CN1156762C - 旁路式拒绝服务攻击的侦测与缓解的方法 - Google Patents

Abstract

一种旁路式拒绝服务攻击的侦测与缓解的方法，属于网络技术领域。具体为：将用于侦测与缓解拒绝服务攻击的计算机以旁路方式接入网络，将其网卡设置成侦听模式；建立记录表；根据读取到的网络数据包，更新记录表，并累计计数；查找记录表内计数超过允许最大数的记录，在这些记录中找出没有在规定时间内对目的主机的SYN报文段作出确认应答的记录；根据查出的记录表，伪装成目的地址的主机往源地址主机发送数据通讯结束的数据包；伪装成源地址主机往目的主机发送数据通讯结束的数据包，使目的主机释放相应资源；从该记录表集合中清除该记录。本发明在不影响计算机网络服务的正常运作的情况下，从根本上解决了拒绝服务攻击防范中的最难以防御的难题。

Description

旁路式拒绝服务攻击的侦测与缓解的方法

技术领域：本发明涉及的是一种网络安全保护的方法，特别是一种旁路式拒绝服务攻击的侦测与缓解的方法，属于网络技术领域。

背景技术：随着Internet的飞速发展，网络经济水涨船高，越来越多电子商务网站在兴起。Internet的高速发展加速了全世界的技术交流，加快了人类历史前进的步伐，同时黑客技术也随着加速了其发展与扩散传播。越来越多的黑客技术和傻瓜型的黑客攻击工具被任意的发布在各个网站。目前黑客攻击的所使用的手段多种多样，而最有效、最难于防御的是拒绝服务攻击，近年来，世界各大包括雅虎、亚马逊在内的著名网站都遭受过拒绝服务攻击，并因此停止业务长达几十个小时，不但造成了巨大的经济损失，而且对于人们对电子商务的信心形成了相当严重的阴影，严重的阻碍了网络经济的发展。更悲凉的是许多专业安全网站在拒绝服务攻击也往往只能尴尬的束手无策，忍受长达十几个小时甚至几百个小时的网站瘫痪。经文献检索发现：美国华盛顿大学的计算机工程系的Valentin Razmov在他的《Denialof Service Attacks and How to Defend Against Them》该文中详细介绍了拒绝服务攻击的类型以及防范的方法，其主要偏向于被动的防御，例如：加强主机的安全防范、构建防火墙及使用恰当的防火墙策略、建立网络主机的认证机制、采用串入式的防御设备等等；也有一些受到攻击时可以采用的主动防御方法，比如：主机地址的反查等等。通过消耗有限的计算机系统资源来实现对计算机网络服务的攻击，造成主机服务的停止响应，也是目前常见攻击手段之一。

发明内容：本发明的目的在于针对现有技术不足和常见的攻击手段，有效地提供一种旁路式拒绝服务攻击的侦测与缓解的方法，该系统防范方法更具备主动性，并且在主机遭受攻击时具备很强的实战意义，能够为网络管理人员争取到宝贵的时间，进行目前各方面条件所作不到的人工干预，从而能够更好的保障我们网络的安全运行，不因外界的攻击而瘫痪，保证了依托于网络的各种业务正常运作，将损失降到最低。通过消耗有限的计算机系统资源来实现对计算机网络服务的攻击，造成主机服务的停止响应，其检测以及防御的难度主要在于，攻击的方式在攻击时的瞬间是基本上不能够确定其行为是一个攻击行为。原因在于，攻击方是假冒合法访问用户，对提供网络服务的主机发送大量服务请求(I need service.)。由于在请求服务的起始阶段是不需要认证的，因此，计算机主机就必须从有限的计算机系统资源的分出一部分，专门为该请求服务，而大量的垃圾的服务请求就会占用计算机系统的资源的绝大部分直至全部，于是该计算机系统在资源的限制下只能对正常、合法的用户不予响应，最终导致拒绝服务。

具体方法为：

a、将用于侦测与缓解拒绝服务攻击的计算机以旁路方式接入网络，将其网卡由一般模式设置成侦听模式，从网卡设备号中读取网络中广播的数据通讯信息；

b、对读取到的数据信息进行协议分析，根据源地址、目的地址、源端口、目的端口建立记录表；

c、根据读取到的网络数据包，更新记录表，并累计计数；

d、查找一定时间段内，记录表内计数超过允许最大数的记录，在这些记录中找出没有在规定时间内对目的主机的SYN报文段作出确认应答的记录；

e、根据查出的记录表，伪装成目的地址的主机往源地址主机发送数据通讯结束的数据包；

f、同时，伪装成源地址主机往目的主机发送数据通讯结束的数据包，使目的主机释放相应资源；

g、从该记录表集合中清除该记录。

本发明具有实质性特点和显著进步，在不影响计算机网络服务的正常运作的情况下，从根本上解决了拒绝服务攻击防范中的最难以防御的难题；该思路还可以应用于其他原理相似的领域，实现技术在领域上的移植。

附图说明：图1本发明流程示意图

图2本发明攻击的侦测与缓解示意图

具体实施方法：如图1、图2所示，以典型同步洪流攻击为例，叙述对其的侦测与缓解过程。同步洪流攻击是针对基于TCP/IP协议的网络服务的一种典型攻击手段，其基本原理是，在基于TCP/IP协议的网络服务中的基本过程是：

1、客户端向服务器端发送同步请求数据包；

2、服务器端返回对该同步请求的回应数据包，并初始化该次服务请求以及保持连接的数据包要求；

3、客户端接收该数据包，并向服务器端返回对该数据包的确认应答，然后开始发送带实际请求内容的真正的服务请求数据包；

4、服务器端对于具体的服务请求提供服务。

以上简要的叙述了一个基于TCP/IP协议的网络服务器模型，同步洪流攻击的发生正是在第一阶段，攻击者伪造大量的同步请求数据包，使得服务器在接收到该数据包后，从系统资源中分配出必要的部分来对这些服务请求进行应答。当这类垃圾请求达到一定限度后，计算机系统相关的资源将被耗尽，比如：端口、线程、内存等等。通过侦听以及网络数据还原，在一定时限内，访问者并未发出真正有效的服务请求，将被确定为攻击者；在识别攻击者后，分别发送D到B以及D到C的带RST标志的回应数据包，分别中止两方的后续响应，停止该项服务过程。采用数据旁路式侦听技术，侦听网络上传输的数据流；根据攻击的特征，对网络数据流进行还原与特征匹配，以识别攻击；记录攻击方与被攻击方，并对被攻击方进行攻击的缓解，对攻击方实施攻击的成功的欺骗。

Claims (1)

1、一种旁路式拒绝服务攻击的侦测与缓解的方法，其特征在于具体方法为：

a、将用于侦测与缓解拒绝服务攻击的计算机以旁路方式接入网络，将其网卡由一般模式设置成侦听模式，从网卡设备号中读取网络中广播的数据通讯信息；

b、对读取到的数据信息进行协议分析，根据源地址、目的地址、源端口、目的端口建立记录表；

c、根据读取到的网络数据包，更新记录表，并累计计数；

d、查找一定时间段内，记录表内计数超过允许最大数的记录，在这些记录中找出没有在规定时间内对目的主机的SYN报文段作出确认应答的记录；

e、根据查出的记录表，伪装成目的地址的主机往源地址主机发送数据通讯结束的数据包；

f、同时，伪装成源地址主机往目的主机发送数据通讯结束的数据包，使目的主机释放相应资源；

g、从该记录表集合中清除该记录。

Images