CN113315743B - 防御处理方法、装置、设备和存储介质 - Google Patents

Abstract

本申请实施例提供一种防御处理方法、装置、设备及存储介质，所述方法包括：在目标节点接收到针对于加速地址的攻击的情况下，确定所述目标节点的节点类型；根据所述节点类型确定所述目标节点为加速节点的情况下，停止所述加速地址的数据处理；将所述加速地址的数据，调度到对应的防御节点上，以通过发布在所述防御节点的防御地址提供处理。能够提升访问对象在访问时的速度；且在加速节点受到攻击时，能够达到了抵御攻击并加速的效果。

Description

防御处理方法、装置、设备和存储介质

技术领域

本申请涉及计算机技术领域，特别是涉及一种防御处理方法和装置、一种电子设备和一种存储介质。

背景技术

内容分发网络（Content Delivery Network，CDN）是通过在网络各处放置节点服务器所构成的在现有的互联网基础之上的一层智能虚拟网络，CDN系统能够实时地根据网络流量和各节点的连接、负载状况以及到用户的距离和响应时间等综合信息，将用户的请求重新导向离用户最近的服务节点上。其目的是使用户可就近取得所需内容，解决网络拥挤的状况，提高用户访问网站的响应速度。分布式拒绝服务攻击（Distributed Denial OfService Attack，DDOS）是可以使很多的计算机在同一时间遭受到攻击，使CDN中普通加速节点的带宽被占满，服务被影响。

DDOS攻击是针对于网络互连协议（Internet Protocol，IP）进行攻击，目前针对DDOS攻击的防御通常采用任播（Anycast）加速清洗的方式进行防御，Anycast加速清洗主要是建设多个具有较高带宽的防御节点，将IP发布在防御节点上，就可以对相应的IP段进行防御，从而在一个IP被攻击时，攻击会就近路由到多个防御节点上，采用多个防御节点进行防御，分流了攻击，达到了防御的目的。

但是，上述防御攻击的方法，需要将IP发布在防御节点上，由于防御节点数量有限，在平常未受到攻击时，用户访问的加速效果较差。

发明内容

本申请实施例提供了一种防御处理方法，以提高用户的访问速度。

相应的，本申请实施例还提供了一种防御处理装置、一种电子设备以及一种存储介质，用以保证上述方法的实现及应用。

为了解决上述问题，本申请实施例公开了一种防御处理方法，所述方法包括：

在目标节点接收到针对于加速地址的攻击的情况下，确定所述目标节点的节点类型；

根据所述节点类型确定所述目标节点为加速节点的情况下，停止所述加速地址的数据处理；

将所述加速地址的数据，调度到对应的防御节点上，以通过发布在所述防御节点的防御地址提供处理。

本申请实施例还公开一种防御处理装置，所述装置包括：

类型确定模块，用于在目标节点接收到针对于加速地址的攻击的情况下，确定所述目标节点的节点类型；

停止服务模块，用于根据所述节点类型确定所述目标节点为加速节点的情况下，停止所述加速地址的数据处理；

服务调度模块，用于将所述加速地址的数据，调度到对应的防御节点上，以通过发布在所述防御节点的防御地址提供处理。

本申请实施例还公开一种电子设备，包括：处理器；和

存储器，其上存储有可执行代码，当所述可执行代码被执行时，使得所述处理器执行如上述一个或多个实施例所述的防御处理方法。

本申请实施例还公开一个或多个机器可读介质，其上存储有可执行代码，当所述可执行代码被执行时，使得处理器执行如上述一个或多个实施例所述的防御处理方法。

与现有技术相比，本申请实施例包括以下优点：

在本申请实施例中，将加速地址发布在加速节点和防御节点上，从而对于访问对象的访问数据，可以确定其所访问地址对应的加速地址，然后可以采用加速地址所在的加速节点或防御节点处理对应的访问数据，本方案中将加速地址发布在加速节点和防御节点上，加速地址可以在全网发布，节点数量较多，使得网络中的接入对象都可获取的加速的服务，也能够提升访问对象在访问时的速度。在受到攻击时，若受到攻击的节点为加速节点，则停止加速地址对应的节点的处理，避免影响其他接入对象，并将加速地址的数据通过DNS调度到防御地址上，防御节点可以对攻击进行防御，且能够得到防御节点的有限加速服务，达到了抵御攻击并加速的效果。

附图说明

图1为本申请一个实施例的防御系统的架构图；

图2为本申请一个实施例防御处理方法的流程示意图；

图3为本申请一个实施例的加速IP的发布示意图；

图4为本申请一个实施例的防御IP的发布示意图；

图5为本申请一个实施例的CDN防御系统的架构图；

图6为本申请一个实施例的防御处理方法的流程图；

图7为本申请一个实施例的防御处理装置的结构框图；

图8为本申请另一个实施例的防御处理装置的结构框图；

图9为本申请一个实施例的示例性装置的结构示意图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。

图1为本申请一个实施例的防御系统的架构图，可应用于CDN网络，该防御解析包括加速节点和防御节点，其中，加速节点和防御节点可为接入对象提供处理，如访问接入、数据路由等各种服务，其中，加速节点可提供加速服务，防御节点可提供防御、加速等服务，防御通常指针对网络攻击的防御，因此通常防御节点的带宽较宽、防御能力较强，且防御节点可以具有清洗数据等防御功能。

该防御系统还设置有加速地址和防御地址。其中，加速地址和防御地址均属于IP地址，其中，加速地址通常按照小于或等于24位掩码地址进行路由发布，相应的，加速地址可以为相应的IP地址段提供加速服务，如[1.1.1.0-1.1.1.255]这一IP地址段的数据可由一个加速地址提供服务，而防御地址也可按照IP地址段发布路由并提供防御服务。加速地址可发布在加速节点和防御节点上，防御地址通常发布在防御节点上，在接入对象接入CDN网络时，为接入对象分配加速地址，接入对象可使用加速地址为访问对象提供访问服务，访问对象在使用CDN网络访问接入对象的IP地址时，根据访问的IP地址所属IP地址段确定对应的加速地址，根据访问对象的位置，为其分配加速地址中距离访问对象最近的节点进行服务，也就是就近路由到最近的加速地址的节点来提供服务，该节点可以为加速节点，也可以为防御节点。

本实施例中，将加速地址发布在加速节点和防御节点上，从而对于访问对象的访问数据，可以确定其所访问地址所属IP段对应的加速地址，然后可以采用加速地址所在的加速节点或防御节点处理对应的访问数据，相比于仅将加速地址发布在加速节点或仅将加速地址发布在防御节点上的方案，本方案中将加速地址发布在加速节点和防御节点上，加速地址可以在全网发布，节点数量较多，使得网络中的接入对象都可获取的加速的服务，也能够提升访问对象访问时的速度。

CDN网络中节点为对象提供服务，节点也可能会受到来自网络的攻击。在节点受到攻击的情况下，若受到攻击的节点为防御节点，防御节点可以对攻击进行防御，并对数据进行清洗，对清洗后的数据进行处理。在受到攻击的节点为加速节点的情况下，可通过黑洞路由等方式，使得被攻击IP所属的加速地址不再提供服务，如使得访问对象的数据可以接入到该加速地址对应的节点，该加速地址对应的节点对数据不进行处理且不为访问对象返回数据。并通过DNS调度加速地址的数据到防御节点的防御地址上，以通过防御节点对数据进行处理，以达到防御攻击的效果。其中，防御地址可以在访问对象接入时分配给接入对象，防御地址也可以在确定被攻击的节点为加速节点之后分配给访问对象。

以图1为例攻击方和访问用户向加速节点1发出了数据，攻击方的攻击可为DDOS攻击，在加速节点1受到DDOS攻击时，确定该节点的节点类型。在根据节点类型确定该节点为加速节点之后，通过域名系统（Domain Name System，DNS）调度，将该加速节点对应的加速地址的数据调度到对应的防御节点1上，以通过防御节点1对数据进行清洗，并对清洗后的数据进行处理，为访问用户提供服务。具体的，可以通过修改域名与IP地址之间的对应关系以完成DNS调度。

在另一个示例中，在攻击方攻击防御节点2的情况下，防御节点2受到攻击，此时确定该节点的节点类型，在根据节点类型确定该节点为防御节点的情况下，由于防御节点对于攻击的防御能力强，此时无需使用DNS调度防御节点2的数据，防御节点2对于接入的数据进行清洗，以清洗掉攻击数据，并对正常数据进行业务处理。

图2为本申请一个实施例的防御处理方法的流程示意图，该方法可以通过防御处理装置来执行，如图2所示，该方法包括：

为接入对象提供加速地址，加速地址发布在节点上，节点包括加速节点和防御节点。

以图3为例，加速地址发布在加速节点和防御节点上，访问用户可以通过加速地址访问加速节点和防御节点上的对应的服务。结合图4，防御地址发布在防御节点上，访问用户可以通过防御地址访问防御节点上的服务。接入对象通过加速地址在加速节点和防御节点上为访问用户提供服务。加速节点和防御节点用于为接入对象提供处理，相比于加速节点，防御节点的带宽更宽、防御能力更强，且防御节点可以具有清洗数据等防御功能，防御节点在受到攻击时，防御节点可以对数据进行清洗，并对清洗后的数据进行处理。

如图2所示的方法中，在接入对象接入CDN网络时，为接入对象分配加速地址，加速地址可以理解为加速IP地址，接入对象通过加速地址所在的加速节点和防御节点为访问对象提供服务，访问对象在使用CDN访问加速地址时，根据访问对象的位置，为访问对象分配距离接入对象最近的与加速地址对应的节点作为接入节点，该接入节点可以为加速节点，也可以为防御节点。

本实施例中，将加速地址发布在加速节点和防御节点上，从而对于访问对象的访问数据，可以确定其所访问地址对应的加速地址，然后可以采用加速地址所在的加速节点或防御节点处理对应的访问数据，相比于仅将加速地址发布在加速节点或仅将加速地址发布在防御节点上的方案，本方案中将加速地址发布在加速节点和防御节点上，加速地址可以在全网发布，节点数量较多，使得网络中的接入对象都可获取的加速的服务，也能够提升访问对象在访问时的速度。

步骤202、在加速地址对应的目标节点接收到针对于加速地址的攻击的情况下，确定目标节点的节点类型。

攻击可以理解为DDOS攻击。DDOS攻击某一IP地址，该IP地址所述地址段对应一加速地址，而加速地址发布在加速节点和防御节点上，所以接收到攻击的节点（也就是被攻击节点），可能为加速节点也可能为防御节点，为了确定被攻击的节点是加速节点还是防御节点，在加速地址对应的目标节点接收到攻击时，确定目标节点的节点类型，节点类型用于确定目标节点为加速节点或防御节点，节点类型可以为加速节点类型或防御节点类型。

步骤204、根据节点类型确定目标节点为加速节点的情况下，停止加速地址的数据处理。

对于被攻击节点为加速节点的情况下，可以停止该加速节点对该加速地址的数据处理，使得对应的IP地址在网络上由于没有路由而导致数据不可达，从而不在网络是传播目的地址是该IP地址的报文。

可选的，作为一个实施例，步骤204中、停止加速地址的数据处理，包括：以黑洞路由的方式将加速地址做黑洞处理，以停止加速地址的数据处理。

在确定该目标节点为加速节点的情况下，即在被攻击的节点为不具有防御能力的加速节点的情况下，停止加速地址的数据处理。具体的，可以以黑洞路由的方式将加速地址做黑洞处理，以使得对应的加速地址在网络上由于没有路由而导致数据不可达，该加速地址对应的节点不为访问对象返回数据。另外，在确定该目标节点为防御节点的情况下，由于防御节点的带宽较宽，防御节点对攻击的防御能力更强，防御节点对于攻击数据进行清洗并对清洗后的数据进行处理，加速地址对应的加速节点无需做停止处理，加速节点可以继续为访问对象提供加速服务，为访问对象提供良好的服务体验。具体的，若被攻击的节点包括加速节点和防御节点，则认为被攻击的节点为加速节点；若被攻击的节点仅包括防御节点，则认为被攻击的节点为防御节点。

步骤206、将加速地址的数据，通过DNS调度到对应的防御节点上，以通过发布在防御节点的防御地址提供处理。

在加速节点受到攻击的情况下，停止加速地址的数据处理，而为了保证接入对象能够正常的被访问，可将加速地址的数据，通过DNS调度加速地址的数据到对应的防御节点上，以通过防御节点的防御地址为访问用户提供访问处理。

可以理解的是，本申请实施例可采取DNS调度地址的方式来将加速节点的数据调度到防御节点，如通过修改域名与IP地址之间的映射关系，来完成调度，操作简单方便。

本实施例中，将加速地址发布在加速节点和防御节点上，从而对于访问对象的访问数据，可以确定其所访问地址对应的加速地址，然后可以采用加速地址所在的加速节点或防御节点处理对应的访问数据，相比于仅将加速地址发布在加速节点或仅将加速地址发布在防御节点上的方案，本方案中将加速地址发布在加速节点和防御节点上，加速地址可以在全网发布，节点数量较多，使得网络中的接入对象都可获取的加速的服务，也能够提升访问对象在访问时的速度。在受到攻击时，若受到攻击的节点为防御节点，则加速地址对应的加速节点和防御节点仍然可以为访问对象提供服务，为访问对象提供良好的服务体验。若受到攻击的节点为加速节点，则停止加速地址对应的节点的处理，并将加速地址的数据通过DNS调度到防御地址上，从而将加速地址的数据调度到防御节点上，防御节点可以对攻击进行防御，达到了抵御攻击的效果。

可选的，作为一个实施例，步骤206中，将加速地址的数据，通过DNS调度到对应的防御节点上，具体包括：

通过DNS调度加速地址的数据到对应的防御节点上，加速地址对应的防御节点为距离加速地址对应的访问对象最近的节点。

在目标节点为加速节点的情况下，即在被攻击的节点为不具有防御能力的加速节点的情况下，通过DNS将加速地址的数据调度到与加速地址对应的防御地址上。防御地址发布在多个防御节点上，按照访问对象的位置，为访问对象分配距离最近的防御节点作为访问对象的接入节点。通过为访问对象分配距离访问对象距离最近的防御节点进行处理，为访问对象提供了良好的加速服务体验。

本申请一个可选实施例中，所述方法还包括：

根据节点类型确定目标节点为防御节点的情况下，防御节点对加速地址的数据进行清洗。以及，防御节点对清洗后的数据进行处理。

在确定目标节点为防御节点的情况下，即在被攻击的节点为具有防御能力的防御节点的情况下，防御节点的带宽宽于加速节点的带宽，防御节点对于攻击的防御能力强，此时，无需停止防御节点的加速地址的数据处理，防御节点可以对攻击进行防御兵提供加速服务。具体的，防御节点对加速地址的数据处理进行清洗，并对清洗后的数据进行处理。

本申请另一个可选实施例中，所述方法还包括：加速地址对应的加速节点，为加速地址对应的接入对象提供加速服务。在节点未受到攻击或被攻击的目标节点为防御节点的情况下，加速地址对应的加速节点为加速地址对应的接入对象提供加速服务。即在被攻击的节点为防御节点的情况下，加速地址对应的加速节点正常工作，为加速地址对应的访问对象提供加速服务，为访问对象提供良好的加速服务体验。

本申请另一个可选实施例中，所述方法还包括：

根据访问对象的数据，为访问对象分配加速地址对应的服务节点，服务节点为距离访问对象最近的节点。

在访问对象访问加速地址时，确定与该加速地址对应的距离该访问对象最近的节点为服务节点，通过服务节点为访问对象提供服务。通过为每个访问对象提供距离其最近的节点作为服务节点，提升了对于访问对象的访问的反馈速度，为访问对象提供了良好的加速服务体验。

本申请另一个可选实施例中，所述方法还包括：在接入对象接入时，为接入对象分配一个或多个防御地址。

在接入对象接入网络时，可为接入对象分配一个或多个防御地址。依据预先分配给接入对象的一个或多个防御地址，从而在加速节点受到攻击的情况下，可通过DNS将加速地址的业务调度至防御地址，以将加速地址的数据调度到防御节点上进行处理，从而达到防御的效果。在为接入对象提供多个防御地址且加速节点受到攻击的情况下，可以根据预先设置的优先级（可以为距离优先级、处理量优先级、处理速度优先级中的一个或多个），将加速地址的数据调度到该防御地址上，即可将加速节点的数据调度到防御节点上，从而达到防御的效果。通过为接入对象分配多个防御地址，在单个防御地址出现问题或者单个防御节点由于攻击的强度超过防御节点的防御能力导致的服务关闭的情况下，可以利用其它的防御地址对应的进行数据的调度。

本实施例中，在接入对象接入时，为接入对象分配防御地址，在加速节点接收到攻击之后，无需再执行分配防御地址的步骤，可以更加快速地将加速地址的数据调度到防御地址上，使得防御节点尽快为用户提供服务，提升用户体验。

本申请另一个可选实施例中，所述方法还包括：根据节点类型确定目标节点为加速节点的情况下，为接入对象分配一个或多个防御地址。

在确定目标节点为加速节点的情况下，即受到攻击的节点为不具有防御能力的加速节点的情况下，此时，为接入对象分配一个或多个防御地址，从而依据分配给接入对象的一个或多个防御地址，通过DNS将加速地址的业务调度至防御地址，以将加速地址的数据调度到防御节点上进行处理。其中，在为接入对象提供一个防御地址的且加速节点受到攻击的情况下，将加速地址的数据调度到该防御地址上，即可将加速节点的数据调度到防御节点上，从而达到防御的效果。在为接入对象提供多个防御地址且加速节点受到攻击的情况下，可以根据预先设置的优先级（可以为距离优先级、处理量优先级、处理速度优先级中的一个或多个），将加速地址的数据调度到该防御地址上，即可将加速节点的数据调度到防御节点上，从而达到防御的效果。通过为接入对象分配多个防御地址，在单个防御地址出现问题或者单个防御节点由于攻击的强度超过防御节点的防御能力导致的服务关闭的情况下，可以利用其它的防御地址对应的进行数据的调度。

可选的，作为一个实施例，图2所示的方法还包括：

在攻击停止时长达到预设时长后，启动加速地址的数据处理，并通过DNS调度防御地址的数据返回到加速地址。

在将加速地址的数据调度到防御节点进行处理之后，若DDOS攻击停止，且该攻击的停止时长达到预设时长的情况下，启动加速地址的数据处理，并通过DNS调度防御地址的数据返回到加速地址，从而恢复加速节点的加速服务。此时访问对象可以享受加速节点和防御节点的加速服务，提升访问对象的使用体验。

可选的，作为一个实施例，图2所示的方法还包括：

在攻击强度超过防御节点的防御能力的情况下，停止防御地址的处理。

在DDOS攻击的攻击强度超过防御节点的防御能力的情况下，停止防御地址的处理。其中，DDOS攻击的攻击强度超过防御节点的防御能力可以理解为应对DDOS 攻击所需的带宽超过预设带宽。预设带宽可以为防御节点的总带宽，预设带宽也可以为接入对象的带宽。停止防御地址的处理可以采取以黑洞路由的方式将防御地址黑洞，以使访问对象的数据可以接入到该防御地址，该防御地址对数据不进行处理且不为访问对象返回数据。

下面结合图5详细介绍本申请一个实施例的CDN防御系统的架构图，具体的，CDN防御系统包括加速节点和防御节点。为接入对象分配加速地址和防御地址。其中，将加速地址发布在加速节点和防御节点上，访问对象在访问加速地址时，访问对象可以访问加速节点或防御节点。将防御地址发布在防御节点上。

CDN防御系统还包括：加速IP地址和防御IP地址。结合图3和图4，,加速IP地址发布在加速节点和防御节点上。防御IP地址发布在防御节点上。

如图5所示，访问对象通过加速IP地址访问距离访问对象最近的服务节点，该服务节点可以为加速节点或防御节点，服务节点为访问对象提供服务。

本实施例中，将加速地址发布在加速节点和防御节点上，访问对象在访问加速地址时，访问对象可以访问加速节点或防御节点，相比于仅将加速地址发布在加速节点或仅将加速地址发布在防御节点上的方案，本方案中将加速地址发布在加速节点和防御节点上，加速地址发布的节点数量多，提升了在未受到攻击时访问对象的访问速度。

下面结合图6详细介绍本申请一个实施例的防御处理方法，具体的，防御处理方法包括：

步骤602、加速地址对应的节点接收到攻击。在被攻击节点接收到攻击的情况下，确定被攻击节点的节点类型。

步骤604、确定被攻击节点是否为加速节点。根据目标节点的节点类型确定被攻击节点是否为加速节点，在被攻击节点为加速节点的情况下，执行步骤606。在被攻击节点为防御节点的情况下，执行步骤610。

步骤606、以黑洞路由的方式将加速地址做黑洞处理。以使得访问对象的数据可以接入到该加速地址对应的节点，该加速地址对应的节点对数据不进行处理且不为访问对象返回数据。

步骤608、通过DNS调度加速地址的数据至防御地址，如通过DNS修改域名与IP之间的映射关系，进而将加速地址的数据调度至防御地址对应的防御节点，通过防御节点对数据进行处理。

步骤610、防御节点对数据进行清洗，并对清洗后的数据进行处理。在受到攻击时，若被攻击的节点为防御节点，则防御节点对接入到防御节点的数据进行清洗并对清洗后的数据进行处理；若被攻击的节点为加速节点，则通过DNS调度加速地址的数据到防御节点，防御节点对调入的数据进行清洗并对清洗后的数据进行处理。

步骤612、确定攻击是否持续。可以采取实时监控数据中是否存在病毒数据或定时查看数据中是否存在病毒数据的方式，来确定攻击是否持续。在攻击持续的情况下，执行步骤614；在攻击停止的情况下，执行步骤616。

步骤614、确定DDOS攻击的攻击强度是否超过防御能力。其中，可以通过确定应对DDOS攻击的带宽是否超过预设带宽来确定攻击强度是否超过防御能力。预设带宽可以为防御节点的总带宽，预设带宽也可以为承诺给加速地址对应的业务方的带宽数据。在攻击强度未超过防御能力的情况下，返回步骤610。在攻击强度超过防御能力的情况下，以黑洞路由的方式将防御地址黑洞，以防止防御节点的带宽被占用，影响其他业务。

步骤616、确定攻击停止时长是否达到预设时长。在攻击停止时长达到预设时长时，启动加速地址的数据处理，并通过DNS调度防御地址的数据返回到加速地址，从而恢复加速节点的加速服务。此时访问对象可以享受加速节点和防御节点的加速服务，提升访问对象的使用体验。在攻击停止时长未达到预设时长，则数据中仍然存在攻击数据，则返回步骤610对数据进行清洗，并对清洗后的数据进行处理。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请实施例并不受所描述的动作顺序的限制，因为依据本申请实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本申请实施例所必须的。

在上述实施例的基础上，本实施例还提供了一种防御处理装置，如图7所示，具体可以包括如下模块：

类型确定模块702，用于在目标节点接收到针对于加速地址的攻击的情况下，确定所述目标节点的节点类型。

停止服务模块704，用于根据所述节点类型确定所述目标节点为加速节点的情况下，停止所述加速地址的数据处理。

服务调度模块706，用于将所述加速地址的数据，调度到对应的防御节点上，以通过发布在所述防御节点的防御地址提供处理。

综上，将加速地址发布在加速节点和防御节点上，从而对于访问对象的访问数据，可以确定其所访问地址对应的加速地址，然后可以采用加速地址所在的加速节点或防御节点处理对应的访问数据，相比于仅将加速地址发布在加速节点或仅将加速地址发布在防御节点上的方案，本方案中将加速地址发布在加速节点和防御节点上，加速地址可以在全网发布，节点数量较多，使得网络中的接入对象都可获取的加速的服务，也能够提升访问对象在访问时的速度。在受到攻击时，若受到攻击的节点为防御节点，则加速地址对应的加速节点和防御节点仍然可以为访问对象提供服务，为访问对象提供良好的服务体验。若受到攻击的节点为加速节点，则停止加速地址对应的节点的处理，并将加速地址的数据通过DNS调度到防御地址上，从而将加速地址的数据调度到防御节点上，防御节点可以对攻击进行防御，达到了抵御攻击的效果。

在上述实施例的基础上，本实施例还提供了一种防御处理装置，如图8所示，具体可以包括如下模块：

接入模块802，用于为接入对象提供加速地址，所述加速地址发布在节点上，所述节点包括加速节点和防御节点。

节点分配模块810，用于根据访问对象的数据，为所述访问对象分配所述加速地址对应的服务节点，所述服务节点为距离所述访问对象最近的节点。

类型确定模块804，用于在加速地址对应的目标节点接收到针对于所述加速地址的攻击的情况下，确定所述目标节点的节点类型。

停止服务模块806，用于根据所述节点类型确定所述目标节点为加速节点的情况下，停止所述加速地址的处理。

服务调度模块808，用于将所述加速地址的数据，通过DNS调度到对应的防御节点上，以通过发布在所述防御节点的防御地址提供处理。

清洗模块812，根据所述节点类型确定所述目标节点为防御节点的情况下，所述防御节点对所述加速地址的数据进行清洗；

处理模块814，用于通过防御节点对清洗后的数据进行处理。

服务模块816，用于通过所述加速地址对应的加速节点，为所述加速地址对应的接入对象提供加速服务。

服务返回模块818，用于在攻击停止时长达到预设时长后，启动所述加速地址的处理，并通过DNS调度所述防御地址的数据返回到所述加速地址。

停止防御模块820，用于在攻击强度超过所述防御节点的防御能力的情况下，停止所述防御地址的处理。

可选的，作为一个实施例，所述停止服务模块806，用于以黑洞路由的方式将所述加速地址做黑洞处理，以停止所述加速地址的数据处理。

可选的，作为一个实施例，所述服务调度模块808，用于通过DNS调度所述加速地址的数据到对应的防御节点上，所述加速地址对应的防御节点为距离所述加速地址对应的访问对象最近的节点。

可选的，作为一个实施例，所述接入模块802，还用于在所述接入对象接入时，为所述接入对象分配一个或多个防御地址。

可选的，作为一个实施例，所述服务调度模块，还用于根据所述节点类型确定所述目标节点为加速节点的情况下，为所述接入对象分配一个或多个防御地址。

本申请实施例还提供了一种非易失性可读存储介质，该存储介质中存储有一个或多个模块（programs），该一个或多个模块被应用在设备时，可以使得该设备执行本申请实施例中各方法步骤的指令（instructions）。

本申请实施例提供了一个或多个机器可读介质，其上存储有指令，当由一个或多个处理器执行时，使得电子设备执行如上述实施例中一个或多个所述的方法。本申请实施例中，所述电子设备包括服务器（集群）等各类型的设备。

本公开的实施例可被实现为使用任意适当的硬件，固件，软件，或及其任意组合进行想要的配置的装置，该装置可包括服务器（集群）等电子设备。图9示意性地示出了可被用于实现本申请中所述的各个实施例的示例性装置900 。

对于一个实施例，图9示出了示例性装置900，该装置具有一个或多个处理器902、被耦合到(一个或多个)处理器902中的至少一个的控制模块（芯片组）904、被耦合到控制模块904的存储器906、被耦合到控制模块904的非易失性存储器(NVM)/存储设备908、被耦合到控制模块904的一个或多个输入/输出设备910，以及被耦合到控制模块904的网络接口912。

处理器902可包括一个或多个单核或多核处理器，处理器902可包括通用处理器或专用处理器（例如图形处理器、应用处理器、基频处理器等）的任意组合。在一些实施例中，装置900 能够作为本申请实施例中所述服务器（集群）等设备。

在一些实施例中，装置900 可包括具有指令914的一个或多个计算机可读介质(例如，存储器906或NVM/ 存储设备908) 以及与该一个或多个计算机可读介质相合并被配置为执行指令914以实现模块从而执行本公开中所述的动作的一个或多个处理器902。

对于一个实施例，控制模块904可包括任意适当的接口控制器，以向(一个或多个)处理器902中的至少一个和/或与控制模块904通信的任意适当的设备或组件提供任意适当的接口。

控制模块904可包括存储器控制器模块，以向存储器906提供接口。存储器控制器模块可以是硬件模块、软件模块和/或固件模块。

存储器906可被用于例如为装置900加载和存储数据和/或指令914。对于一个实施例，存储器906可包括任意适当的易失性存储器，例如，适当的DRAM。在一些实施例中，存储器906可包括双倍数据速率类型四同步动态随机存取存储器(DDR4SDRAM) 。

对于一个实施例，控制模块904可包括一个或多个输入/输出控制器，以向NVM/存储设备908及(一个或多个)输入/输出设备910 提供接口。

例如，NVM/存储设备908可被用于存储数据和/或指令914。NVM/存储设备908可包括任意适当的非易失性存储器(例如，闪存)和/或可包括任意适当的(一个或多个)非易失性存储设备(例如，一个或多个硬盘驱动器(HDD) 、一个或多个光盘(CD) 驱动器和/或一个或多个数字通用光盘(DVD) 驱动器)。

NVM/存储设备908可包括在物理上作为装置900 被安装在其上的设备的一部分的存储资源，或者其可被该设备访问可不必作为该设备的一部分。例如，NVM/存储设备908可通过网络经由(一个或多个)输入/输出设备910 进行访问。

(一个或多个)输入/输出设备910 可为装置900 提供接口以与任意其他适当的设备通信，输入/输出设备910可以包括通信组件、音频组件、传感器组件等。网络接口912可为装置900 提供接口以通过一个或多个网络通信，装置900 可根据一个或多个无线网络标准和/或协议中的任意标准和/或协议来与无线网络的一个或多个组件进行无线通信，例如接入基于通信标准的无线网络，如WiFi、2G、3G、4G、5G等，或它们的组合进行无线通信。

对于一个实施例，(一个或多个)处理器902中的至少一个可与控制模块904的一个或多个控制器(例如，存储器控制器模块) 的逻辑封装在一起。对于一个实施例，(一个或多个)处理器902中的至少一个可与控制模块904的一个或多个控制器的逻辑封装在一起以形成系统级封装(SiP) 。对于一个实施例，(一个或多个)处理器902中的至少一个可与控制模块904的一个或多个控制器的逻辑集成在同一模具上。对于一个实施例，(一个或多个)处理器902中的至少一个可与控制模块904的一个或多个控制器的逻辑集成在同一模具上以形成片上系统(SoC) 。

在各个实施例中，装置900可以但不限于是：服务器、台式计算设备或移动计算设备(例如，膝上型计算设备、手持计算设备、平板电脑、上网本等)等终端设备。在各个实施例中，装置900 可具有更多或更少的组件和/或不同的架构。例如，在一些实施例中，装置900包括一个或多个摄像机、键盘、液晶显示器(LCD) 屏幕(包括触屏显示器)、非易失性存储器端口、多个天线、图形芯片、专用集成电路(ASIC) 和扬声器。

其中，检测装置中可采用主控芯片作为处理器或控制模块，传感器数据、位置信息等存储到存储器或NVM/存储设备中，传感器组可作为输入/输出设备，通信接口可包括网络接口。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本申请实施例是参照根据本申请实施例的方法、终端设备(系统)、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本申请所提供的一种防御处理方法和装置，一种电子设备和一种存储介质，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (13)

1.一种防御处理方法，其特征在于，所述方法包括：

为接入对象提供加速地址，所述加速地址发布在节点上，所述节点包括加速节点和防御节点，所述加速地址为相应的IP地址段提供加速服务；

在目标节点接收到针对于加速地址的攻击的情况下，确定所述目标节点的节点类型；

根据所述节点类型确定所述目标节点为加速节点的情况下，停止所述加速地址的数据处理；

将所述加速地址的数据，调度到对应的防御节点上，以通过发布在所述防御节点的防御地址提供处理，所述防御地址用于按照IP地址段发布路由并提供防御服务。

2.根据权利要求1所述的方法，其特征在于，所述停止所述加速地址的数据处理，包括：

以黑洞路由的方式将所述加速地址做黑洞处理，以停止所述加速地址的数据处理。

3.根据权利要求1所述的方法，其特征在于，所述将所述加速地址的数据，调度到对应的防御节点上，包括：

调度所述加速地址的数据到对应的防御节点上，所述加速地址对应的防御节点为距离所述加速地址对应的访问对象最近的节点。

4.根据权利要求1所述的方法，其特征在于，还包括：

根据所述节点类型确定所述目标节点为防御节点的情况下，所述防御节点对所述加速地址的数据进行清洗；

所述防御节点对清洗后的数据进行处理。

5.根据权利要求4所述的方法，其特征在于，还包括：

所述加速地址对应的加速节点，为所述加速地址对应的接入对象提供加速服务。

6.根据权利要求1所述的方法，其特征在于，还包括：

根据访问对象的数据，为所述访问对象分配所述加速地址对应的服务节点，所述服务节点为距离所述访问对象最近的节点。

7.根据权利要求1所述的方法，其特征在于，还包括：

在所述接入对象接入时，为所述接入对象分配一个或多个防御地址。

8.根据权利要求1所述的方法，其特征在于，还包括：

根据所述节点类型确定所述目标节点为加速节点的情况下，为所述接入对象分配一个或多个防御地址。

9.根据权利要求1所述的方法，其特征在于，还包括：

在攻击停止时长达到预设时长后，启动所述加速地址的数据处理，并调度所述防御地址的数据返回到所述加速地址。

10.根据权利要求1所述的方法，其特征在于，还包括：

在攻击强度超过所述防御节点的防御能力的情况下，停止所述防御地址的处理。

11.一种防御处理装置，其特征在于，所述装置包括：

接入模块，用于为接入对象提供加速地址，所述加速地址发布在节点上，所述节点包括加速节点和防御节点，所述加速地址为相应的IP地址段提供加速服务；

类型确定模块，用于在目标节点接收到针对于加速地址的攻击的情况下，确定所述目标节点的节点类型；

停止服务模块，用于根据所述节点类型确定所述目标节点为加速节点的情况下，停止所述加速地址的数据处理；

服务调度模块，用于将所述加速地址的数据，调度到对应的防御节点上，以通过发布在所述防御节点的防御地址提供处理，所述防御地址用于按照IP地址段发布路由并提供防御服务。

12.一种电子设备，其特征在于，包括：处理器；和

存储器，其上存储有可执行代码，当所述可执行代码被执行时，使得所述处理器执行如权利要求1-10中任一个所述的防御处理方法。

13.一个或多个机器可读介质，其上存储有可执行代码，当所述可执行代码被执行时，使得处理器执行如权利要求1-10中任一个所述的防御处理方法。

Images