的用户标识周期时间内出现的次数超过阈值时，丢弃报文；当报文中的用户标识周期时间内出现的次数未超过阈值时，向服务器转发报文。该方案通过安全水印和统计用户标识周期时间内出现的次数配合，不但能够拦截普通攻击方式发送的非法报文，还能够对重放攻击发送的报文进行拦截，从而确保了服务器的正常工作。

Description

网络防护方法、装置、服务器及存储介质

技术领域

本发明涉及网络安全领域，特别涉及一种网络防护方法、装置、服务器及存储介质。

背景技术

分布式拒绝服务(Distributed Denial of Service，DDoS)攻击，是指黑客通过控制分布在各处的僵死网络向目的服务器发起大量异常流量，服务器忙于处理异常流量，无法处理正常用户请求，甚至系统崩溃，造成拒绝服务。

针对DDoS攻击，相关技术中提供了一种基于水印的防护策略，在客户端向服务器发送上行报文时，需要在报文中携带通过事先约定的算法算出的水印字段。设置在客户端和服务器之间的防护端，通过验证该上行报文中水印字段的合法性，从而判断是否将该报文转发给服务器，实现对非法报文进行拦截。

但是，当攻击端通过窃取到的合法报文进行重放攻击时，上述防护策略无法有效对攻击进行防护。

发明内容

本发明实施例提供了一种网络防护方法、装置、服务器及存储介质，能够解决相关技术中当攻击端通过窃取到的合法报文进行重放攻击时，防护策略无法有效对攻击进行防护的问题。所述技术方案如下：

一方面，提供了一种网络防护方法，所述方法包括：

当服务器被攻击时，获取向所述服务器发送的报文，所述报文包括用户标识和安全水印；根据所述报文中的安全水印对所述报文的合法性进行检测，得到检测结果；当所述检测结果为报文合法时，统计所述报文中的用户标识周期时间内出现的次数；当所述报文中的用户标识周期时间内出现的次数超过阈值时，丢弃所述报文；当所述报文中的用户标识周期时间内出现的次数未超过阈值时，向所述服务器转发所述报文。

另一方面，还提供了一种网络防护装置，所述装置包括：

接收模块，用于当服务器被攻击时，获取向所述服务器发送的报文，所述报文包括用户标识和安全水印；检测模块，用于根据所述报文中的安全水印对所述报文的合法性进行检测，得到检测结果；统计模块，用于当所述检测结果为报文合法时，统计所述报文中的用户标识周期时间内出现的次数；过滤模块，用于当所述报文中的用户标识周期时间内出现的次数超过阈值时，丢弃所述报文；当所述报文中的用户标识周期时间内出现的次数未超过阈值时，向所述服务器转发所述报文。

另一方面，还提供了一种服务器，所述服务器包括处理器和存储器，所述存储器中存储有至少一条指令，所述指令由所述处理器加载并执行以实现如第一方面所述的网络防护方法。

另一方面，还提供了一种计算机可读存储介质，所述存储介质中存储有至少一条指令，所述指令由处理器加载并执行以实现如第一方面所述的网络防护方法。

本发明实施例提供的技术方案带来的有益效果是：

通过在接收到客户端发送的报文后，先对报文中的安全水印进行验证，从而确定该报文是否合法，当所述检测结果为报文合法时，统计报文中的用户标识周期时间内出现的次数，根据报文中的用户标识周期时间内出现的次数是否超过阈值，来决定是进行转发还是进行拦截。该方案通过安全水印和统计用户标识周期时间内出现的次数配合，不但能够拦截普通攻击方式发送的非法报文，还能够对重放攻击发送的报文进行拦截，从而确保了服务器的正常工作。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种网络防护系统的拓扑示意图；

图2是本发明实施例提供的一种网络防护方法的流程图；

图3是本发明实施例提供的另一种网络防护方法的流程图；

图4是本发明实施例提供的一种报文的结构示意图；

图5是本发明实施例提供的一种网络防护装置的结构示意图；

图6是本发明实施例提供的一种服务器的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

为便于对本发明实施例提供的技术方案的理解，下面对现有DDoS攻击防护方案所存在的问题进行说明：

DDoS攻击可以分为2大类：阻塞带宽型和消耗性能型。阻塞带宽型即黑客通过肉鸡(被黑客控制的客户端)发送用户数据报协议(User Datagram Protocol，UDP)长报文、同步序列编号(Synchronize Sequence Numbers，SYN)长报文等恶意流量，阻塞服务器带宽，导致正常客户无法访问服务器。消耗性能型则通过发送大量SYN短报文、确认(Acknowledgement，ACK)短报文、超文本传输协议(Hyper Text Transfer Protocol，HTTP)报文等进行恶意请求，让服务器忙于处理恶意请求而导致服务器资源耗尽，无法响应正常请求，达到拒绝服务器攻击的目的。

针对DDoS攻击，相关技术中提供了多种防护方案，例如验证源IP合法性策略、基于源IP和目的IP的限速防护策略、基于水印的防护策略等。

然而，这些策略都存在一些问题。以验证源IP合法性策略为例，验证源IP合法性策略通常通过反弹挑战报文实现，或者通过丢弃首包让客户端自动重传来实现。只要攻击端是通过真实IP进行的DDoS攻击，该方案则无法进行防护。以限速防护策略为例，限速策略会造成正常业务流量被误杀，且无法完全限制攻击流量。以基于水印的防护策略为例，当攻击端通过窃取到的合法报文进行重放攻击时，上述防护策略无法有效对攻击进行防护。

为此，本发明实施例提供了一种网络防护方法。在介绍本申请的网络防护方法前，先对网络防护系统(也即前述防护端)的架构进行简单说明。

图1是本发明实施例提供的一种网络防护系统的拓扑示意图。参见图1，该网络防护系统10连接路由器20，该路由器20通常为网络中的核心路由器。路由器20连接运营商网络30，路由器20通过交换机40连接服务器50，从而实现服务器50与网络其他设备的连通。其中，路由器20可以连接多个交换机40，该交换机40可以为核心交换机，每个交换机40可以连接一个或多个服务器50。

网络防护系统10包括攻击检测子系统101、防护子系统102和控制子系统103，三个子系统既可以分别采用独立的设备(如服务器)实现，也可以其中两个或者三个集成在一个设备上。

路由器20在传输发送给服务器50的流量时，会产生镜像流量，并将镜像流量发送给攻击检测子系统101。攻击检测子系统101检测各个服务器50是否受到攻击，在检测到服务器50受到攻击时，向防护子系统102和控制子系统103输出告警信息。

防护子系统102收到告警信息时，对服务器的报文进行过滤，将过滤后的服务器的报文回传给路由器20，再由路由器20传输给服务器50。并且在防护过程中，防护子系统102可以判断出恶意用户，将该恶意用户信息存在控制子系统103中。

其中，服务器为前述路由器20连接的任一个服务器。

图2是本发明实施例提供的一种网络防护方法的流程图，参见图2，该方法由前述网络防护系统执行，该方法包括：

步骤101：当服务器被攻击时，获取向服务器发送的报文，报文包括用户标识和安全水印。

在本发明实施例中，服务器受到攻击是指服务器收到大量的攻击流量，因此可以通过单位时间内向服务器发送的流量多少确定服务器是否受到攻击。

在本发明实施例中，向服务器发送的流量可以包括传输控制协议(TransmissionControl Protocol，TCP)流量和UDP流量中的至少一种，其中，TCP流量也即采用TCP协议传输给服务器的数据，UDP流量也即采用UDP协议传输给服务器的数据。因此，前述向服务器发送的报文可以为UDP报文、也可以为SYN报文、ACK报文、TCP报文等，其中SYN报文和ACK报文为客户端与服务器建立TCP连接时传输的报文。

该报文中的用户标识可以为用户名、用户编号或者用户哈希值(Playheadhash)。例如，在游戏领域，该用户标识可以为用户注册游戏时使用的用户名，或者用户注册游戏时得到的用户编号，或者采用该用户名通过哈希运算得到的用户哈希值。其中，游戏业务作为当今收入最高的互联网业务之一，经常会由于恶意玩家、恶意竞争等原因，而经常遭受DDoS攻击。游戏业务遭受DDoS攻击后，会造成游戏掉线、玩家流失、影响口碑、影响收入等严重后果，所以本申请提供的方案特别适用于游戏业务，能够保证游戏业务的稳定运行。

在本发明实施例中，可以采用用户哈希值来表示用户标识，用户哈希值的长度固定，也即不同长度的用户名或者不同长度的用户编号，通过哈希运算后得到的用户哈希值的长度都是相同的，这样便于用户哈希值携带在报文中。

该报文中的安全水印(Footprint)的计算方式如下：采用目的地址(服务器的IP地址)、目的端口和用户标识作为计算因子，采用水印计算方法计算该安全水印。这里的水印计算方法可以为CRC32算法，当然也可以为其他算法，本申请对此不做限制。

步骤102：根据报文中的安全水印对报文的合法性进行检测，得到检测结果。当检测结果为报文合法时，执行步骤103。当检测结果为报文不合法时，执行步骤104。

该水印计算方法事先约定好，客户端可以采用该水印计算方法计算安全水印，而网络防护系统则可以采用该水印计算方法进行安全水印的验证。

在步骤102中，根据报文中的安全水印对报文的合法性进行检测，得到检测结果，是指网络防护系统生成验证水印，通过比较验证水印和安全水印来确定报文的合法性。

步骤103：统计报文中的用户标识周期时间内出现的次数。当报文中的用户标识周期时间内出现的次数超过阈值时，执行步骤104。当报文中的用户标识周期时间内出现的次数未超过阈值时，执行步骤105。

在步骤102中，如果根据安全水印判断出报文合法，则可能存在两种情况，一种是正常客户端发送的正常报文，另一种是攻击端通过重放攻击发送的报文。由于正常客户端周期时间内发送的正常报文的数量不会太多，而重放攻击为了阻塞服务器，周期时间内会发送大量报文，因此，步骤103通过统计用户标识周期时间内出现的次数，对重放攻击发送的报文进行过滤。

步骤104：丢弃报文。

通过丢弃报文，避免攻击报文被发送到服务器，影响正常业务运转。

步骤105：向服务器转发报文。

通过前述步骤验证的正常报文需要转发给服务器，避免影响正常业务。

本申请通过在接收到客户端发送的报文后，先对报文中的安全水印进行验证，从而确定该报文是否合法，当检测结果为报文合法时，统计报文中的用户标识周期时间内出现的次数，根据报文中的用户标识周期时间内出现的次数是否超过阈值，来决定是进行转发还是进行拦截。该方案通过安全水印和统计用户标识周期时间内出现的次数配合，不但能够拦截普通攻击方式发送的非法报文，还能够对重放攻击发送的报文进行拦截，并且不影响正常报文的传输，从而确保了服务器的正常工作。

图3是本发明实施例提供的另一种网络防护方法的流程图，参见图3，该方法由前述网络防护系统和客户端共同执行，该方法流程包括：

步骤200：客户端向服务器发送报文，该报文包括用户标识和安全水印。

该报文中的用户标识可以为用户名、用户编号或者用户哈希值。例如，在游戏领域，该用户标识可以为用户注册游戏时使用的用户名，或者用户注册游戏时得到的用户编号，或者采用该用户名通过哈希运算得到的用户哈希值。

在本发明实施例中，可以采用用户哈希值来表示用户标识，用户哈希值的长度固定，也即不同长度的用户名或者不同长度的用户编号，通过哈希运算后得到的用户哈希值的长度都是相同的，这样便于用户哈希值携带在报文中。

该报文中的安全水印的计算方式如下：采用目的地址(服务器的IP地址)、目的端口和用户标识作为计算因子，采用水印计算方法计算该安全水印。

在本发明实施例中，报文包括载荷，载荷的前若干个字节为用户标识和安全水印，这样设计，便于网络防护系统从报文中提取用户标识和安全水印进行校验，节省性能。图4是本发明实施例提供的一种报文的结构示意图。参见图4，该报文包括IP头、TCP/UDP头、安全水印、用户哈希值和数据，安全水印和用户哈希值分别为4字节，位于载荷的前8个字节。这里的安全水印、用户哈希值和数据构成前述报文的载荷。

具体地，该步骤可以包括：客户端计算安全水印；根据安全水印生成报文；向服务器发送生成的报文。其中，客户端计算安全水印可以采用如下方式实现：客户端调用水印插件计算安全水印，该水印插件中携带有计算安全水印的水印计算方法，例如CRC32算法，当然也可以为其他算法，本申请对此不做限制。这里，采用插件将水印计算方法直接封装给客户端，客户端无需了解算法实现，直接调用插件即可，实现简单；插件实现更稳定；更新更方便，如果水印计算方法更新，直接替换插件即可。

值得说明的是，虽然该客户端生成的报文目的地是服务器，表示向服务器发送报文，但该报文可能最终并不能到达服务器，当报文经过连接有网络防护系统的路由器时，可能会被拦截，从而无法到达服务器。因此，图3中采用虚线表示该发送过程。

步骤201：网络防护系统判断各个服务器是否被攻击。

在本发明实施例中，服务器受到攻击是指服务器收到大量的攻击流量，在本申请中，可以通过单位时间内向服务器发送的流量多少确定服务器是否受到攻击。该步骤201由网络防护系统中的攻击检测子系统实现，可以包括：

第一步，网络防护系统接收路由器发送的镜像流量。

该镜像流量既包括发送到服务器的各种流量，例如UDP流量、TCP流量。按照流量中报文的目的地址，统计单位时间内发送到服务器的流量的多少，例如单位时间内发送到服务器的流量为50G等。

在本发明实施例中，路由器发送的镜像流量包括多个服务器的流量，所以在统计时，对各个服务器的流量分别进行统计。当镜像流量包括多个服务器的流量时，后续各个步骤也需要针对各个服务器的流量分别执行。

第二步，根据单位时间内发送到服务器的流量以及服务器对应的安全阈值，确定服务器是否受到攻击。

例如，获取服务器对应的安全阈值；比较单位时间内发送到服务器的流量与对应的安全阈值的大小；当单位时间内发送到服务器的流量大于或等于对应的安全阈值时，确定该服务器受到攻击，当单位时间内发送到服务器的流量小于对应的安全阈值时，确定该服务器未受到攻击。

其中，服务器对应的安全阈值可以事先存储在该网络防护系统中，每个服务器的安全阈值与服务器的功能相关，例如域名系统(Domain Name System，DNS)服务器、视频服务器的安全阈值大小不同。对于未设置安全阈值的服务器，则采用默认安全阈值。

步骤202：当服务器被攻击时，网络防护系统获取向服务器发送的报文，报文包括用户标识和安全水印。

步骤202可以由网络防护系统中的防护子系统执行，当服务器被攻击时，执行后续步骤；当服务器未被攻击时，不需要执行后续步骤。

可选地，该方法还包括：当服务器受到攻击时，生成告警信息。该告警信息由攻击检测子系统生成，然后输出到防护子系统。

当防护子系统接收到告警信息时，防护子系统与路由器之间进行流量牵引，将服务器的流量牵引到防护子系统。

其中，防护子系统与路由器之间进行流量牵引，将服务器的流量牵引到网络防护系统可以通过如下方式实现：防护子系统通过与路由器建立的边界网关协议(BorderGateway Protocol，BGP)邻居关系。向路由器发布服务器的牵引路由，将服务器的流量发送到防护子系统。

具体地，路由器中可以虚拟出两个路由器：第一虚拟路由器和第二虚拟路由器，第一虚拟路由器负责接收服务器的报文，第二虚拟路由器负责将服务器的报文发送给服务器。防护子系统向第一虚拟路由器发布服务器的牵引路由，该牵引路由的下一跳为防护子系统，该牵引路由的子网掩码比第一虚拟路由器学习到的服务器的路由的子网掩码长，根据最长掩码匹配原则，第一虚拟路由器采用该牵引路由作为服务器的路由。第一虚拟路由器将接收到的服务器的报文发送给防护子系统，防护子系统进行网络防护。在服务器结束被攻击后，防护子系统可以向第一虚拟路由器发送宣告牵引路由无效的信息，使服务器未受到攻击时的报文不再发送给防护子系统，而是直接发送给服务器。

步骤203：网络防护系统根据报文中的安全水印对报文的合法性进行检测，得到检测结果。当检测结果为报文合法时，执行步骤204。当检测结果为报文不合法时，执行步骤205。

在步骤203中，根据报文中的安全水印对报文的合法性进行检测，得到检测结果，是指网络防护系统生成验证水印，通过比较验证水印和安全水印来确定报文的合法性。

步骤203可以由网络防护系统中的防护子系统执行，具体地步骤203可以包括：从报文中获取用户标识和安全水印；采用水印计算方法和用户标识计算验证水印；比较验证水印和安全水印是否相同；若验证水印和安全水印相同，则报文合法；若验证水印和安全水印不同，则报文不合法。

该水印计算方法事先约定好，客户端可以采用该水印计算方法计算安全水印，而防护子系统则可以采用该水印计算方法进行安全水印的验证。

步骤204：网络防护系统统计报文中的用户标识周期时间内出现的次数。当报文中的用户标识周期时间内出现的次数超过阈值时，执行步骤205。当报文中的用户标识周期时间内出现的次数未超过阈值时，执行步骤206。

在步骤203中，如果根据安全水印判断出报文合法，则可能存在两种情况，一种是正常客户端发送的正常报文，另一种是攻击端通过重放攻击发送的报文。由于正常客户端周期时间内发送的正常报文的数量不会太多，而重放攻击为了阻塞服务器，周期时间内会发送大量报文，因此，步骤204需要通过统计用户标识周期时间内出现的次数，对重放攻击发送的报文进行过滤。

其中，周期时间可以根据需要进行设定，例如周期时间可以为1秒。如1秒内共检查到300个的报文携带有某一个用户标识，阈值为250，此时该用户标识周期时间内出现的次数超过阈值，说明出现重放攻击，执行步骤205。

步骤205：网络防护系统丢弃报文。

通过丢弃报文，避免攻击报文被发送到服务器，影响正常业务运转。

步骤206：网络防护系统向服务器转发报文。

防护子系统将过滤后的报文返回路由器，由路由器发送给服务器。

具体地，防护子系统在进行网络防护后将服务器的报文发送给前述第二虚拟路由器，由第二虚拟路由器发送给服务器。

下面通过举例对上述防护过程的效果进行说明：

场景1：攻击者不知道水印计算方法，无法正确计算安全水印，只能随机伪造垃圾报文发起DDoS攻击。

此时，网络防护系统通过对每个报文做水印检查，实现对攻击报文的拦截，防护成功。

场景2：攻击者抓取正常业务报文，通过重放报文来发起DDoS攻击。

此时，网络防护系统通过对每个报文做水印检查，无法拦截该攻击报文。但是，网络防护系统通过统计报文中的用户标识周期时间内出现的次数，发现该用户标识周期时间内出现的次数超过阈值，判断该用户标识为恶意用户，此时对带有该用户标识的报文做拦截，防护成功。

可选地，该方法还可以包括：当报文中的用户标识周期时间内出现的次数超过阈值时，将用户标识存入恶意用户信息中。将用户标识存入恶意用户信息中，然后可以在后续防护过程中利用该恶意用户信息进行报文拦截或者对用户账号进行处理，避免再次受到该用户的攻击。

可选地，该方法还可以包括：将该恶意用户信息传输给服务器，使得服务器可以根据该恶意用户信息进行恶意账号审计、封号、通报等线上打击操作。其中，当前述用户标识为用户哈希值时，服务器中存储有用户名或用户编号与用户哈希值的对应表，根据用户哈希值找到对应的用户名或用户编号，从而能够实现封号等操作。

进一步地，该方法还可以包括：

在对报文的合法性进行检测前，确定报文中的用户标识是否存在于恶意用户信息中；当报文中的用户标识存在于恶意用户信息中，丢弃报文。

进一步地，还可以限定使用恶意用户信息进行拦截的时间，例如在用户标识加入恶意用户信息中的一段时间内(如30分钟、1小时等)，拦截携带该用户标识的所有报文。当超过该时间段后，不再拦截携带该用户标识的所有报文，而是通过步骤203和204的方式进行拦截。

这样可以方便拦截之前进行过恶意攻击的用户发送的报文，降低防护子系统的处理压力。而超过该时间段后，不再拦截恶意用户信息中用户标识的所有报文，避免采用该用户的报文进行的重放攻击结束后，持续拦截影响该用户的正常业务报文传输。

本申请通过在接收到客户端发送的报文后，先对报文中的安全水印进行验证，从而确定该报文是否合法，当检测结果为报文合法时，统计报文中的用户标识周期时间内出现的次数，根据报文中的用户标识周期时间内出现的次数是否超过阈值，来决定是进行转发还是进行拦截。该方案通过安全水印和统计用户标识周期时间内出现的次数配合，不但能够拦截普通攻击方式发送的非法报文，还能够对重放攻击发送的报文进行拦截，并且不影响正常报文的传输，从而确保了服务器的正常工作。

图5是本发明实施例提供的一种网络防护装置的结构示意图，参见图5，该装置300包括：接收模块301、检测模块302、过滤模块303和统计模块304。

接收模块301用于当服务器被攻击时，获取向服务器发送的报文，报文包括用户标识和安全水印；检测模块302用于根据报文中的安全水印对报文的合法性进行检测，得到检测结果；统计模块304用于当检测结果为报文合法时，统计报文中的用户标识周期时间内出现的次数；过滤模块303用于当报文中的用户标识周期时间内出现的次数超过阈值时，丢弃报文；当报文中的用户标识周期时间内出现的次数未超过阈值时，向服务器转发报文。

在本发明实施例中，过滤模块303还用于当检测结果为报文不合法时，丢弃报文。

在本发明实施例中，检测模块302用于从报文中获取用户标识和安全水印；采用水印计算方法和用户标识计算验证水印；比较验证水印和安全水印是否相同；若验证水印和安全水印相同，则报文合法；若验证水印和安全水印不同，则报文不合法。

在本发明实施例中，报文包括载荷，载荷的前若干个字节为用户标识和安全水印。

在本发明实施例中，用户标识为用户名哈希值。

进一步地，该装置还可以包括存储模块305。存储模块305用于当报文中的用户标识周期时间内出现的次数超过阈值时，将用户标识存入恶意用户信息中。

进一步地，过滤模块303还用于在对报文的合法性进行检测前，确定报文中的用户标识是否存在于恶意用户信息中；当报文中的用户标识存在于恶意用户信息中，丢弃报文。

需要说明的是：上述实施例提供的网络防护装置在实现网络防护方法时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的网络防护装置与网络防护方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图6是本发明实施例提供的一种服务器的结构示意图。该服务器可以是网络防护系统。具体来讲：

网络防护系统400包括中央处理单元(CPU)401、包括随机存取存储器(RAM)402和只读存储器(ROM)403的系统存储器404，以及连接系统存储器404和中央处理单元401的系统总线405。网络防护系统400还包括帮助计算机内的各个器件之间传输信息的基本输入/输出系统(I/O系统)406，和用于存储操作系统413、应用程序414和其他程序模块415的大容量存储设备407。

基本输入/输出系统406包括有用于显示信息的显示器408和用于用户输入信息的诸如鼠标、键盘之类的输入设备409。其中显示器408和输入设备409都通过连接到系统总线405的输入输出控制器410连接到中央处理单元401。基本输入/输出系统406还可以包括输入输出控制器410以用于接收和处理来自键盘、鼠标、或电子触控笔等多个其他设备的输入。类似地，输入输出控制器410还提供输出到显示屏、打印机或其他类型的输出设备。

大容量存储设备407通过连接到系统总线405的大容量存储控制器(未示出)连接到中央处理单元401。大容量存储设备407及其相关联的计算机可读介质为网络防护系统400提供非易失性存储。也就是说，大容量存储设备407可以包括诸如硬盘或者CD-ROM驱动器之类的计算机可读介质(未示出)。

不失一般性，计算机可读介质可以包括计算机存储介质和通信介质。计算机存储13介质包括以用于存储诸如计算机可读指令、数据结构、程序模块或其他数据等信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括RAM、ROM、EPROM、EEPROM、闪存或其他固态存储其技术，CD-ROM、DVD或其他光学存储、磁带盒、磁带、磁盘存储或其他磁性存储设备。当然，本领域技术人员可知计算机存储介质不局限于上述几种。上述的系统存储器404和大容量存储设备407可以统称为存储器。

根据本发明的各种实施例，网络防护系统400还可以通过诸如因特网等网络连接到网络上的远程计算机运行。也即网络防护系统400可以通过连接在系统总线405上的网络接口单元411连接到网络412，或者说，也可以使用网络接口单元411来连接到其他类型的网络或远程计算机系统(未示出)。

上述存储器还包括一个或者一个以上的程序，一个或者一个以上程序存储于存储器中，被配置由CPU执行。CPU 401通过执行该一个或一个以上程序来实现图2或图3所示的网络防护方法。

本发明实施例还提供了一种非临时性计算机可读存储介质，当存储介质中的指令由网络防护系统的处理器执行时，使得网络防护系统能够执行图2或图3所示实施例提供的网络防护方法。

一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述图2或图3所示实施例提供的网络防护方法。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种网络防护方法，其特征在于，所述方法包括：

当服务器被攻击时，获取向所述服务器发送的报文，所述报文包括用户标识和安全水印，所述服务器被攻击是指单位时间内发送到服务器的流量大于或等于安全阈值；

根据所述报文中的安全水印对所述报文的合法性进行检测，得到检测结果；

当所述检测结果为报文合法时，统计所述报文中的用户标识周期时间内出现的次数；

当所述报文中的用户标识周期时间内出现的次数超过阈值时，丢弃所述报文；

当所述报文中的用户标识周期时间内出现的次数未超过阈值时，向所述服务器转发所述报文。

2.根据权利要求1所述的方法，其特征在于，所述根据所述报文中的安全水印对所述报文的合法性进行检测，得到检测结果，包括：

从所述报文中获取所述用户标识和安全水印；

采用水印计算方法和所述用户标识计算验证水印；

若所述验证水印和所述安全水印相同，则所述检测结果为报文合法；

若所述验证水印和所述安全水印不同，则所述检测结果为报文不合法。

3.根据权利要求2所述的方法，其特征在于，所述采用水印计算方法和所述用户标识计算验证水印，包括：

采用所述报文中的目的地址、目的端口和所述用户标识作为计算因子，采用所述水印计算方法计算验证水印。

4.根据权利要求1所述的方法，其特征在于，所述用户标识为用户名哈希值。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述方法还包括：

当所述报文中的用户标识周期时间内出现的次数超过阈值时，将所述用户标识存入恶意用户信息中。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

在对所述报文的合法性进行检测前，确定所述报文中的用户标识是否存在于所述恶意用户信息中；

当所述报文中的用户标识存在于所述恶意用户信息中，丢弃所述报文。

7.一种网络防护装置，其特征在于，所述装置包括：

接收模块，用于当服务器被攻击时，获取向所述服务器发送的报文，所述报文包括用户标识和安全水印，所述服务器被攻击是指单位时间内发送到服务器的流量大于或等于安全阈值；

检测模块，用于根据所述报文中的安全水印对所述报文的合法性进行检测，得到检测结果；

统计模块，用于当所述检测结果为报文合法时，统计所述报文中的用户标识周期时间内出现的次数；

过滤模块，用于当所述报文中的用户标识周期时间内出现的次数超过阈值时，丢弃所述报文；当所述报文中的用户标识周期时间内出现的次数未超过阈值时，向所述服务器转发所述报文。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括存储模块，用于当所述报文中的用户标识周期时间内出现的次数超过阈值时，将所述用户标识存入恶意用户信息中。

9.一种服务器，其特征在于，所述服务器包括处理器和存储器，所述存储器中存储有至少一条指令，所述指令由所述处理器加载并执行以实现如权利要求1至6任一项所述的网络防护方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质中存储有至少一条指令，所述指令由处理器加载并执行以实现如权利要求1至6任一项所述的网络防护方法。

Images