CN113179247B - 拒绝服务攻击防护方法、电子装置和存储介质 - Google Patents

Abstract

本申请涉及一种拒绝服务攻击防护方法、电子装置和存储介质，通过获取基准阈值，其中，基准阈值用于在目标接口的SYN报文占比达到基准阈值的情况下触发源认证；获取在预设时间段内执行源认证后得到的源认证成功占比，其中，源认证用于认证客户端的来源信息；根据源认证成功占比调整基准阈值，得到当前阈值，并根据当前阈值确定是否启动源认证，解决了相关技术中拒绝服务攻击防护影响正常访问的访问速度的问题，减小了对正常访问的访问速度的影响。

Description

拒绝服务攻击防护方法、电子装置和存储介质

技术领域

本申请涉及网络安全领域，特别是涉及拒绝服务攻击防护方法、电子装置和存储介质。

背景技术

SYN Flood是一种拒绝服务攻击，其利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被攻击方资源耗尽(CPU满负荷或内存不足)。传统的SYN Flood攻击防护方式主要为TCP首包丢弃、源认证和流量管制。

TCP首包丢弃：通过丢弃第一个到达的SYN报文，等待访问者重新发起SYN(Synchronize Sequence Numbers，同步序列编号)报文，该种方式会较大地影响正常访问者的访问速度，因为该访问者发起的每个TCP连接都需要经历两次或者三次握手过程。

源认证：可以有效识别出虚假源发起的攻击，通过向发起方IP发送一个SYN+ACK报文，如果收到发起方响应的ACK报文，则判断其为真实源并执行放过，反之为虚假源并对虚假源执行拦截，但该方法的弊端是会影响正常访问IP的第一次访问速度。

流量管制：基于目的地址对SYN报文速率进行统计，当SYN报文速率超过一定阈值时开启源认证，该种方法一定程度上缓解了对正常访问者访问速度的影响，但如果是正常访问速率较高，例如遇到促销活动场景，则依旧会影响正常访问的访问速度。

针对相关技术中存在的拒绝服务攻击防护影响正常访问的访问速度的问题，目前还没有提出有效的解决方案。

发明内容

在本实施例中提供了一种拒绝服务攻击防护方法、电子装置和存储介质，以解决相关技术中拒绝服务攻击防护影响正常访问的访问速度的问题。

第一个方面，在本实施例中提供了一种拒绝服务攻击防护方法，包括：

获取基准阈值，其中，所述基准阈值用于在目标接口的SYN报文占比达到所述基准阈值的情况下触发源认证；

获取在预设时间段内执行所述源认证后得到的源认证成功占比，其中，所述源认证用于认证客户端的来源信息；

根据所述源认证成功占比调整所述基准阈值，得到当前阈值，并根据所述当前阈值确定是否启动所述源认证。

在其中一些实施例中，获取在预设时间段内执行所述源认证后得到的源认证成功占比包括：

获取在所述预设时间段内执行所述源认证后得到的源认证成功次数和源认证总次数，并计算所述源认证成功次数和所述源认证总次数的比值，得到所述源认证成功占比。

在其中一些实施例中，根据所述源认证成功占比调整所述基准阈值包括：

将所述源认证成功占比和调整期望进行比较，在所述源认证成功占比大于所述调整期望的情况下，调高所述基准阈值，或者，在所述源认证成功占比小于所述调整期望的情况下，调低所述基准阈值。

在其中一些实施例中，根据所述源认证成功占比和所述调整期望的比较结果调整所述基准阈值包括：

在所述源认证成功占比大于所述调整期望的情况下，根据预设调整幅度调高所述基准阈值；或者，在所述源认证成功占比小于所述调整期望的情况下，根据预设调整幅度调低所述基准阈值。

在其中一些实施例中，获取基准阈值包括：

获取在所述预设时间段内执行所述源认证后得到的所述目标接口的SYN报文数和总报文数，并根据所述SYN报文数和所述总报文数的比值，确定所述基准阈值。

在其中一些实施例中，根据所述当前阈值确定是否启动所述源认证包括：

获取在所述预设时间段内所述目标接口的SYN报文占比；

判断所述SYN报文占比是否达到所述当前阈值，若是，则启动所述源认证，若否，则不启动所述源认证。

在其中一些实施例中，启动所述源认证包括：

响应客户端发起的第一SYN报文，根据所述第一SYN报文生成第一ACK报文和第二SYN报文，并发送至所述客户端；

判断所述客户端是否基于所述第一ACK报文和所述第二SYN报文返回第二ACK报文，若是，则确定所述源认证执行成功，若否，则确定所述源认证执行失败。

在其中一些实施例中，在确定所述源认证执行成功之后，所述方法还包括：

提取所述客户端的来源信息并添加至白名单，所述白名单中的客户端在预设时长内免除源认证。

第二方面，本申请实施例提供了一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行上述第一方面所述的拒绝服务攻击防护方法。

第三方面，本申请实施例提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述第一方面所述的拒绝服务攻击防护方法的步骤。

与相关技术相比，本实施例中提供的拒绝服务攻击防护方法、电子装置和存储介质，解决了相关技术中拒绝服务攻击防护影响正常访问的访问速度的问题，减小了对正常访问的访问速度的影响。

本申请的一个或多个实施例的细节在以下附图和描述中提出，以使本申请的其他特征、目的和优点更加简明易懂。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本实施例的拒绝服务攻击防护方法的终端的硬件结构框图；

图2是本实施例的一种拒绝服务攻击防护方法的流程图；

图3是本申请优选实施例的源认证成功占比统计图；

图4是本申请优选实施例的拦截阈值调整示意图。

具体实施方式

为更清楚地理解本申请的目的、技术方案和优点，下面结合附图和实施例，对本申请进行了描述和说明。

除另作定义外，本申请所涉及的技术术语或者科学术语应具有本申请所属技术领域具备一般技能的人所理解的一般含义。在本申请中的“一”、“一个”、“一种”、“该”、“这些”等类似的词并不表示数量上的限制，它们可以是单数或者复数。在本申请中所涉及的术语“包括”、“包含”、“具有”及其任何变体，其目的是涵盖不排他的包含；例如，包含一系列步骤或模块(单元)的过程、方法和系统、产品或设备并未限定于列出的步骤或模块(单元)，而可包括未列出的步骤或模块(单元)，或者可包括这些过程、方法、产品或设备固有的其他步骤或模块(单元)。在本申请中所涉及的“连接”、“相连”、“耦接”等类似的词语并不限定于物理的或机械连接，而可以包括电气连接，无论是直接连接还是间接连接。在本申请中所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。通常情况下，字符“/”表示前后关联的对象是一种“或”的关系。在本申请中所涉及的术语“第一”、“第二”、“第三”等，只是对相似对象进行区分，并不代表针对对象的特定排序。

在本实施例中提供的方法实施例可以在终端、计算机或者类似的运算装置中执行。比如在终端上运行，图1是本实施例的拒绝服务攻击防护方法的终端的硬件结构框图。如图1所示，终端可以包括一个或多个(图1中仅示出一个)处理器102和用于存储数据的存储器104，其中，处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置。上述终端还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述终端的结构造成限制。例如，终端还可包括比图1中所示更多或者更少的组件，或者具有与图1所示出的不同配置。

存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如在本实施例中的拒绝服务攻击防护方法对应的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输设备106用于经由一个网络接收或者发送数据。上述的网络包括终端的通信供应商提供的无线网络。在一个实例中，传输设备106包括一个网络适配器(NetworkInterface Controller，简称为NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输设备106可以为射频(Radio Frequency，简称为RF)模块，其用于通过无线方式与互联网进行通讯。

本实施例中提供了一种拒绝服务攻击防护方法，图2是本实施例的一种拒绝服务攻击防护方法的流程图，如图2所示，该流程包括如下步骤：

步骤S201，获取基准阈值，其中，基准阈值用于在目标接口的SYN报文占比达到基准阈值的情况下触发源认证。

本实施例适用的拒绝服务攻击包括但不限于SYN Flood攻击、Land攻击等其他向服务器发送包含SYN标志的TCP报文的攻击。

目标接口用于收发报文，比如SYN报文和ACK报文，SYN报文占比能够反映客户端的攻击行为情况，当未发生拒绝服务攻击时，SYN报文在目标接口中相对于总报文的占比(SYN报文占)是比较小的，如果出现了拒绝服务攻击，则SYN报文占比会明显上升，所以，用基准阈值去衡量SYN报文占比，决定是否启动源认证是可靠的。如果SYN报文占比发生变化，则表明可能存在拒绝服务攻击行为，如果在SYN报文占比达到基准阈值的情况下，启动源认证，则能够拦截拒绝服务攻击，起到抵抗拒绝服务攻击的防护作用。

步骤S202，获取在预设时间段内执行源认证后得到的源认证成功占比，其中，源认证用于认证客户端的来源信息。

源认证为和客户端进行多次握手的认证任务，以确定客户端的来源信息是否正常，来源信息包括IP地址和端口。

源认证成功占比用于表征源认证的执行情况，在一些实施例中，通过获取在预设时间段内执行源认证后得到的源认证成功次数和源认证总次数，并计算源认证成功次数和源认证总次数的比值，得到源认证成功占比。

执行情况是由客户端的行为导致的，源认证成功占比能够反映客户端的总体行为，比如，在某段时间，经源认证的客户端有绝大部分是通过源认证的，只有绝少部分无法通过源认证，则代表在该段时间内，正常连接行为次数远大于异常行为次数，异常行为是对服务器发起拒绝服务攻击的连接行为，正常行为是不对服务器发起拒绝服务攻击的连接行为。

步骤S203，根据源认证成功占比调整基准阈值，得到当前阈值，并根据当前阈值确定是否启动源认证。

根据源认证成功占比调整基准阈值，能够根据客户端行为动态调整启动源认证的条件。比如在促销活动场景下，正常访问者的数量远大于攻击者的数量，即源认证成功占比会显著提升，如果按照传统的拒绝服务攻击防护方法，则会影响正常访问者速度，而按照本实施例的拒绝服务攻击防护方法，能够根据访问者的行为改变触发源认证的条件，实现灵活地变动源认证触发阈值的效果。通过上述步骤，解决了相关技术中存在的拒绝服务攻击防护影响正常访问的访问速度的问题，减小对正常访问的访问速度的影响。

在其中一些实施例中，根据源认证成功占比调整基准阈值包括：

将源认证成功占比和调整期望进行比较，在源认证成功占比大于调整期望的情况下，调高基准阈值，或者，在源认证成功占比小于调整期望的情况下，调低基准阈值。

在源认证成功占比大于调整期望的情况下，代表正常访问(非拒绝服务攻击)占多数，通过调高基准阈值，使得启动源认证的条件变得苛刻，能够准许更多的访问通过，从而提升正常访问的速度。在源认证成功占比小于调整期望的情况下，代表异常访问(拒绝服务攻击)占多数，通过调低基准阈值，使得启动源认证的条件变得宽松，能够拦截更多的访问，从而起到攻击防护作用。

在其中一些实施例中，根据源认证成功占比和调整期望的比较结果调整基准阈值包括：在源认证成功占比大于调整期望的情况下，根据预设调整幅度调高基准阈值，或者，在源认证成功占比小于调整期望的情况下，根据预设调整幅度调低基准阈值。

预设调整幅度可以设置为1％、2％甚至其他合适的百分数。例如，预设调整幅度为1％，基准阈值为4％，在源认证成功占比大于调整期望的情况下，将基准阈值上调1％，得到当前阈值为5％，在源认证成功占比小于调整期望的情况下，将基准阈值下调1％，得到当前阈值为3％。

在其中一些实施例中，获取基准阈值包括：获取在预设时间段内执行源认证后得到的目标接口的SYN报文数和总报文数，并根据SYN报文数和总报文数的比值，确定基准阈值。

预设时间段包括以7天为单位的周期，比如每周一、每周二或者其他时间。周期的制定可以根据访问者的访问习惯设定，比如在一周中，访问者的访问习惯是在每周一上午9点左右进行大量访问，则可以确定周一上午9点的访问量相当，每周一上午9点的SYN报文占比是较稳定的，假设第一周的周一上午9点，SYN报文占比约4％，那么下周一上午9点，SYN报文占比也约4％。

在启动源认证后，拒绝服务攻击会被拦截，那么经过源认证后的流量都是无攻击的，所以，在执行源认证后得到的目标接口的SYN报文数和总报文数，是没有拒绝服务攻击干扰的数据，都是正常的用户流量的数据，这些数据作为基准拦截阈值是可靠的。

在其中一些实施例中，根据当前阈值确定是否启动源认证包括：获取在预设时间段内目标接口的SYN报文占比；判断SYN报文占比是否达到当前阈值，若是，则启动源认证，若否，则不启动源认证。

如果SYN报文占比达到当前阈值，则代表异常访问(拒绝服务攻击)占多数，此时启动源认证能够及时拦截更多的访问，从而起到攻击防护作用。如果SYN报文占比未达到当前阈值，则代表正常访问(非拒绝服务攻击)占多数，此时不启动源认证能够准许更多的访问通过，从而提升正常访问的速度。其中，该目标接口的SYN报文占比不限于是否是开启源认证后得到的数据。

在其中一些实施例中，启动源认证包括：响应客户端发起的第一SYN报文，根据第一SYN报文生成第一ACK报文和第二SYN报文，并发送至客户端；判断客户端是否基于第一ACK报文和第二SYN报文返回第二ACK报文，若是，则确定源认证执行成功，若否，则确定源认证执行失败。

在其中一些实施例中，在确定源认证执行成功之后，方法还包括：提取客户端的来源信息并添加至白名单，白名单中的客户端在预设时长内免除源认证。

下面通过优选实施例对本实施例进行描述和说明。

以一周内每小时设定时间段，假设当下用户的访问量逐渐攀升，如果再继续沿用基准阈值，就会影响正常访问速度。所以需要根据用户行为去动态地调整拦截阈值，这种动态调整的时效性可以根据实际情况设定，可以以天或者周为单位。通过统计的源认证的总次数和源认证成功的次数数据，当某个小时内源认证成功占比超过调整期望(例如取值90％)，如果95％的源认证都是成功的，在调整期望之上，则可以调高基准阈值来减少源认证的次数，从而优化用户访问速度，如果10％的源认证是成功的，低于期望，也就是90％的源认证都是失败的，代表超过基准阈值的部分90％都是攻击，则调低基准阈值。

根据源认证成功占比可以判断周期内某个时间段内的基础阈值是否需要调整，调整的方式如下：若预设调整幅度是1％，当基准阈值为4％的情况下，周一早上9点的源认证成功占比超过了设定的90％，那么就需要调高基准阈值，在4％的基础上加1％，如果下周周一源认证成功占比还是超过了90％，则在5％的基础上再加1％。反之如果下周周一源认证成功占比低于90％，则在5％的基础上减少1％。

图3是本申请优选实施例的源认证成功占比统计图，如图3所示，在时间段1、时间段3、时间段4和时间段5，源认证成功占比小于调整期望，在时间段2，源认证成功占比大于调整期望。图4是本申请优选实施例的拦截阈值调整示意图，如图4所示，基准阈值在时间段1、时间段3、时间段4和时间段5被分别调低，在时间段2被调高，得到当前阈值。

本优选实施例通过分析历史用户行为中SYN报文占比，以及实时的源认证成功占比，来动态调整触发源认证机制的阈值，降低防护方式对正常用户使用体验的影响，在保证低影响的前提下能够及时有效地过滤拒绝服务攻击，一定程度上缓解源认证带来的弊端。

在一些优选实施例中，终端包括DDoS(分布式拒绝服务攻击)防护设备，DDoS防护设备包括依次耦合的源认证模块、报文统计模块和阈值设置模块。

(1)源认证模块，开启源认证时，DDoS防护设备会响应接收到的SYN报文，向SYN报文发起方发送SYN+ACK报文，如果发起方响应了SYN+ACK报文，则会返回ACK报文，该种情况下，DDoS防护设备会记录下发起方的IP(Internet Protocol，网际互连协议)地址和PORT(端口)，并添加到白名单中，固定时间内该发起方发送的所有报文都会被源认证模块放过。源认证模块还有一个功能是统计一个时间段内的源认证的总次数和源认证成功的次数。

(2)报文统计模块，该模块可以统计指定网卡或者网口按照秒级进行收发的总报文数以及SYN报文数；

(3)阈值设置模块，该模块会计算SYN报文占总报文的比例，以及源认证成功占总认证次数的比例，并以小时为单位记录下两种比例，根据指定算法输出一个SYN报文占比阈值，当SYN报文占比超过这个阈值时，DDoS防护设备会开启源认证功能，反之不会开启。

DDoS防护设备能够缓解老式的固定阈值流量管制带来的影响正常访问速度的问题，在兼顾用户访问云端服务速度的前提下防御绝大部分拒绝服务攻击。

此外，结合上述实施例中提供的拒绝服务攻击防护方法，在本实施例中还可以提供一种存储介质来实现。该存储介质上存储有计算机程序；该计算机程序被处理器执行时实现上述实施例中的任意一种拒绝服务攻击防护方法。

应该明白的是，这里描述的具体实施例只是用来解释这个应用，而不是用来对它进行限定。根据本申请提供的实施例，本领域普通技术人员在不进行创造性劳动的情况下得到的所有其它实施例，均属本申请保护范围。

显然，附图只是本申请的一些例子或实施例，对本领域的普通技术人员来说，也可以根据这些附图将本申请适用于其他类似情况，但无需付出创造性劳动。另外，可以理解的是，尽管在此开发过程中所做的工作可能是复杂和漫长的，但是，对于本领域的普通技术人员来说，根据本申请披露的技术内容进行的某些设计、制造或生产等更改仅是常规的技术手段，不应被视为本申请公开的内容不足。

“实施例”一词在本申请中指的是结合实施例描述的具体特征、结构或特性可以包括在本申请的至少一个实施例中。该短语出现在说明书中的各个位置并不一定意味着相同的实施例，也不意味着与其它实施例相互排斥而具有独立性或可供选择。本领域的普通技术人员能够清楚或隐含地理解的是，本申请中描述的实施例在没有冲突的情况下，可以与其它实施例结合。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对专利保护范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims (7)

1.一种拒绝服务攻击防护方法，其特征在于，包括：

获取基准阈值，其中，所述基准阈值用于在目标接口的SYN报文占比达到所述基准阈值的情况下触发源认证，获取所述基准阈值包括：获取在预设周期内执行所述源认证后得到的所述目标接口的SYN报文数和总报文数，并根据所述SYN报文数和所述总报文数的比值，确定所述基准阈值；

获取在所述预设周期中的预设时间段内执行所述源认证后得到的源认证成功占比，其中，所述源认证用于认证客户端的来源信息；

根据所述源认证成功占比调整所述基准阈值，得到当前阈值，并根据所述当前阈值确定是否启动所述源认证；

其中，根据所述源认证成功占比调整所述基准阈值包括：将所述源认证成功占比和调整期望进行比较，在所述源认证成功占比大于所述调整期望的情况下，调高所述基准阈值，或者，在所述源认证成功占比小于所述调整期望的情况下，调低所述基准阈值。

2.根据权利要求1所述的拒绝服务攻击防护方法，其特征在于，获取在预设时间段内执行所述源认证后得到的源认证成功占比包括：

获取在所述预设时间段内执行所述源认证后得到的源认证成功次数和源认证总次数，并计算所述源认证成功次数和所述源认证总次数的比值，得到所述源认证成功占比。

3.根据权利要求1所述的拒绝服务攻击防护方法，其特征在于，根据所述当前阈值确定是否启动所述源认证包括：

获取在所述预设时间段内所述目标接口的SYN报文占比；

判断所述SYN报文占比是否达到所述当前阈值，若是，则启动所述源认证，若否，则不启动所述源认证。

4.根据权利要求3所述的拒绝服务攻击防护方法，其特征在于，启动所述源认证包括：

响应客户端发起的第一SYN报文，根据所述第一SYN报文生成第一ACK报文和第二SYN报文，并发送至所述客户端；

判断所述客户端是否基于所述第一ACK报文和所述第二SYN报文返回第二ACK报文，若是，则确定所述源认证执行成功，若否，则确定所述源认证执行失败。

5.根据权利要求4所述的拒绝服务攻击防护方法，其特征在于，在确定所述源认证执行成功之后，所述方法还包括：

提取所述客户端的来源信息并添加至白名单，所述白名单中的客户端在预设时长内免除源认证。

6.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至5中任一项所述的拒绝服务攻击防护方法。

7.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至5中任一项所述的拒绝服务攻击防护方法的步骤。

Images