CN117375987A - 攻击防护方法、装置、设备及存储介质 - Google Patents

Abstract

本申请提供一种攻击防护方法、装置、设备及存储介质，应用于网络安全领域。确定是否触发针对目标资源的DDOS攻击防护，若是，则基于资源与DDOS攻击防护设备的对应关系，确定目标资源对应的目标防护设备管理系统，DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源，缩短防护流程的处理时长；向目标防护设备管理系统发送清洗指令，目标防护设备管理系统用于向管理范围内的目标DDOS攻击防护设备转发清洗指令，目标DDOS攻击防护设备用于响应清洗指令，针对目标资源的流量进行引流，并基于预配置的针对目标资源的清洗策略进行流量清洗，实现快速响应，有效防护，尤其适用于DDOS攻击持续时间短但攻击流量大的场景。

Description

攻击防护方法、装置、设备及存储介质

技术领域

本申请涉及网络安全领域，尤其涉及一种攻击防护方法、装置、设备及存储介质。

背景技术

随着互联网的不断发展，各领域的业务运营对互联网的依赖性逐渐增高，然而，网络安全环境日益恶化，分布式拒绝服务(Distributed Denial-Of-Service，DDOS)攻击越来越频繁的威胁基础业务系统和数据安全，因此，及时且高效的进行DDOS攻击的防护至关重要。

相关技术中，DDOS攻击防护系统中串联部署或旁路部署DDOS攻击防护设备，通过DDOS攻击防护设备对攻击流量进行清洗或封堵，以缓解DDOS攻击。具体地，DDOS攻击防护设备管理系统在监测到DDOS攻击时，下发清洗指令给DDOS攻击防护设备，其中，清洗指令中携带有清洗策略和受到DDOS攻击的目标资源；在接收到DDOS攻击防护设备发送的针对清洗指令的应答指令后，再下发引流指令给DDOS攻击防护设备，以使得DDOS攻击防护设备根据所述引流指令将攻击流量引流至该DDOS攻击防护设备，并在引流后根据所述清洗指令中携带的清洗策略进行流量清洗。

但是，采用上述技术难以有效防护和快速响应，无法满足业务时效性的需求。

发明内容

本申请提供一种攻击防护方法、装置、设备及存储介质，用以解决难以有效防护和快速响应，无法满足业务时效性的需求的技术问题。

第一方面，本申请提供一种攻击防护方法，应用于自动化运维设备，自动化运维设备用于集中管控不同厂家的DDOS攻击防护设备，攻击防护方法包括：

确定是否触发针对目标资源的DDOS攻击防护；

若是，则基于资源与DDOS攻击防护设备的对应关系，确定目标资源对应的目标防护设备管理系统，DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源；

向目标防护设备管理系统发送清洗指令，目标防护设备管理系统用于向管理范围内的目标DDOS攻击防护设备转发清洗指令，目标DDOS攻击防护设备用于响应清洗指令，针对目标资源的流量进行引流，并基于预配置的针对目标资源的清洗策略进行流量清洗。

在一种可能的实施方式中，确定触发针对目标资源的DDOS攻击防护的条件，包括：监测到目标资源受到DDOS攻击，或，获取到一键清洗指令。

在一种可能的实施方式中，清洗指令中携带清洗相关信息，目标防护设备管理系统用于根据清洗相关信息确定目标DDOS攻击防护设备，清洗相关信息包括防护设备数量，防护设备数量是根据攻击流量大小确定的。

在一种可能的实施方式中，确定是否触发针对目标资源的DDOS攻击防护之前，还包括：

在录入针对目标资源的资源相关信息后，下发资源相关信息至目标防护设备管理系统对应的DDOS攻击防护设备进行存储，资源相关信息包括目标资源的IP信息、清洗策略、清洗类型和清洗模式信息，清洗模式信息包括一键清洗、自动清洗和一键清洗对应的默认清洗策略。

在一种可能的实施方式中，攻击防护方法还包括：

在监测到清洗策略发生变更时，向发生变更的清洗策略对应的DDOS攻击防护设备同步变更后的清洗策略；

和/或，在监测到清洗策略发生变更时，同步变更一键清洗对应的默认清洗策略。

在一种可能的实施方式中，攻击防护方法还包括：

若资源相关信息发生变更，则向目标DDOS攻击防护设备同步变更后的资源相关信息。

在一种可能的实施方式中，攻击防护方法还包括：

接收来自目标防护设备管理系统的上报信息，上报信息包括清洗日志、清洗状态及告警信息中的至少一种，告警信息是目标防护设备管理系统在检测到目标DDOS攻击防护设备出现故障时发出的；

和/或，在确定停止针对目标资源的DDOS攻击防护时，向目标防护设备管理系统发送清洗停止指令，以使目标DDOS攻击防护设备停止流量的引流与清洗，其中，确定停止针对目标资源的DDOS攻击防护的条件包括：接收到针对目标资源的清洗停止指令，以及，监测到针对目标资源的DDOS攻击停止。

第二方面，本申请提供一种攻击防护装置，包括：

确定模块，用于确定是否触发针对目标资源的DDOS攻击防护；若是，则基于资源与DDOS攻击防护设备的对应关系，确定目标资源对应的目标防护设备管理系统，DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源；

发送模块，用于向目标防护设备管理系统发送清洗指令，目标防护设备管理系统用于向管理范围内的目标DDOS攻击防护设备转发清洗指令，目标DDOS攻击防护设备用于响应清洗指令，针对目标资源的流量进行引流，并基于预配置的针对目标资源的清洗策略进行流量清洗。

在一种可能的实施方式中，确定触发针对目标资源的DDOS攻击防护的条件，包括：监测到目标资源受到DDOS攻击，或，获取到一键清洗指令。

在一种可能的实施方式中，清洗指令中携带清洗相关信息，目标防护设备管理系统用于根据清洗相关信息确定目标DDOS攻击防护设备，清洗相关信息包括防护设备数量，防护设备数量是根据攻击流量大小确定的。

在一种可能的实施方式中，攻击防护装置还包括处理模块，处理模块用于：确定是否触发针对目标资源的DDOS攻击防护之前，在录入针对目标资源的资源相关信息后，下发资源相关信息至目标防护设备管理系统对应的DDOS攻击防护设备进行存储，资源相关信息包括目标资源的IP信息、清洗策略、清洗类型和清洗模式信息，清洗模式信息包括一键清洗、自动清洗和一键清洗对应的默认清洗策略。

在一种可能的实施方式中，攻击防护装置还包括更新模块，更新模块用于：在监测到清洗策略发生变更时，向发生变更的清洗策略对应的DDOS攻击防护设备同步变更后的清洗策略；和/或，在监测到清洗策略发生变更时，同步变更一键清洗对应的默认清洗策略。

在一种可能的实施方式中，更新模块还用于：在资源相关信息发生变更时，向目标DDOS攻击防护设备同步变更后的资源相关信息。

在一种可能的实施方式中，攻击防护装置还包括接收模块，接收模块用于：接收来自目标防护设备管理系统的上报信息，上报信息包括清洗日志、清洗状态及告警信息中的至少一种，告警信息是目标防护设备管理系统在检测到目标DDOS攻击防护设备出现故障时发出的。

在一种可能的实施方式中，发送模块还用于：在确定停止针对目标资源的DDOS攻击防护时，向目标防护设备管理系统发送清洗停止指令，以使目标DDOS攻击防护设备停止流量的引流与清洗，其中，确定停止针对目标资源的DDOS攻击防护的条件包括：接收到针对目标资源的清洗停止指令，以及，监测到针对目标资源的DDOS攻击停止。

第三方面，本申请提供一种电子设备，包括：处理器，以及与处理器通信连接的存储器；

存储器，用于存储计算机执行指令；

处理器，用于执行计算机执行指令，使得处理器执行第一方面任一项所述的攻击防护方法。

第四方面，本申请提供一种计算机可读存储介质，计算机可读存储介质中存储有计算机执行指令，计算机执行指令被执行时用于实现如第一方面任一项所述的攻击防护方法。

第五方面，本申请提供一种计算机程序产品，包括计算机程序，该计算机程序被执行时实现如第一方面任一项所述的攻击防护方法。

本申请提供的攻击防护方法、装置、设备及存储介质，确定是否触发针对目标资源的DDOS攻击防护，在确认触发针对目标资源的DDOS攻击防护时，基于资源与DDOS攻击防护设备的对应关系，确定目标资源对应的目标防护设备管理系统，向目标防护设备管理系统发送清洗指令，目标防护设备管理系统转发该清洗指令给管理范围内的目标DDOS攻击防护设备，目标DDOS攻击防护设备响应清洗指令，针对目标资源的流量进行引流和清洗，由于DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源，并且预配置针对目标资源的清洗策略，因此在触发针对目标资源的DDOS攻击防护时，无需再下发目标资源和针对目标资源的清洗策略给目标DDOS攻击防护设备，缩短防护流程的处理时长，并且，DDOS攻击防护设备接收到清洗指令后直接进行针对目标资源的流量引流和清洗，简化防护流程，实现快速响应，有效防护，尤其适用于DDOS攻击持续时间短但攻击流量大的场景。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为本申请一实施例提供的攻击防护方法的应用场景图；

图2为本申请一实施例提供的攻击防护方法的流程示意图；

图3为本申请一实施例提供的自动化运维系统的结构示意图；

图4为本申请一实施例提供的攻击防护装置的结构示意图；

图5为本申请一实施例提供的电子设备的结构示意图。

通过上述附图，已示出本申请明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本申请构思的范围，而是通过参考特定实施例为本领域技术人员说明本申请的概念。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

相关技术中，DDOS攻击防护设备管理系统在监测到DDOS攻击时，下发携带清洗策略和受到DDOS攻击的目标资源的清洗指令给DDOS攻击防护设备，DDOS攻击防护设备接收到清洗指令后，返回针对清洗指令的应答指令给DDOS攻击防护设备管理系统，DDOS攻击防护设备管理系统在接收到该应答指令后，再下发引流指令给DDOS攻击防护设备，DDOS攻击防护设备根据引流指令将攻击流量引流至该DDOS攻击防护设备，并在引流后根据清洗指令中携带的清洗策略进行流量清洗。该DDOS攻击防护方法是在DDOS攻击到来时，下发携带目标资源和针对目标资源的清洗策略的清洗指令给DDOS攻击防护设备，DDOS攻击防护设备需要耗时解析该清洗指令，以确定目标资源和针对目标资源的清洗策略，导致DDOS攻击防护处理时间延长；另外，清洗指令下发后需要等待接收DDOS攻击防护设备反馈的应答指令，成功接收该应答指令后才下发引流指令给DDOS攻击防护设备，进行流量的引流和清洗，导致DDOS攻击防护流程启动较慢，无法及时响应持续时间较短但攻击流量较大的DDOS攻击。

针对上述技术问题，本申请提供一种攻击防护方法、装置、设备及存储介质，在DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源，并且预配置针对目标资源的清洗策略，在触发针对目标资源的DDOS攻击防护时，无需再下发目标资源和针对目标资源的清洗策略给目标DDOS攻击防护设备，缩短防护流程的处理时长，并且，DDOS攻击防护设备接收到清洗指令后直接进行针对目标资源的流量的引流和清洗，简化防护流程，实现快速响应，有效防护，尤其适用于DDOS攻击持续时间短但攻击流量大的场景。

下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。

图1为本申请一实施例提供的攻击防护方法的应用场景图。如图1所示，该应用场景包括自动化运维设备、不同厂家的防护设备管理系统、防护设备和资源，其中，资源包括待防护的设备，例如，某业务系统运行在多个待防护的设备上，当待防护的设备遭到DDOS攻击，影响业务系统的正常运行。在本实施例中，自动化运维设备执行攻击防护的方法，具体地，将资源相关信息提前录入自动化运维设备，并下发给防护设备管理系统对应的防护设备进行存储，资源相关信息包括资源IP和/或IP段、清洗策略和清洗模式信息；录入的资源受自动化运维设备统一监控，当自动化运维设备监测到资源受到DDOS攻击时，可以启动自动防护，也可以人工触发一键清洗，下发针对受攻击资源的清洗指令给对应的防护设备管理系统，实现攻击防护的统一管控，防护设备管理系统将清洗指令转发给管理范围内的防护设备，利用防护设备进行攻击流量的引流和清洗。另外，自动化运维设备还可以接收防护设备管理系统上报的关于防护设备的清洗日志，以及清洗告警，还可以进行防护设备查询，实现对防护设备的设备监测。

需要说明的是，自动化运维设备可以是具有一定算力的主机、服务器，或服务器集群等，防护设备管理系统也可以部署在具有一定算力的主机、服务器，或服务器集群等，本申请实施例，对自动化运维设备、资源和防护设备的数量不进行限制，对自动化运维设备的具体形式和防护设备管理系统的部署形式也不作限制，根据用户实际需求选择。

下面结合图1的应用场景，参考图2来说明本申请一实施例提供的攻击防护方法。攻击防护方法由图1中的自动化运维设备执行，需要注意的是，上述应用场景仅是为了便于理解本申请的精神和原理而示出，本申请的实施方式不受图1所示应用场景的限制。

图2为本申请一实施例提供的攻击防护方法的流程示意图。参照图2所示，攻击防护方法应用于自动化运维设备，自动化运维设备用于集中管控不同厂家的DDOS攻击防护设备，攻击防护方法包括以下步骤：

S201、确定是否触发针对目标资源的DDOS攻击防护。

目标资源包括待防护的设备，设备上部署各种业务系统，用来支撑业务的运行，目标资源可以是物理服务器、服务器集群，或虚拟资源例如DOCKER容器，等。

DDOS攻击通常是攻击者向服务器(即目标资源)伪造大量合法的请求，占用大量网络带宽，致使网络瘫痪，服务不可达从而导致业务丢失。

示例地，可以在自动化运维设备上部署监测系统，用来监测DDOS攻击，也可以是自动化运维设备对接一套监测系统，通过监测系统监测DDOS攻击，当监测到DDOS攻击到来时，监测系统以告警或通知等形式告知自动化运维设备，以便自动化运维设备启动DDOS攻击防护流程。

可选地，也可以通过相关用户启动DDOS攻击防护流程，例如，在监测系统出现故障、监测系统维护中，或者关闭监测系统时，当目标资源发生DDOS攻击时，用户也可以人工去启动DDOS攻击防护流程。

本申请实施例中，对自动化运维设备如何监测DDOS攻击的方式不作具体限制，以及触发DDOS攻击防护的方式不作具体限制，根据实际场景进行判断选择。

S202、若是，则基于资源与DDOS攻击防护设备的对应关系，确定目标资源对应的目标防护设备管理系统，DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源。

该步骤中，资源与DDOS攻击防护设备的对应关系是预先在自动化运维设备上配置的，具体地，根据实际的部署场景，例如，以城市片区为单位，片区内的所有待防护的资源，由该片区内部署的防护设备管理系统进行防护，该防护设备管理系统通过管控DDOS攻击防护设备进行攻击流量的引流清洗，因此，预先将资源-防护设备管理系统-DDOS攻击防护设备的拓扑关系配置在自动化运维设备上，便于自动化运维设备根据拓扑关系去确定受攻击的目标资源对应的目标防护设备管理系统。

优选地，还可以根据拓扑关系，在防护设备管理系统和DDOS攻击防护设备中预先配置对应的资源，也就是说，在DDOS攻击到来之前，DDOS攻击防护设备的内存中已存储与该防护设备对应的资源。

S203、向目标防护设备管理系统发送清洗指令，目标防护设备管理系统用于向管理范围内的目标DDOS攻击防护设备转发清洗指令，目标DDOS攻击防护设备用于响应清洗指令，针对目标资源的流量进行引流，并基于预配置的针对目标资源的清洗策略进行流量清洗。

示例地，目标防护设备管理系统由各厂家提供，用于管控其管理范围内的目标DDOS攻击防护设备。例如，自动化运维设备下发清洗指令时，需先下发给目标防护设备管理系统，再由目标防护设备管理系统转发给管理范围内的目标DDOS攻击防护设备。

目标DDOS攻击防护设备接收到清洗指令后，可以读取目标DDOS攻击防护设备内存上存储的目标资源和清洗策略，将目标资源上的攻击流量引入到该目标DDOS攻击防护设备上。

可选地，内存上存储的清洗策略可以是全量清洗策略，可以适配不同的业务场景，可以理解为，在自动化运维设备监测到目标资源受到DDOS攻击时，自动化运维设备根据目标资源上的业务场景的特点自动挑选一个清洗策略随清洗指令下发给目标DDOS攻击防护设备，该清洗策略属于目标DDOS攻击防护设备内存上存储的清洗策略中的一个。

可选地，内存上存储的清洗策略还可以是默认清洗策略，也就是说，自动化运维设备不会根据目标资源上运行的业务场景选择不同的清洗策略，而是均使用默认清洗策略进行攻击流量的清洗。可以理解，该默认清洗策略通常是针对目标资源上最常用的业务场景指定的。

本申请实施例，在DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源，并且预配置针对目标资源的清洗策略，在触发针对目标资源的DDOS攻击防护时，无需再下发目标资源和针对目标资源的清洗策略给目标DDOS攻击防护设备，在一定程度上，缩短了防护流程的处理时长，并且，DDOS攻击防护设备接收到清洗指令后直接进行针对目标资源的流量引流和清洗，与相关技术中清洗指令下发后需要等待接收DDOS攻击防护设备反馈的应答指令，成功接收该应答指令后才下发引流指令给DDOS攻击防护设备进行流量的引流和清洗相比，简化防护流程，缩短防护流程的启动时长，实现快速响应，有效防护，尤其适用于DDOS攻击持续时间短但攻击流量大的场景。

在一些实施例中，确定触发针对目标资源的DDOS攻击防护的条件，可以包括：监测到目标资源受到DDOS攻击，或，获取到一键清洗指令。

示例地，通过监测目标资源上的数据流量特征或报文特征确定是否受到DDOS攻击，例如数据流量的大小、流量的来源或者流量的协议类型等特征，在数据流量的大小超过系统设置的阈值、解析流量的协议类型属于DDOS攻击范畴，或解析报文的类型属于DDOS攻击范畴，则确定目标资源受到DDOS攻击，进而启动DDOS攻击防护，即通过自动化监测目标资源上的数据流量特征来确定是否触发DDOS攻击防护。

需明确的是，本申请实施例对数据流量特征不作具体限定，不局限于上述列举的特征。

可选地，也可以是自动化运维设备接收到外界下发的一键清洗指令，例如，用户作用于自动化运维设备对应的客户端上交互界面的操作，通过交互界面上的按钮控件触发一键清洗功能，进而启动DDOS攻击防护，其中，客户端上的交互界面指自动化运维系统或自动化运维平台的WEB页面，在自动化运维设备上运行自动化运维系统或自动化运维平台。可以理解为，通过人工下发一键清洗指令来确定是否触发DDOS攻击防护。

本申请实施例，提供两种不同的方式均能实现触发针对目标资源的DDOS攻击防护，使得攻击防护方法的适用场景更加灵活，以不同的方式更加全面的保障目标资源的安全，保障业务运行的稳定性。

进一步地，清洗指令中携带清洗相关信息，目标防护设备管理系统用于根据清洗相关信息确定目标DDOS攻击防护设备，清洗相关信息包括防护设备数量，防护设备数量是根据攻击流量大小确定的。

示例地，自动化运维设备监测目标资源上的数据流量特征，确定攻击流量的大小，根据攻击流量的大小衡量所需的防护设备的数量，因此，向目标防护设备管理系统下发清洗指令时携带防护设备数量；目标防护设备管理系统可以按照负载均衡原则，或防护设备状态是否正常原则，等等，从管理范围内的DDOS攻击防护设备中调度合适的目标DDOS攻击防护设备执行引流清洗任务。

另外，若目标资源对应的目标防护设备管理系统是由多个厂家提供的，例如，受DDOS攻击的目标资源有十个，对应的目标防护设备管理系统有三个，即由三个厂家分别提供，当目标防护设备管理系统接收到清洗指令后，会根据指令中携带的防护设备的数量，统一协调管理范围内的DDOS攻击防护设备执行引流清洗任务。

本申请实施例，根据攻击流量的大小按需选择所需防护设备的数量，避免了防护资源的浪费，实现合理化调度，提高防护资源的利用率。另外，与相关技术中，由于每个厂家的DDOS防护设备存在一定的漏洞或底层问题，且DDOS防护设备存在容量上限，清洗能力存在不同的瓶颈，需要定期升级扩容，影响业务系统的稳定性相比，本申请实施例所述的方法，由自动化运维平台把控所需防护设备的数量，控制目标防护设备管理系统根据DDOS攻击防护设备的实际工作状态分担引流清洗任务，在一定程度上，降低了对单个DDOS防护设备的依赖性，从整体上保证了系统业务的稳定性。

可选地，清洗指令中还可以携带清洗策略，例如，监测目标资源上的攻击流量大小超过流量阈值时，自动启动DDOS攻击防护流程，自动化运维设备根据目标资源上运行的业务场景的特点，从自动化运维设备上存储的多个清洗策略中自动匹配与该业务场景对应的清洗策略，并作为默认清洗策略随清洗指令一并下发给目标防护设备管理系统，再由目标防护设备管理系统转发给目标DDOS攻击防护设备。

本申请实施例，在下发清洗指令时，根据业务场景从多个针对目标资源的清洗策略中自动选择与该业务场景匹配的清洗策略，实现了顶层处理流程和清洗策略自动化编排去适配业务系统场景的需求。

可选地，确定是否触发针对目标资源的DDOS攻击防护之前，还可以包括：在录入针对目标资源的资源相关信息后，下发资源相关信息至目标防护设备管理系统对应的DDOS攻击防护设备进行存储，资源相关信息包括目标资源的IP信息、清洗策略、清洗类型和清洗模式信息，清洗模式信息包括一键清洗、自动清洗和一键清洗对应的默认清洗策略。

其中，目标资源的IP信息可以包括资源IP和/或IP段，例如，目标资源的IP为：172.168.3.5、172.168.3.6、...、172.168.3.20，或，目标资源的IP为：192.168.1.2～192.168.1.255网段范围内的所有IP。

清洗类型包括近源清洗、近目的清洗和综合清洗中的一个，清洗类型与目标资源所在片区部署的网络架构相关，因此，在录入针对目标资源的资源相关信息时，清洗类型已经确定。

清洗策略是根据目标资源上常用的业务场景的特点制定的，因此，可以将清洗策略与业务场景进行绑定，也就是说，目标资源对应多个清洗策略，支持根据业务场景的不同选择与业务场景对应的清洗策略。

清洗模式信息包括一键清洗、自动清洗和一键清洗对应的默认清洗策略，一键清洗是通过人工触发的DDOS攻击防护，自动清洗是自动化运维设备监测到DDOS攻击时自动触发的DDOS攻击防护，在给自动化运维设备录入针对目标资源的清洗模式信息时，用户需要从多个清洗策略中指定其中的一个清洗策略为一键清洗模式的默认清洗策略，通常该默认清洗策略是目标资源上最常用的业务场景对应的清洗策略；自动清洗模式可以根据业务场景的不同自动匹配与业务场景对应的清洗策略作为默认清洗策略，无需用户指定。

将上述针对目标资源的资源相关信息录入自动化运维设备后，下发资源相关信息至目标防护设备管理系统对应的DDOS攻击防护设备进行存储。

本申请实施例，将目标资源的资源相关信息提前录入自动化运维设备，并在DDOS攻击到来前，下发给目标DDOS攻击防护设备，即将资源管理和清洗指令的下发流程统一编排，缩短引流清洗任务的启动时间，提升DDOS攻击防护时效性，另外，清洗策略是根据目标资源上常用的业务场景的特点制定的，即目标资源对应多个清洗策略，根据业务场景进行灵活选择，解决了相关技术中，使用单一的清洗策略进行流量的清洗，难以适应各类业务需求的问题。

在上述实施例的基础上，攻击防护方法还可以包括以下两种实现方式：

第一种、在监测到清洗策略发生变更时，向发生变更的清洗策略对应的DDOS攻击防护设备同步变更后的清洗策略。

示例地，在执行自动清洗模式的流量清洗任务时，相关用户发现清洗的效果并不理想，登录客户端上的自动化运维系统，在自动化运维系统的交互界面手动调整自动清洗的默认清洗策略，例如从针对目标资源的多个清洗策略中重新选择最适合当前业务场景的清洗策略作为默认清洗策略，默认清洗策略变更后会自动同步给发生变更的清洗策略对应的DDOS攻击防护设备，即目标DDOS攻击防护设备会根据变更后的清洗策略继续进行流量的清洗，优化流量清洗效果。

第二种、在监测到清洗策略发生变更时，同步变更一键清洗对应的默认清洗策略。

示例地，在人工调整自动清洗对应的默认清洗策略后，若自动化运维系统上一键清洗对应的默认清洗策略与自动清洗对应的默认清洗策略不一致，则会同步更新自动化运维系统上一键清洗对应的默认清洗策略为调整后的自动清洗对应的默认清洗策略。

本申请实施例，在监测到清洗策略发生变更时自动将变更后的清洗策略同步给对应的DDOS防护设备，实现对DDOS防护设备的自动化编排，并且针对自动清洗和一键清洗进行清洗策略的自动适配，即当自动清洗的默认清洗策略与一键清洗的默认清洗策略不一致时，一键清洗的默认清洗策略能够自适应的修改为自动防护清洗的默认清洗策略。

进一步地，在一些实施例中，攻击防护方法还包括：若资源相关信息发生变更，则向目标DDOS攻击防护设备同步变更后的资源相关信息。

具体地，资源相关信息发生变更，包括目标资源的IP信息、清洗策略、清洗类型和清洗模式信息中的任一个发生变更，清洗模式信息包括一键清洗、自动清洗和一键清洗对应的默认清洗策略。

由于资源相关信息是在DDOS攻击到来前，录入自动化运维系统和下发给目标DDOS攻击防护设备的，因此，在资源相关信息发生变更时，需要将最新的资源相关信息重新同步给目标DDOS攻击防护设备，以供目标DDOS攻击防护设备更新内存，在启动DDOS攻击防护时，根据更新后的资源相关信息进行流量清洗任务。

需要说明的是，如果在自动化运维系统的交互界面上删除目标资源的IP信息时，需要确保该目标资源上没有正在进行的引流任务，如果该目标资源上正在进行引流任务，需用户手动停止引流任务后，再进行删除目标资源的IP信息。

在一种可能的实施方式中，攻击防护方法还包括：接收来自目标防护设备管理系统的上报信息，上报信息包括清洗日志、清洗状态及告警信息中的至少一种，告警信息是目标防护设备管理系统在检测到目标DDOS攻击防护设备出现故障时发出的。

示例地，在启动一键清洗或自动清洗时，目标DDOS攻击防护设备进行攻击流量的引流与清洗，在该过程中，目标DDOS攻击防护设备将生成的清洗日志实时或周期性地上报给对应的目标防护设备管理系统，目标防护设备管理系统再将接收到的清洗日志上报给自动化运维设备；目标防护设备管理系统实时监测管理范围内的目标DDOS攻击防护设备的清洗状态，如果目标DDOS攻击防护设备出现故障，会通过接口将告警信息实时上传给自动化运维设备；相关用户通过登录自动化运维系统，可以在交互界面上查看针对目标DDOS攻击防护设备的清洗日志、清洗状态及告警信息。

可选地，在确定停止针对目标资源的DDOS攻击防护时，向目标防护设备管理系统发送清洗停止指令，以使目标DDOS攻击防护设备停止流量的引流与清洗，其中，确定停止针对目标资源的DDOS攻击防护的条件包括：接收到针对目标资源的清洗停止指令，以及，监测到针对目标资源的DDOS攻击停止。

示例地，相关用户通过在自动化运维系统的交互界面触发清洗停止按钮，实现下发针对目标资源的清洗停止指令，或者，在自动化运维系统(自动化运维设备)监测到目标资源上的数据流量不满足DDOS攻击的条件时，自动下发针对目标资源的清洗停止指令。在目标防护设备管理系统接收到清洗停止指令后，立即向自动化运维系统(自动化运维设备)返回已收到清洗停止指令的确认消息，并控制目标DDOS攻击防护设备停止流量的引流与清洗，在目标DDOS攻击防护设备停止清洗后，目标防护设备管理系统向自动化运维系统(自动化运维设备)发送清洗任务已停止的信息，对应地，自动化运维系统(自动化运维设备)向目标防护设备管理系统反馈已收到清洗任务已停止的确认消息。

本申请实施例，通过自动化运维设备统一管控不同厂家的防护设备管理系统，实时监测不同厂家的DDOS攻击防护设备的状态，实现对不同厂家的DDOS攻击防护设备的统一调度。

综上，本申请至少具有以下优势：

1、攻击防护方法应用于自动化运维设备上，通过自动化运维设备统一管控不同厂家的防护设备管理系统，能够通过接口下发清洗指令至不同厂家的DDOS攻击防护设备，DDOS攻击防护设备根据清洗指令执行相应的清洗任务，并反馈相应的执行结果至自动化运维设备，供用户通过自动化运维系统的前端界面查看。

2、在DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源，并且预配置针对目标资源的清洗策略，缩短防护流程的处理时长，并且，DDOS攻击防护设备接收到清洗指令后直接进行针对目标资源的流量的引流和清洗，简化防护流程，实现快速响应，有效防护，尤其适用于DDOS攻击持续时间短但攻击流量大的场景。

3、在监测到清洗策略发生变更时自动将变更后的清洗策略同步给对应的DDOS防护设备，实现对DDOS防护设备的自动化编排，并且针对自动清洗和一键清洗进行清洗策略的自动适配，即当自动清洗的默认清洗策略与一键清洗的默认清洗策略不一致时，一键清洗的默认清洗策略能够自适应的修改为自动防护清洗的默认清洗策略。

4、实现一键清洗和自动清洗的功能，并且可以针对资源的IP信息预配置清洗策略，并下发至DDOS攻击防护设备。

5、自动化运维设备集中管控不同厂家的DDOS攻击防护设备，对DDOS防护设备的数量无严格要求，只需对自动化运维设备进行扩容，即可实现与自动化运维设备对接的DDOS攻击防护设备动态增加。

图3为本申请一实施例提供的自动化运维系统的结构示意图，如图3所示，该自动化运维系统300包括：流程策略自动化编排301、集中控制器302、路由器303和路由器304。

其中：

流程策略自动化编排301，用于将资源相关信息管理与清洗指令下发的流程统一编排，缩短清洗任务的启动时间，提升DDOS攻击防护的时效性，以及，针对录入资源的IP信息和业务场景特点设置不同的清洗策略，实现一键清洗的默认清洗策略和自动清洗变更后的清洗策略进行自适应调整；

集中控制器302，用于对不同厂家的防护设备管理系统进行集中管控，在用户录入资源相关信息后，将资源的IP信息、清洗策略、清洗类型和清洗模式信息下发至厂家的防护设备管理系统，并接收厂家的防护设备管理系统返回的确认信息；

路由器303，用于在启动清洗任务时，接收集中控制器发送的清洗指令，并生成路由信息下发给路由器304；

路由器304，用于接收路由器303下发的路由信息，根据路由信息将遭受DDOS攻击的目标资源上的攻击流量引流至目标防护设备管理系统对应的DDOS攻击防护设备上进行清洗。

下述为本申请装置实施例，可以用于执行本申请方法实施例。对于本申请装置实施例中未披露的细节，请参照本申请方法实施例。

图4为本申请一实施例提供的攻击防护装置的结构示意图。如图4所示，攻击防护装置400包括：确定模块401和发送模块402。其中：

确定模块401，用于确定是否触发针对目标资源的DDOS攻击防护；若是，则基于资源与DDOS攻击防护设备的对应关系，确定目标资源对应的目标防护设备管理系统，DDOS攻击防护设备中预配置与DDOS攻击防护设备对应的资源；

发送模块402，用于向目标防护设备管理系统发送清洗指令，目标防护设备管理系统用于向管理范围内的目标DDOS攻击防护设备转发清洗指令，目标DDOS攻击防护设备用于响应清洗指令，针对目标资源的流量进行引流，并基于预配置的针对目标资源的清洗策略进行流量清洗。

在一种可能的实施方式中，确定触发针对目标资源的DDOS攻击防护的条件，包括：监测到目标资源受到DDOS攻击，或，获取到一键清洗指令。

在一种可能的实施方式中，清洗指令中携带清洗相关信息，目标防护设备管理系统用于根据清洗相关信息确定目标DDOS攻击防护设备，清洗相关信息包括防护设备数量，防护设备数量是根据攻击流量大小确定的。

在一种可能的实施方式中，攻击防护装置还包括处理模块403，处理模块403用于：确定是否触发针对目标资源的DDOS攻击防护之前，在录入针对目标资源的资源相关信息后，下发资源相关信息至目标防护设备管理系统对应的DDOS攻击防护设备进行存储，资源相关信息包括目标资源的IP信息、清洗策略、清洗类型和清洗模式信息，清洗模式信息包括一键清洗、自动清洗和一键清洗对应的默认清洗策略。

在一种可能的实施方式中，攻击防护装置还包括更新模块404，更新模块404用于：在监测到清洗策略发生变更时，向发生变更的清洗策略对应的DDOS攻击防护设备同步变更后的清洗策略；和/或，在监测到清洗策略发生变更时，同步变更一键清洗对应的默认清洗策略。

在一种可能的实施方式中，更新模块404还用于：在资源相关信息发生变更时，向目标DDOS攻击防护设备同步变更后的资源相关信息。

在一种可能的实施方式中，攻击防护装置还包括接收模块405，接收模块405用于：接收来自目标防护设备管理系统的上报信息，上报信息包括清洗日志、清洗状态及告警信息中的至少一种，告警信息是目标防护设备管理系统在检测到目标DDOS攻击防护设备出现故障时发出的。

在一种可能的实施方式中，发送模块402还用于：在确定停止针对目标资源的DDOS攻击防护时，向目标防护设备管理系统发送清洗停止指令，以使目标DDOS攻击防护设备停止流量的引流与清洗，其中，确定停止针对目标资源的DDOS攻击防护的条件包括：接收到针对目标资源的清洗停止指令，以及，监测到针对目标资源的DDOS攻击停止。

本申请实施例提供的攻击防护装置可以执行上述方法实施例所示的技术方案，其实现原理以及有益效果类似，此次不再进行赘述。

图5为本申请一实施例提供的电子设备的结构示意图。如图5所示，该电子设备500包括：至少一个处理器501和存储器502。其中，存储器502用于存储指令，处理器501用于调用存储器中的指令以执行如上述实施例提供的方法步骤，具体实现方式和技术效果类似，这里不再赘述。

可选地，存储器502既可以是独立的，也可以跟处理器501集成在一起。

存储器502可能包含随机存取存储器(Random Access Memory，简称RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。

处理器501可以是通用处理器，包括中央处理器、网络处理器(NetworkProcessor，简称NP)等；数字信号处理器(Digital Signal Processor，简称DSP)、专用集成电路(Application Specific Integrated Circuit，简称ASIC)、现场可编程逻辑门阵列(Field Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

可选地，该电子设备500还可以包括通信接口503。在具体实现上，如果通信接口503、存储器502和处理器501独立实现，则通信接口503、存储器502和处理器501可以通过总线相互连接并完成相互间的通信。系统总线可以是外设部件互连标准(PeripheralComponent Interconnect，简称PCI)总线或扩展工业标准结构(Extended IndustryStandard Architecture，简称EISA)总线等。该系统总线可以分为地址总线、数据总线、控制总线等，但并不表示仅有一根总线或一种类型的总线。

可选的，在具体实现上，如果通信接口503、存储器502和处理器501集成在一块芯片上实现，则通信接口503、存储器502和处理器501可以通过内部接口完成通信。

本实施例提供的电子设备的实现原理和技术效果可以参见前述各实施例，此处不再赘述。

本申请还提供一种计算机可读存储介质，计算机可读存储介质中存储有计算机执行指令，计算机执行指令被执行时用于实现如上述方法实施例中任一项所述的攻击防护方法，具体实现方式和技术效果类似，这里不再赘述。

本申请实施例还提供一种程序产品，该程序产品包含计算机执行指令。当计算机执行指令被执行时，以实现如上述方法实施例中的方法步骤，具体实现方式和技术效果类似，这里不再赘述。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本申请所必须的。

进一步需要说明的是，虽然流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

应该理解，上述的装置实施例仅是示意性的，本申请的装置还可通过其它的方式实现。例如，上述实施例中单元/模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。例如，多个单元、模块或组件可以结合，或者可以集成到另一个系统，或一些特征可以忽略或不执行。

另外，若无特别说明，在本申请各个实施例中的各功能单元/模块可以集成在一个单元/模块中，也可以是各个单元/模块单独物理存在，也可以两个或两个以上单元/模块集成在一起。上述集成的单元/模块既可以采用硬件的形式实现，也可以采用软件程序模块的形式实现。

集成的单元/模块如果以硬件的形式实现时，该硬件可以是数字电路，模拟电路等等。硬件结构的物理实现包括但不局限于晶体管，忆阻器等等。若无特别说明，处理器可以是任何适当的硬件处理器，比如CPU、GPU、FPGA、DSP和ASIC等等。若无特别说明，存储单元可以是任何适当的磁存储介质或者磁光存储介质，比如，阻变式存储器RRAM(ResistiveRandom Access Memory)、动态随机存取存储器DRAM(Dynamic Random Access Memory)、静态随机存取存储器SRAM(Static Random-Access Memory)、增强动态随机存取存储器EDRAM(Enhanced Dynamic Random Access Memory)、高带宽内存HBM(High-Bandwidth Memory)、混合存储立方HMC(Hybrid Memory Cube)等等。

集成的单元/模块如果以软件程序模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储器中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储器中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储器包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。上述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本申请的其它实施方案。本申请旨在涵盖本申请的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本申请的一般性原理并包括本申请未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本申请的真正范围和精神由下面的权利要求书指出。

应当理解的是，本申请并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本申请的范围仅由所附的权利要求书来限制。

Claims (10)

1.一种攻击防护方法，其特征在于，应用于自动化运维设备，所述自动化运维设备用于集中管控不同厂家的分布式拒绝服务DDOS攻击防护设备，所述攻击防护方法包括：

确定是否触发针对目标资源的DDOS攻击防护；

若是，则基于资源与DDOS攻击防护设备的对应关系，确定所述目标资源对应的目标防护设备管理系统，所述DDOS攻击防护设备中预配置与所述DDOS攻击防护设备对应的资源；

向所述目标防护设备管理系统发送清洗指令，所述目标防护设备管理系统用于向管理范围内的目标DDOS攻击防护设备转发所述清洗指令，所述目标DDOS攻击防护设备用于响应所述清洗指令，针对所述目标资源的流量进行引流，并基于预配置的针对所述目标资源的清洗策略进行流量清洗。

2.根据权利要求1所述的攻击防护方法，其特征在于，确定触发针对目标资源的DDOS攻击防护的条件，包括：监测到所述目标资源受到DDOS攻击，或，获取到一键清洗指令。

3.根据权利要求2所述的攻击防护方法，其特征在于，所述清洗指令中携带清洗相关信息，所述目标防护设备管理系统用于根据所述清洗相关信息确定所述目标DDOS攻击防护设备，所述清洗相关信息包括防护设备数量，所述防护设备数量是根据攻击流量大小确定的。

4.根据权利要求1至3中任一项所述的攻击防护方法，其特征在于，所述确定是否触发针对目标资源的DDOS攻击防护之前，还包括：

在录入针对所述目标资源的资源相关信息后，下发所述资源相关信息至所述目标防护设备管理系统对应的DDOS攻击防护设备进行存储，所述资源相关信息包括所述目标资源的IP信息、清洗策略、清洗类型和清洗模式信息，所述清洗模式信息包括一键清洗、自动清洗和所述一键清洗对应的默认清洗策略。

5.根据权利要求4所述的攻击防护方法，其特征在于，还包括：

在监测到清洗策略发生变更时，向发生变更的清洗策略对应的DDOS攻击防护设备同步变更后的清洗策略；

和/或，在监测到清洗策略发生变更时，同步变更所述一键清洗对应的默认清洗策略。

6.根据权利要求4所述的攻击防护方法，其特征在于，还包括：

若所述资源相关信息发生变更，则向所述目标DDOS攻击防护设备同步变更后的资源相关信息。

7.根据权利要求1至3中任一项所述的攻击防护方法，其特征在于，还包括：

接收来自所述目标防护设备管理系统的上报信息，所述上报信息包括清洗日志、清洗状态及告警信息中的至少一种，所述告警信息是所述目标防护设备管理系统在检测到所述目标DDOS攻击防护设备出现故障时发出的；

和/或，在确定停止针对所述目标资源的DDOS攻击防护时，向所述目标防护设备管理系统发送清洗停止指令，以使所述目标DDOS攻击防护设备停止流量的引流与清洗，其中，确定停止针对所述目标资源的DDOS攻击防护的条件包括：接收到针对所述目标资源的清洗停止指令，以及，监测到针对所述目标资源的DDOS攻击停止。

8.一种攻击防护装置，其特征在于，包括：

确定模块，用于确定是否触发针对目标资源的分布式拒绝服务DDOS攻击防护；若是，则基于资源与DDOS攻击防护设备的对应关系，确定所述目标资源对应的目标防护设备管理系统，所述DDOS攻击防护设备中预配置与所述DDOS攻击防护设备对应的资源；

发送模块，用于向所述目标防护设备管理系统发送清洗指令，所述目标防护设备管理系统用于向管理范围内的目标DDOS攻击防护设备转发所述清洗指令，所述目标DDOS攻击防护设备用于响应所述清洗指令，针对所述目标资源的流量进行引流，并基于预配置的针对所述目标资源的清洗策略进行流量清洗。

9.一种电子设备，其特征在于，包括：处理器，以及与所述处理器通信连接的存储器；

所述存储器，用于存储计算机执行指令；

所述处理器，用于执行所述计算机执行指令，以实现如权利要求1至7中任一项所述的攻击防护方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被执行时用于实现如权利要求1至7中任一项所述的攻击防护方法。