CN116668170A - DDoS攻击防护策略模板生成方法及装置 - Google Patents

DDoS攻击防护策略模板生成方法及装置 Download PDF

Info

Publication number
CN116668170A
CN116668170A CN202310776998.3A CN202310776998A CN116668170A CN 116668170 A CN116668170 A CN 116668170A CN 202310776998 A CN202310776998 A CN 202310776998A CN 116668170 A CN116668170 A CN 116668170A
Authority
CN
China
Prior art keywords
protection
template
information
strategy
initial
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310776998.3A
Other languages
English (en)
Inventor
林红硕
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou DPTech Technologies Co Ltd
Original Assignee
Hangzhou DPTech Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou DPTech Technologies Co Ltd filed Critical Hangzhou DPTech Technologies Co Ltd
Priority to CN202310776998.3A priority Critical patent/CN116668170A/zh
Publication of CN116668170A publication Critical patent/CN116668170A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/16—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using machine learning or artificial intelligence
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Artificial Intelligence (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Databases & Information Systems (AREA)
  • Evolutionary Computation (AREA)
  • Medical Informatics (AREA)
  • Software Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请涉及一种DDoS攻击防护策略模板生成方法及装置。该方法包括：获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。本申请涉及的DDoS攻击防护策略模板生成方法及装置，能够根据配置内容自动生成所需的防护策略模板，不需要以手动配置的方式逐个配置防护策略模板的内容，快速、便捷的生成防护策略模板。

Description

DDoS攻击防护策略模板生成方法及装置
技术领域
本申请涉及计算机信息处理领域，具体而言，涉及一种DDoS攻击防护策略模板生成方法及装置。
背景技术
如今的飞速发展人们对互联网的依赖越来越高，网络攻击也变得更加普遍，其中DDoS攻击是黑客最为青睐的攻击方式之一，其具备攻击成本低，难度小，攻击行为难以检测，影响范围大等特点。近年来DDoS的攻击事件越发频繁，攻击的规模屡创新高，攻击流量的大小也在不停地变化。根据不同流量大小的攻击流量生成防护策略模板，从而对网络进行更精准的防护就变得尤为重要。
现有技术中，在进行防护策略模板配置时，在DDoS攻击开始前配置防护策略模板，通过手动配置的方式逐个去配置防护策略模板的内容，防护策略模板内容较多时配置的过程比较繁琐且耗时较长。
因此，需要一种新的DDoS攻击防护策略模板生成方法及装置。
在所述背景技术部分公开的上述信息仅用于加强对本申请的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
有鉴于此，本申请提供一种DDoS攻击防护策略模板生成方法及装置，能够根据配置内容自动生成所需的防护策略模板，不需要以手动配置的方式逐个配置防护策略模板的内容，快速、便捷的生成防护策略模板。
本申请的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本申请的实践而习得。
根据本申请的一方面，提出一种DDoS攻击防护策略模板生成方法，该方法包括：获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。
在本申请的一种示例性实施例中，通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板，包括：通过所述带宽数据生成包含等差数值带宽的初始防护模板；和/或根据所述流量信息生成包含协议防护策略的所述初始防护模板；和/或根据所述业务信息生成包含报文业务策略的所述初始防护模板。
在本申请的一种示例性实施例中，通过所述带宽数据生成包含等差数值带宽的初始防护模板，包括：将所述带宽数据和等差数值带宽进行比对，确定所述初始防护模板的防护带宽；设置自动带宽调整方案以便根据实时带宽数据，自动在所述等差数值带宽中确定当前带宽。
在本申请的一种示例性实施例中，根据所述流量信息生成包含协议防护策略的所述初始防护模板，包括：由流量信息中提取TCP流量属性；根据所述TCP流量属性选择性开启所述初始防护模板中的TCP防护策略。
在本申请的一种示例性实施例中，根据所述业务信息生成包含报文业务策略的所述初始防护模板，包括：由所述业务信息中提取UDP属性；根据所述UDP属性选择性开启所述初始防护模板中的UDP防护策略。
在本申请的一种示例性实施例中，根据所述业务信息生成包含报文业务策略的所述初始防护模板，还包括：由所述业务信息中提取DNS服务器判断信息；根据所述DNS服务器判断信息选择性开启所述初始防护模板中的DNS防护策略。
在本申请的一种示例性实施例中，根据所述业务信息生成包含报文业务策略的所述初始防护模板，还包括：由所述业务信息中提取国外地址访问业务；根据所述国外地址访问业务选择性开启所述初始防护模板中的区域防护策略。
在本申请的一种示例性实施例中，对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口，包括：获取DDoS攻击防护的过滤流量；通过预训练的深度学习模型对所述过滤流量进行分析，生成流量特征数据；根据所述流量特征数据生成不同时间段的策略调整参数。
在本申请的一种示例性实施例中，对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口，还包括：获取DDoS攻击防护的过滤流量中的源端口信息；通过预训练的深度学习模型对所述源端口信息进行分析，生成所述重点端口。
根据本申请的一方面，提出一种DDoS攻击防护策略模板生成装置，该装置包括：信息模块，用于获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；初始模块，用于通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；防护模块，用于通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；学习模块，用于对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；调整模块，用于通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。
根据本申请的一方面，提出一种电子设备，该电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上文的方法。
根据本申请的一方面，提出一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如上文中的方法。
根据本申请的DDoS攻击防护策略模板生成方法及装置，通过获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板的方式，能够根据配置内容自动生成所需的防护策略模板，不需要以手动配置的方式逐个配置防护策略模板的内容，快速、便捷的生成防护策略模板。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。
附图说明
通过参照附图详细描述其示例实施例，本申请的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本申请的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是根据一示例性实施例示出的一种DDoS攻击防护策略模板生成方法及装置的系统框图。
图2是根据一示例性实施例示出的一种DDoS攻击防护策略模板生成方法的流程图。
图3是根据另一示例性实施例示出的一种DDoS攻击防护策略模板生成方法的流程图。
图4是根据另一示例性实施例示出的一种DDoS攻击防护策略模板生成方法的流程图。
图5是根据一示例性实施例示出的一种DDoS攻击防护策略模板生成装置的框图。
图6是根据一示例性实施例示出的一种电子设备的框图。
图7是根据一示例性实施例示出的一种计算机可读介质的框图。
具体实施方式
现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本申请将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。
此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本申请的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本申请的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本申请的各方面。
附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。
应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本申请概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。
本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本申请所必须的，因此不能用于限制本申请的保护范围。
本申请涉及的技术缩略语解释如下：
DDoS攻击，分布式拒绝服务攻击(Distributed Denial of Service，)是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击。由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击，其中的攻击者可以有多个。
流量清洗设备，根据一定的规则对DDoS攻击流量进行清洗并将清洗后的正常流量回注到原有网络中的设备。清洗设备的清洗能力是由硬件决定的，清洗能力就是设备最大能处理的流量速率。
防护策略模板，根据相应的规则对流量大小不同、攻击特征不同的攻击流量进行不同级别的清洗，从而实现保护网络的策略模板。
图1是根据一示例性实施例示出的一种DDoS攻击防护策略模板生成方法及装置的系统框图。
如图1所示，系统架构10可以包括终端设备101、102、103，网络104和服务器105、流量清洗设备106。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。
终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所访问的网络资源提供防护支持的后台管理服务器。
服务器105可例如获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；服务器105可例如通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；服务器105可例如通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；服务器105可例如对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；服务器105可例如通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。
流量清洗设备106可以对接收到的流量数据按照DDoS攻击防护策略进行流量分析等处理，过滤掉带有风险的数据流量。
服务器105可以是一个实体的服务器，还可例如为多个服务器组成，需要说明的是，本申请实施例所提供的DDoS攻击防护策略模板生成方法可以由服务器105执行，相应地，DDoS攻击防护策略模板生成装置可以设置于服务器105中。而根据DDoS攻击防护策略进行流量清洗的处理端一般位于流量清洗设备106中。
图2是根据一示例性实施例示出的一种DDoS攻击防护策略模板生成方法的流程图。DDoS攻击防护策略模板生成方法20至少包括步骤S202至S210。
如图2所示，在S202中，获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息。获取的用户信息可包括：带宽、流量数据、业务用途等信息自动生成防护策略模板。
更具体的，获取的信息主要还可包括以下内容：防护IP的带宽信息、客户业务是否包含TCP流量及常用的TCP端口、客户业务是否包含UDP流量及常用的UDP端口、需要防护的IP是否是DNS服务器、客户业务是否有对外进行TCP请求、客户业务是否有对外进行UDP请求、客户业务是否有国外地址访问等。
在S204中，通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板。可通过所述带宽数据生成包含等差数值带宽的初始防护模板；还可根据所述流量信息生成包含协议防护策略的所述初始防护模板；还可根据所述业务信息生成包含报文业务策略的所述初始防护模板。
“通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板”的详细内容将在图3对应的实施例中进行详细描述。
在S206中，通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护。将所述初始防护模板发送到流量清洗设备，流量清洗设备根据初始防护模板对当前的实时流量进行数据清洗；
清洗设备将清洗后的数据流量放行到网络中，还可将清洗后的过滤流量发送到服务器中，由服务器进行进一步的分析，
在S208中，对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口。可定期对初始防护策略模板生成的过滤流量进行学习，以更新防护策略模板。
在一个实施例中，可例如获取DDoS攻击防护的过滤流量；通过预训练的深度学习模型对所述过滤流量进行分析，生成流量特征数据；根据所述流量特征数据生成不同时间段的策略调整参数。
在一个实施例中，可例如获取DDoS攻击防护的过滤流量中的源端口信息；通过预训练的深度学习模型对所述源端口信息进行分析，生成所述重点端口。
在S210中，通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。可例如，获取DDoS攻击防护的过滤流量；通过预训练的深度学习模型对所述过滤流量进行分析，生成流量特征数据；根据所述流量特征数据生成不同时间段的策略调整参数。还可例如获取DDoS攻击防护的过滤流量中的源端口信息；通过预训练的深度学习模型对所述源端口信息进行分析，生成所述重点端口。
可以通过流量检测设备对客户要保护的IP进行深度学习，通过流量检测设备上报的IP流量类型、流量峰值速率、源目的端口、源IP等信息，动态的优化防护策略模板。例如通过流量峰值速率，学习客户要保护IP的流量模型，根据不同时段的数据，调整防护策略的阈值；通过源目端口信息，判断业务常用目的端口，重点保护，对于异常的源端口信息可以重点防护。
根据本申请的DDoS攻击防护策略模板生成方法，通过获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板的方式，能够根据配置内容自动生成所需的防护策略模板，不需要以手动配置的方式逐个配置防护策略模板的内容，快速、便捷的生成防护策略模板。
应清楚地理解，本申请描述了如何形成和使用特定示例，但本申请的原理不限于这些示例的任何细节。相反，基于本申请公开的内容的教导，这些原理能够应用于许多其它实施例。
图3是根据另一示例性实施例示出的一种DDoS攻击防护策略模板生成方法的流程图。图3所示的流程30是对图2所示的流程中S204“通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板”的详细描述。
如图3所示，在S302中，通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板。
在S304中，通过所述带宽数据生成包含等差数值带宽的初始防护模板。可将所述带宽数据和等差数值带宽进行比对，确定所述初始防护模板的防护带宽；设置自动带宽调整方案以便根据实时带宽数据，自动在所述等差数值带宽中确定当前带宽。
防护对象带宽值是预定义的等差数值(例：100M、300M...)，不同数值会推荐不同等级的默认防护策略模板信息，默认模板的防护阈值会根据具体的带宽信息进行调整。
在S306中，根据所述流量信息生成包含协议防护策略的所述初始防护模板。
在一个实施例中，可例如，由流量信息中提取TCP流量属性；根据所述TCP流量属性选择性开启所述初始防护模板中的TCP防护策略。
更具体的，可通过判断客户业务是否包含TCP流量、常用TCP流量的端口、以及业务是否有对外TCP请求等信息选择性开启所述初始防护模板中的TCP防护策略。
其中，可以在防护策略模板中配置TCP分片报文限速、TCP标记检查、TCP状态防护、TCP报文长度检查、TCP指纹防护等防护策略。当SYN Flood攻击且防护效果不佳时，会动态开启SYN源认证防护策略。指纹是指在数据包的网络层、传输层中有很多字段，包括报文长度、TTL、源目的端口等信息，甚至包括数据段的一些信息。
在不同的网络中，上述信息都是具有统计特征的，这些信息可称为指纹。利用指纹信息去过滤数据包的操作就是指纹防护。通过指纹防护策略可以过滤大部分常见的攻击。有时DDoS攻击者为了节省攻击资源通常不会使用合法协议栈，通过启用TCP状态防护，检测TCP全状态，丢弃状态不全的报文以此达到屏蔽攻击的目的。
在一个实施例中，还可例如，由所述业务信息中提取UDP属性；根据所述UDP属性选择性开启所述初始防护模板中的UDP防护策略。
更具体的，可通过判断客户业务是否包含UDP流量、常用UDP流量的端口、以及业务是否有对外UDP请求等信息，选择性开启所述初始防护模板中的UDP防护策略。
其中，可以在防护策略模板中配置：UDP分片报文限速、UDP指纹防护、Payload为空过滤、Payload重复内容过滤。Payload过滤是指查验UDP报文的有效载荷，当payload字段中指定范围的Data内容有连续大量重复，且达到防护阈值速率，则判定为攻击报文，进行阻断。如果UDP的载荷为空则直接丢弃。
在一个实施例中，还可例如，由所述业务信息中提取DNS服务器判断信息；根据所述DNS服务器判断信息选择性开启所述初始防护模板中的DNS防护策略。
更具体的，可通过判断防护的IP是否是DNS服务器，可以在防护策略模板中配置DNS每源IP限速。DNS每源IP限速本质上是UDP指纹防护。在受到DNS Flood攻击且防护效果不佳时，动态开启DNS重传防护，以确保DNS服务器的网络正常。
在S308中，根据所述业务信息生成包含报文业务策略的所述初始防护模板。
在一个实施例中，可例如，由所述业务信息中提取国外地址访问业务；根据所述国外地址访问业务选择性开启所述初始防护模板中的区域防护策略。可判断客户业务是否有国外地址访问，从而在防护策略模板中的区域防护控制项将归属地为国外的IP禁止通信。
图4是根据另一示例性实施例示出的一种DDoS攻击防护策略模板生成方法的流程图。图4所示的流程40是对图2所示的流程中S208“对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口”的详细描述。
如图4所示，在S402中，获取DDoS攻击防护的过滤流量。在通过获取用户带宽、流量数据、业务用途的信息后获得初始策略防护模板，该模板就可以下发到清洗设备对IP进行防护。在防护模板使用的过程中，获取实时的清洗设备过滤流量。
在S404中，通过预训练的深度学习模型对所述过滤流量进行分析，生成流量特征数据和重点端口。
在一个实施例中，可通过预训练的深度学习模型对所述过滤流量进行分析，生成流量特征数据；根据所述流量特征数据生成不同时间段的策略调整参数。
在一个实施例中，可获取DDoS攻击防护的过滤流量中的源端口信息；通过预训练的深度学习模型对所述源端口信息进行分析，生成所述重点端口。
在S406中，根据所述流量特征数据生成不同时间段的策略调整参数。可例如通过流量峰值速率，学习客户要保护IP的流量模型，根据不同时段的数据，调整防护策略的阈值。
在S408中，为重点端口设定防护策略。还可通过源目端口信息，判断业务常用目的端口，重点保护，对于异常的源端口信息可以重点防护。
根据本申请的DDoS攻击防护策略模板生成方法，通过获取客户的带宽、流量数据、业务用途等信息自动生成防护策略模板，省去了手动配置防护策略模板的繁琐环节，可以更迅速的完成对防护策略模板的配置，对于不了解清洗业务的人员，可以有效降低配置防护策略的学习成本。通过流量检测设备上报的IP流量、端口等信息，动态调整防护策略阈值和配置项，增强IP的防护效果。
本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由CPU执行的计算机程序。在该计算机程序被CPU执行时，执行本申请提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中，该存储介质可以是只读存储器，磁盘或光盘等。
此外，需要注意的是，上述附图仅是根据本申请示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。
下述为本申请装置实施例，可以用于执行本申请方法实施例。对于本申请装置实施例中未披露的细节，请参照本申请方法实施例。
图5是根据一示例性实施例示出的一种DDoS攻击防护策略模板生成装置的框图。如图5所示，DDoS攻击防护策略模板生成装置50包括：信息模块502，初始模块504，防护模块506，学习模块508，调整模块510。
信息模块502用于获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；
初始模块504用于通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；初始模块504还用于通过所述带宽数据生成包含等差数值带宽的初始防护模板；和/或根据所述流量信息生成包含协议防护策略的所述初始防护模板；和/或根据所述业务信息生成包含报文业务策略的所述初始防护模板。
防护模块506用于通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；
学习模块508用于对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；学习模块508还用于获取DDoS攻击防护的过滤流量；通过预训练的深度学习模型对所述过滤流量进行分析，生成流量特征数据；根据所述流量特征数据生成不同时间段的策略调整参数。学习模块508还用于获取DDoS攻击防护的过滤流量中的源端口信息；通过预训练的深度学习模型对所述源端口信息进行分析，生成所述重点端口。
调整模块510用于通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。
根据本申请的DDoS攻击防护策略模板生成装置，通过获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板的方式，能够根据配置内容自动生成所需的防护策略模板，不需要以手动配置的方式逐个配置防护策略模板的内容，快速、便捷的生成防护策略模板。
图6是根据一示例性实施例示出的一种电子设备的框图。
下面参照图6来描述根据本申请的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。
如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：至少一个处理单元610、至少一个存储单元620、连接不同系统组件(包括存储单元620和处理单元610)的总线630、显示单元640等。
其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元610执行，使得所述处理单元610执行本说明书中描述的根据本申请各种示例性实施方式的步骤。例如，所述处理单元610可以执行如图2，图3，图4中所示的步骤。
所述存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。
所述存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备600也可以与一个或多个外部设备600’(例如键盘、指向设备、蓝牙设备等)通信，使得用户能与该电子设备600交互的设备通信，和/或该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器660可以通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，如图7所示，根据本申请实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本申请实施方式的上述方法。
总体而言，本公开由原来的手动配置防护策略模板的方式改为通过获取客户的带宽、流量数据、业务用途等信息自动生成防护策略模板。获取信息主要包括以下几点：防护IP的带宽信息、客户业务是否包含TCP流量及常用的TCP端口、客户业务是否包含UDP流量及常用的UDP端口、需要防护的IP是否是DNS服务器、客户业务是否有对外进行TCP请求、客户业务是否有对外进行UDP请求、客户业务是否有国外地址访问等。防护对象带宽值是预定义的等差数值(例：100M、300M...)，不同数值会推荐不同等级的默认防护策略模板信息，默认模板的防护阈值会根据具体的带宽信息进行调整。通过判断客户业务是否包含TCP流量、常用TCP流量的端口、以及业务是否有对外TCP请求等信息，可以在防护策略模板中配置TCP分片报文限速、TCP标记检查、TCP状态防护、TCP报文长度检查、TCP指纹防护等防护策略。当SYN Flood攻击且防护效果不佳时，会动态开启SYN源认证防护策略。指纹是指在数据包的网络层、传输层中有很多字段，包括报文长度、TTL、源目的端口等信息，甚至包括数据段的一些信息，在不同的网络中，都是具有统计特征的，这些信息就是指纹。利用这些信息去过滤数据包的操作就是指纹防护。通过指纹防护策略可以过滤大部分常见的攻击。有时DDoS攻击者为了节省攻击资源通常不会使用合法协议栈，通过启用TCP状态防护，检测TCP全状态，丢弃状态不全的报文以此达到屏蔽攻击的目的。通过判断客户业务是否包含UDP流量、常用UDP流量的端口、以及业务是否有对外UDP请求等信息，可以在防护策略模板中配置：UDP分片报文限速、UDP指纹防护、Payload为空过滤、Payload重复内容过滤。Payload过滤是指查验UDP报文的有效载荷，当payload字段中指定范围的Data内容有连续大量重复，且达到防护阈值速率，则判定为攻击报文，进行阻断。如果UDP的载荷为空则直接丢弃。通过判断防护的IP是否是DNS服务器，可以在防护策略模板中配置DNS每源IP限速。DNS每源IP限速本质上是UDP指纹防护。在受到DNS Flood攻击且防护效果不佳时，动态开启DNS重传防护，以确保DNS服务器的网络正常。通过判断客户业务是否有国外地址访问，我们可以在防护策略模板中的区域防护控制项将归属地为国外的IP禁止通信。在通过获取用户带宽、流量数据、业务用途的信息后获得推荐模板，该模板就可以下发到清洗设备对IP进行防护。在防护模板使用的过程中，我们可以可以通过流量检测设备对客户要保护的IP进行深度学习，通过流量检测设备上报的IP流量类型、流量峰值速率、源目的端口、源IP等信息，动态的优化防护策略模板。例如通过流量峰值速率，学习客户要保护IP的流量模型，根据不同时段的数据，调整防护策略的阈值；通过源目端口信息，判断业务常用目的端口，重点保护，对于异常的源端口信息可以重点防护。
所述软件产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该计算机可读介质实现如下功能：获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。
本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中，也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本申请实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本申请实施例的方法。
以上具体地示出和描述了本申请的示例性实施例。应可理解的是，本申请不限于这里描述的详细结构、设置方式或实现方法；相反，本申请意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (10)

1.一种DDoS攻击防护策略模板生成方法，其特征在于，包括：
获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；
通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；
通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；
对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；
通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。
2.如权利要求1所述的方法，其特征在于，通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板，包括：
通过所述带宽数据生成包含等差数值带宽的初始防护模板；和/或
根据所述流量信息生成包含协议防护策略的所述初始防护模板；和/或
根据所述业务信息生成包含报文业务策略的所述初始防护模板。
3.如权利要求2所述的方法，其特征在于，通过所述带宽数据生成包含等差数值带宽的初始防护模板，包括：
将所述带宽数据和等差数值带宽进行比对，确定所述初始防护模板的防护带宽；
设置自动带宽调整方案以便根据实时带宽数据，自动在所述等差数值带宽中确定当前带宽。
4.如权利要求2所述的方法，其特征在于，根据所述流量信息生成包含协议防护策略的所述初始防护模板，包括：
由流量信息中提取TCP流量属性；
根据所述TCP流量属性选择性开启所述初始防护模板中的TCP防护策略。
5.如权利要求2所述的方法，其特征在于，根据所述业务信息生成包含报文业务策略的所述初始防护模板，包括：
由所述业务信息中提取UDP属性；
根据所述UDP属性选择性开启所述初始防护模板中的UDP防护策略。
6.如权利要求2所述的方法，其特征在于，根据所述业务信息生成包含报文业务策略的所述初始防护模板，还包括：
由所述业务信息中提取DNS服务器判断信息；
根据所述DNS服务器判断信息选择性开启所述初始防护模板中的DNS防护策略。
7.如权利要求2所述的方法，其特征在于，根据所述业务信息生成包含报文业务策略的所述初始防护模板，还包括：
由所述业务信息中提取国外地址访问业务；
根据所述国外地址访问业务选择性开启所述初始防护模板中的区域防护策略。
8.如权利要求1所述的方法，其特征在于，对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口，包括：
获取DDoS攻击防护的过滤流量；
通过预训练的深度学习模型对所述过滤流量进行分析，生成流量特征数据；
根据所述流量特征数据生成不同时间段的策略调整参数。
9.如权利要求1所述的方法，其特征在于，对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口，还包括：
获取DDoS攻击防护的过滤流量中的源端口信息；
通过预训练的深度学习模型对所述源端口信息进行分析，生成所述重点端口。
10.一种DDoS攻击防护策略模板生成装置，其特征在于，包括：
信息模块，用于获取待配置DDoS攻击防护策略的用户的带宽数据、流量信息和业务信息；
初始模块，用于通过所述带宽数据、所述流量信息和所述业务信息生成初始防护模板；
防护模块，用于通过所述初始防护模板对所述用户的日常流量进行DDoS攻击防护；
学习模块，用于对DDoS攻击防护的过滤流量进行深度学习，生成策略调整参数和重点端口；
调整模块，用于通过所述策略调整参数和所述重点端口对所述初始防护模板进行调整生成策略防护模板。
CN202310776998.3A 2023-06-29 2023-06-29 DDoS攻击防护策略模板生成方法及装置 Pending CN116668170A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310776998.3A CN116668170A (zh) 2023-06-29 2023-06-29 DDoS攻击防护策略模板生成方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310776998.3A CN116668170A (zh) 2023-06-29 2023-06-29 DDoS攻击防护策略模板生成方法及装置

Publications (1)

Publication Number Publication Date
CN116668170A true CN116668170A (zh) 2023-08-29

Family

ID=87720742

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310776998.3A Pending CN116668170A (zh) 2023-06-29 2023-06-29 DDoS攻击防护策略模板生成方法及装置

Country Status (1)

Country Link
CN (1) CN116668170A (zh)

Similar Documents

Publication Publication Date Title
US11349854B1 (en) Efficient threat context-aware packet filtering for network protection
RU2668710C1 (ru) Вычислительное устройство и способ для обнаружения вредоносных доменных имен в сетевом трафике
US10367830B2 (en) Security action of network packet based on signature and reputation
US9503468B1 (en) Detecting suspicious web traffic from an enterprise network
US7237267B2 (en) Policy-based network security management
US8561188B1 (en) Command and control channel detection with query string signature
US20070199070A1 (en) Systems and methods for intelligent monitoring and response to network threats
US9338187B1 (en) Modeling user working time using authentication events within an enterprise network
CN109194684B (zh) 一种模拟拒绝服务攻击的方法、装置及计算设备
US11824878B2 (en) Malware detection at endpoint devices
US8407789B1 (en) Method and system for dynamically optimizing multiple filter/stage security systems
CN111526121A (zh) 入侵防御方法、装置、电子设备及计算机可读介质
CN113408948A (zh) 一种网络资产管理方法、装置、设备和介质
US8713674B1 (en) Systems and methods for excluding undesirable network transactions
US10397225B2 (en) System and method for network access control
US11677777B1 (en) Situational awareness and perimeter protection orchestration
US20220255926A1 (en) Event-triggered reauthentication of at-risk and compromised systems and accounts
US8082583B1 (en) Delegation of content filtering services between a gateway and trusted clients in a computer network
CN114866310A (zh) 一种恶意加密流量检测方法、终端设备及存储介质
CN115412326A (zh) 一种异常流量检测方法、装置、电子设备及存储介质
CN116668170A (zh) DDoS攻击防护策略模板生成方法及装置
CN112733104B (zh) 账号注册请求处理方法及装置
CN113127855A (zh) 安全防护系统及方法
CN116436686A (zh) 分布式拒绝服务攻击的动态防护方法及装置
Muhammad et al. Improving security in bring your own device (byod) environment by controlling access

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination