CN117857098A - 一种基于基数树的SYN Flood攻击防御系统 - Google Patents

一种基于基数树的SYN Flood攻击防御系统 Download PDF

Info

Publication number
CN117857098A
CN117857098A CN202311662213.6A CN202311662213A CN117857098A CN 117857098 A CN117857098 A CN 117857098A CN 202311662213 A CN202311662213 A CN 202311662213A CN 117857098 A CN117857098 A CN 117857098A
Authority
CN
China
Prior art keywords
attack
detection module
message
attack detection
syn
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311662213.6A
Other languages
English (en)
Inventor
姜少华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tianyi Cloud Technology Co Ltd
Original Assignee
Tianyi Cloud Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tianyi Cloud Technology Co Ltd filed Critical Tianyi Cloud Technology Co Ltd
Priority to CN202311662213.6A priority Critical patent/CN117857098A/zh
Publication of CN117857098A publication Critical patent/CN117857098A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02A—TECHNOLOGIES FOR ADAPTATION TO CLIMATE CHANGE
    • Y02A10/00—TECHNOLOGIES FOR ADAPTATION TO CLIMATE CHANGE at coastal zones; at river basins
    • Y02A10/40—Controlling or monitoring, e.g. of flood or hurricane; Forecasting, e.g. risk assessment or mapping

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于基数树的SYN Flood攻击防御系统，包括阈值检测模块、名单过滤模块和攻击检测模块；所述阈值检测模块用于对SYN报文进行PPS速率统计，并且根据PPS速率统计的结果控制攻击检测模块的开启和关闭；所述名单过滤模块用于保存攻击检测模块对SYN报文的检测结果，并且根据检测结果选择将SYN报文的源IP加入黑名单或白名单；所述攻击检测模块用于对不同种类的DDOS攻击进行综合考虑，并且对不同的攻击做出不同的检测和应对方法。本发明提出一种灵活、轻量、高性能的SYN Flood防御系统，该系统便于集成到云防火墙上发挥基本的抗D能力，随防火墙可大量部署，相当于每一台防火墙都能抵御SYN Flood攻击，不容易被单点攻破，增强云环境的鲁棒性。

Description

一种基于基数树的SYN Flood攻击防御系统
技术领域
本发明涉及网络安全技术领域，尤其涉及一种基于基数树的SYN Flood攻击防御系统。
背景技术
近年来DDOS(分布式拒绝服务攻击，Distributed Denial of Service，DDOS)攻击的数量和威胁逐渐增大，其利用了客户端/服务器技术，源攻击者将网络中众多代理服务器联合起来组成僵尸网络，共同对受害目标发起攻击。DDOS攻击形式多种多样，随着技术的发展也越来越复杂，变化越来越多端。
现有技术下，SYN Flood(TCP半开放泛洪)攻击是DDOS攻击最普通最常见的形式，防火墙如果做DDOS攻击防御功能，首先应该具备SYN Flood防攻击能力，但是，目前的SYNFlood攻击防御，大多数都集合到了专业的抗D设备中(指专业的抗DDOS攻击的防御设备)，这种设备部署到网络需要对其进行提前规划；另外云环境下，所有流量需先流经抗D设备进行清洗，容易形成单点瓶颈；也有少量把抗D系统(含SYN Flood攻击防御功能)集成到云防火墙的产品，但是这些产品里的抗D系统对云防火墙自身来说，又过于臃肿，大多不够灵活简便。
发明内容
本部分的目的在于概述本发明的实施例的一些方面以及简要介绍一些较佳实施例。在本部分以及本申请的说明书摘要和发明名称中可能会做些简化或省略以避免使本部分、说明书摘要和发明名称的目的模糊，而这种简化或省略不能用于限制本发明的范围。
鉴于上述现有技术下存在的问题，提出了本发明。
为解决上述技术问题，本发明提供如下技术方案：
一种基于基数树的SYN Flood攻击防御系统，包括阈值检测模块、名单过滤模块和攻击检测模块；
所述阈值检测模块用于对SYN报文进行PPS速率统计，并且根据PPS速率统计的结果控制攻击检测模块的开启和关闭；
所述名单过滤模块用于保存攻击检测模块对SYN报文的检测结果，并且根据检测结果选择将SYN报文的源IP加入黑名单或白名单；
所述攻击检测模块用于对不同种类的DDOS攻击进行综合考虑，并且对不同的攻击做出不同的检测和应对方法。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，所述阈值检测模块综合考虑日志和统计，若PPS速率没有超过阈值，则不开启攻击检测模块，若PPS速率超过阈值，则开启攻击检测模块。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，所述名单过滤模块设置有黑名单和白名单，所述名单过滤模块基于基数树的IP地址查找名单，若SYN报文经攻击检测模块判定为攻击报文，则将该报文的源IP加入名单过滤模块的黑名单，若报文经攻击检测模块判定为正常报文，则将该报文的源IP加入名单过滤模块的白名单。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，匹配所述黑名单的报文直接丢弃，未匹配所述黑名单的报文进入下一业务点，黑名单的业务点维护黑名单表项，首个匹配黑名单的报文会建立统计节点，后续报文每匹配一次统计数据会随之增加一次，匹配所述白名单的报文被标记为“不许攻击检测模块检测”，直接绕过攻击检测模块。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，基数树IP地址的每个节点包含user_date，基数树IP地址包含了单个IP以及整个网段。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，所述攻击检测模块支持典型泛洪攻击，并且所述攻击检测模块支持上报告警日志、丢弃报文、源认证和加入黑名单的防御手段。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，所述攻击检测模块支持创建、删除及查看攻击防御策略，所述攻击检测模块按照策略来组织规则。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，所述攻击检测模块支持按照攻击类别分别创建、删除、修改查看攻击检测与防御规则防御策略中具体的检测及防御规则，所述攻击检测模块根据DDOS攻击类别的不同，可以分别进行设置。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，所述攻击检测模块支持查看并清除攻击统计数据，所述攻击检测模块支持查看防御策略所应用的攻击统计数据。
作为本发明所述一种基于基数树的SYN Flood攻击防御系统的一种优选方案，其中，所述攻击检测模块支持查看代理保护IP、信任IP及黑名单表项，且所述攻击检测模块支持TCP源认证、DNS源认证及HTTP源认证功能。
本发明的有益效果：
本发明提出一种灵活、轻量、高性能的SYN Flood防御系统，该系统便于集成到云防火墙上发挥基本的抗D能力，随防火墙可大量部署，相当于每一台防火墙都能抵御SYNFlood攻击，不容易被单点攻破，增强云环境的鲁棒性，另外该系统实现了抗DDOS的基本框架，框架虽然轻量级，但是“麻雀虽小，五脏俱全”，具备可拓展性，后期还可以实现其他攻击方式的防御，例如ICMP Flood(ICMP泛洪攻击)、UDP Flood(UDP泛洪攻击)的能力，最后，基于DPDK(数据平台开发套件，Data Plane Development Kit，DPDK)的编程优化手段、以及基于基数树的高效查找优化，显示了本系统的高性能。实测发现，本系统性能优于同类其他产品。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。其中：
图1为系统整体架构示意图；
图2为阈值检测模块PPS算法流程图；
图3为阈值检测模块处理流程图；
图4为黑名单业务点示意图；
图5为基于基数树的名单数据结构示意图；
图6为TCP三次握手示意图；
图7为cookie+proxy报文处理流程图；
图8为SYN Flood攻击防御系统示意图；
图9为开启抗D前后防火墙新建性能表格图；
图10为开启抗D前后防火墙吞吐性能表格图。
具体实施方式
为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合说明书附图对本发明的具体实施方式做详细的说明。
在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其他不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施例的限制。
其次，此处所称的“一个实施例”或“实施例”是指可包含于本发明至少一个实现方式中的特定特征、结构或特性。在本说明书中不同地方出现的“在一个实施例中”并非均指同一个实施例，也不是单独的或选择性的与其他实施例互相排斥的实施例。
再其次，本发明结合示意图进行详细描述，在详述本发明实施例时，为便于说明，表示器件结构的剖面图会不依一般比例作局部放大，而且所述示意图只是示例，其在此不应限制本发明保护的范围。此外，在实际制作中应包含长度、宽度及深度的三维空间尺寸。
参照图1-10，本发明提供了一种基于基数树的SYN Flood攻击防御系统，包括阈值检测模块、名单过滤模块和攻击检测模块；
阈值检测模对SYN报文进行PPS(包/秒，Packet Per Second，PPS)速率统计，若速率没有超过阈值，则不开启攻击检测模块；若超过阈值，则开启攻击检测模块，例如，攻击检测模块的SYN Flood防御子模块会对TCP握手报文进行攻击检测；
名单过滤模块保存的是最近攻击检测模块对报文的检测结果，例如若某报文经攻击检测模块判定为攻击报文，则将该报文的源IP加入名单过滤模块的黑名单，下次包含相同源IP的报文被接收时，首先查询黑名单，如果在黑名单中，则直接丢弃，白名单功能则相反，若某报文经攻击检测模块判定为正常报文，则将该报文的源IP加入名单过滤模块的白名单，下次包含相同源IP的报文被接收时，经查询后发现在白名单，则后面的攻击检测模块不必对该报文进行攻击检测，名单过滤模块的好处是让系统具有记忆功能，不必对已经判定过的报文进行重复判定，浪费计算资源；
攻击检测模块用于对不同种类的DDOS攻击进行综合考虑，DDOS的攻击多种多样，以泛洪攻击为例包含了SYN Flood攻击、UDP Flood攻击、ICMP Flood攻击以及DNS攻击，攻击检测模块对以上的几种攻击还有一些单包的攻击等都进行了考虑，不同的攻击有不同的检测和应对方法，如验证源IP地址的合法性、对异常的流量进行丢弃，从而实现对DDOS攻击的防御。
计算报文PPS的算法如图2所示，该算法计算的频率有赖于报文PPS的速率，若业务正常无攻击，则PPS速率很低，计算的频率就低，对计算资源消耗就低，若PPS速率高，计算频率就更高，计算结果更新频繁，另外，算法没有启动周期性定时器，也不会浪费定时器资源。
整个阈值检测模块的处理流程如图3所示，可以看到，我们实现的阈值检测模块综合考虑了日志和统计，当阈值出发后，提供多种可选的操作用户根据自己的实际情况，是选择直接丢弃还是送去攻击检测模块做检测或者是仅仅发送日志，对报文进行放通。
黑名单业务点如图4所示，匹配黑名单的报文直接丢弃，未匹配黑名单的报文进入下一业务点。黑名单业务点维护黑名单表项，首个匹配黑名单的报文会建立统计节点，后续报文每匹配一次统计数据会随之增加一次，白名单的业务点和黑名单的业务点流程相似，区别是黑名单匹配后丢弃，白名单匹配后将报文标记为“不许攻击检测模块检测”，直接绕过攻击检测模块。
名单过滤模块基于基数树的IP地址查找名单，基数树是一种用于快速检索字符串的数据结构，它的核心思想是利用字符串中字符之间的关系，将相同前缀的字符串合并在一起存储，以便进行高效的查询，基数树的每个节点都代表一个字符串前缀，从根节点开始沿着树形结构向下移动，可以得到越来越长的字符串前缀。如果某个节点代表的字符串是某个目标字符串的前缀，则该节点被称为“叶子节点”，并且可以存储额外的信息，如该字符串的出现次数、位置等，由于基数树利用了字符串的共同前缀，因此它非常适合用于字符串搜索和匹配。例如，可以使用基数树来实现词典或自动补全功能。同时，基数树还具有空间效率高、插入和删除操作快等优点，同理，IP地址也含有大量相同的前缀，如果将IP地址存储成二进制树的话，例如一个IPV4地址是四个字节，那就需要32个比特位来存储，便可以构造如如图5所示的基数树。
对每个节点来说，它的查找路径是IP地址前面相同的比分，它的两个子节点是不同的开始，因为二进制只有0和1，所以该树也是二叉树，我们可以看到，树的深度是32，所以查找最多也就是32次，因此比hash表要快的多。不仅如此，hash表还要考虑地址散列的设计，性能非常依赖设计的结果，不够稳定，实现的基数树大致原理如图5所示，不过，还定制了更细致的功能：1、每个节点包含了user_date，用于匹配到节点之后，利用该数据做一些统计的工作，以便提供给日志系统，用于提示用户发生攻击的IP、时间、程度等信息。便于用户和管理员寻找到攻击特征进行更进一步的操作。2、在查找匹配的时候提供多种匹配方式；IP地址包含了单个IP或者整个网段。当用户配置白名单时，可能配置单个的IP，例如192.168.128.100/32，表示仅仅跳过这个IP的攻击检测；也可能配一个网段，例如192.168.128.0/24，表示跳过这个网段的攻击检测。当有报文经过系统时，如果该IP落在用户配置的某个网段内，也会返回命中。因此匹配方式就分为两种，对应单个IP的是精确匹配，对应网段的是网段匹配。3、池化Node。池化可优化树节点Node的创建删除速度，对Node这种固定大小的内存，可以提前申请出一批初始化好，利用DPDK的池化功能进行组织，当申请时向内存池申请，释放时向内存池释放内存。避免了向内存管理申请，提升了速度。不过这是以时间换空间的方法，需要注意内存的使用量。
攻击检测模块是本系统的主要模块，业务会涉及到其他的所有模块。对该模块的功能树梳理如下：1、支持典型泛洪攻击，要求系统能够检测ICMP Flood攻击、SYN Flood攻击、DNS Flood和HTTP Flood攻击，以上四种攻击是典型的DDoS攻击且在所有的DDoS攻击中应用最为广泛，所以系统选取这四种攻击进行分析检测。2、支持上报告警日志、丢弃报文、源认证和加入黑名单的防御手段，当系统运行在不同的网络环境与时间段时，用户有权利设置不同的防御手段。当防火墙面对超大流量攻击报文时，容易造成设备瘫痪无法应对其他正常的连接，此时可以选择直接丢弃此种类型攻击报文；当网络仅在某些时段超出了正常流量范围时无法直接判定报文为攻击行为并将其丢弃，此时可以设置源认证方式验证源端真实性，如果验证成功，则将客户端加入信任IP列表，若验证失败则将客户端IP加入黑名单，丢弃来自该IP的后续报文；最后，系统也支持不设置任何防御措施，而是仅上报攻击告警日志。3、支持创建、删除及查看攻击防御策略，系统按照策略来组织规则，要求系统可以创建足够数量的防御策略，不同的防御策略之间通过名称进行区分。4、支持按照攻击类别分别创建、删除、修改查看攻击检测与防御规则防御策略中具体的检测及防御规则。根据DDoS攻击类别的不同，可以分别进行设置。这意味着功能1中的四种攻击方式可以分别设置对应的检测阈值与防御动作。系统支持对已配置的策略内容执行实时删除、修改及查看操作。5、支持查看并清除攻击统计数据，支持查看防御策略所应用的攻击统计数据，统计字段包括攻击类型、攻击次数及丢包数量。通过统计数据查看整体受攻击情况，为方便查看并分析统计数据应支持清除接口攻击统计数据功能。6、支持查看代理保护IP、信任IP及黑名单表项，系统支持TCP源认证、DNS源认证及HTTP源认证功能，而防火墙作为客户端与服务器之间的代理设备，只有在检测到攻击时才会对报文进行代理，其他的报文只是做正常的转发动作。当报文通过代理进行验证时，会生成黑白名单IP表项，表项内容均为动态添加，名单表项具有老化时间，当超出时间后，会触发系统重新对其进行验证。
最后介绍本系统应对最典型的SYN Flood攻击的防御方案。
在TCP三次握手过程中，客户端向服务器发送一个SYN包，服务器接收到后回应一个SYN+ACK包，客户端再回应一个ACK包，从而完成了连接建立过程。而攻击者会通过发送大量的伪造IP地址的SYN包，使得服务器被迫保存大量半连接状态的信息，导致资源耗尽或者拒绝服务。
SYN Cookie技术是一种用于防范TCP SYN Flood攻击的技术。SYN Cookie技术的核心思想是，服务器只在接收到正常的SYN报文时才进行连接处理，而在接收到异常的SYN报文时，不存储任何半连接信息，而是根据该报文信息计算出一份加密数据(Cookie)返回给客户端，并在接下来的通信中要求客户端验证该Cookie的正确性，只有在验证成功后才能继续建立连接。这样可以避免服务器暴露大量的半连接状态信息，从而有效地抵御SYNFlood攻击。
Proxy技术则是通过代理服务来实现网络安全保护。代理服务器(对本系统来说，是防火墙)位于网络边界上，对网络进行访问控制、流量过滤、数据加密等操作，从而保障内部网络的安全。同时，代理服务器还可以对外部网络进行缓存，提高内部网络的访问速度和效率。
综合使用SYN cookie和proxy技术可以有效地保护网络安全。在防范DDoS攻击方面，SYN cookie可以有效地减轻服务器的负担，而proxy技术可以通过访问控制和流量过滤来防止攻击者进入内部网络。如下是示意图显示了cookie技术和proxy联合应用之后的报文处理流程：
如图7所示，syn proxy正常请求有四个阶段，如下步骤：
1、client发送SYN；2、proxy返回包时，序列号seq由SYN cookie算法生成；3、当client返回ACK报文时,反解seq,如果cookie和算法匹配，那么就是正常流量；4、proxy向server发送SYN报文；5、proxy收到来自server的SYN+ACK报文，并透传窗口大小；6、由于经过proxy，还需要记录seq差值delta；7、数据交互通信，除了正常的安全检查，还要补偿seqdelta；8、连接关闭，正常清理。
SYN Flood攻击检测的业务流程如图8所示，以上分别介绍了阈值检测模块、名单过滤系统、攻击检测模块的相关数据结构、算法、业务点、流程。可以看出本系统子模块拆分合理，可拓展性强；轻量级，便于集成到云防火墙中，尤其是虚拟机防火墙，最后是评价应对SYN Flood攻击的防御能力的性能指标。主要包括以下几个方面：连接速率：即每秒钟可以建立多少TCP连接。同时连接数：即同时可以处理多少个TCP连接。带宽吞吐量：即可以处理多少Mbps或Gbps的流量。内存使用率：即在处理高负载情况下，所占用的内存资源。
对本系统进行测试，结果如图9和图10所示，需要说明的是，开启抗D后的流量，都会经过代理proxy，也就是测试了最坏的情况，我们可以看见，在攻击流量比较小的时候，开启抗D性能下降不明显，当流量逼近极限后(44000/s新建)，性能占比下降增大，不过依然在开启前的80％左右，满足使用场景，除此之外，也可见本系统对吞吐无影响，这是因为，当TCP链接建立之后，DDOS防御便不介入了，因此，开启前后性能大致一样。
应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (10)

1.一种基于基数树的SYN Flood攻击防御系统，其特征在于，包括阈值检测模块、名单过滤模块和攻击检测模块；
所述阈值检测模块用于对SYN报文进行PPS速率统计，并且根据PPS速率统计的结果控制攻击检测模块的开启和关闭；
所述名单过滤模块用于保存攻击检测模块对SYN报文的检测结果，并且根据检测结果选择将SYN报文的源IP加入黑名单或白名单；
所述攻击检测模块用于对不同种类的DDOS攻击进行综合考虑，并且对不同的攻击做出不同的检测和应对方法。
2.根据权利要求1所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，所述阈值检测模块综合考虑日志和统计，若PPS速率没有超过阈值，则不开启攻击检测模块，若PPS速率超过阈值，则开启攻击检测模块。
3.根据权利要求1所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，所述名单过滤模块设置有黑名单和白名单，所述名单过滤模块基于基数树的IP地址查找名单，若SYN报文经攻击检测模块判定为攻击报文，则将该报文的源IP加入名单过滤模块的黑名单，若报文经攻击检测模块判定为正常报文，则将该报文的源IP加入名单过滤模块的白名单。
4.根据权利要求3所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，匹配所述黑名单的报文直接丢弃，未匹配所述黑名单的报文进入下一业务点，黑名单的业务点维护黑名单表项，首个匹配黑名单的报文会建立统计节点，后续报文每匹配一次统计数据会随之增加一次，匹配所述白名单的报文被标记为“不许攻击检测模块检测”，直接绕过攻击检测模块。
5.根据权利要求3所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，基数树IP地址的每个节点包含user_date，基数树IP地址包含了单个IP以及整个网段。
6.根据权利要求1所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，所述攻击检测模块支持典型泛洪攻击，并且所述攻击检测模块支持上报告警日志、丢弃报文、源认证和加入黑名单的防御手段。
7.根据权利要求1所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，所述攻击检测模块支持创建、删除及查看攻击防御策略，所述攻击检测模块按照策略来组织规则。
8.根据权利要求1所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，所述攻击检测模块支持按照攻击类别分别创建、删除、修改查看攻击检测与防御规则防御策略中具体的检测及防御规则，所述攻击检测模块根据DDOS攻击类别的不同，可以分别进行设置。
9.根据权利要求1所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，所述攻击检测模块支持查看并清除攻击统计数据，所述攻击检测模块支持查看防御策略所应用的攻击统计数据。
10.根据权利要求1所述的一种基于基数树的SYN Flood攻击防御系统，其特征在于，所述攻击检测模块支持查看代理保护IP、信任IP及黑名单表项，且所述攻击检测模块支持TCP源认证、DNS源认证及HTTP源认证功能。
CN202311662213.6A 2023-12-06 2023-12-06 一种基于基数树的SYN Flood攻击防御系统 Pending CN117857098A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311662213.6A CN117857098A (zh) 2023-12-06 2023-12-06 一种基于基数树的SYN Flood攻击防御系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311662213.6A CN117857098A (zh) 2023-12-06 2023-12-06 一种基于基数树的SYN Flood攻击防御系统

Publications (1)

Publication Number Publication Date
CN117857098A true CN117857098A (zh) 2024-04-09

Family

ID=90540877

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311662213.6A Pending CN117857098A (zh) 2023-12-06 2023-12-06 一种基于基数树的SYN Flood攻击防御系统

Country Status (1)

Country Link
CN (1) CN117857098A (zh)

Similar Documents

Publication Publication Date Title
US11516181B2 (en) Device, system and method for defending a computer network
US10084752B2 (en) Hybrid hardware-software distributed threat analysis
US8296842B2 (en) Detecting public network attacks using signatures and fast content analysis
US7706378B2 (en) Method and apparatus for processing network packets
US20140157405A1 (en) Cyber Behavior Analysis and Detection Method, System and Architecture
US9270643B2 (en) State-transition based network intrusion detection
US20070245417A1 (en) Malicious Attack Detection System and An Associated Method of Use
Wang et al. Decoupling malicious interests from pending interest table to mitigate interest flooding attacks
US20050278779A1 (en) System and method for identifying the source of a denial-of-service attack
US20050216764A1 (en) Systems and methods for dynamic threat assessment
US7617526B2 (en) Blocking of spam e-mail at a firewall
JP4774307B2 (ja) 不正アクセス監視装置及びパケット中継装置
Wang et al. Detecting and mitigating interest flooding attacks in content‐centric network
Trabelsi et al. Improved session table architecture for denial of stateful firewall attacks
Alhisnawi et al. Detecting and mitigating DDoS attack in named data networking
JP4743901B2 (ja) ネットワーク上での不正なスキャンニングを検出するための方法、システムおよびコンピュータ・プログラム
Li et al. Network-based and attack-resilient length signature generation for zero-day polymorphic worms
Ben-Porat et al. On the vulnerability of hardware hash tables to sophisticated attacks
US20230367875A1 (en) Method for processing traffic in protection device, and protection device
CN115017502A (zh) 一种流量处理方法、及防护系统
US7957372B2 (en) Automatically detecting distributed port scans in computer networks
CN117857098A (zh) 一种基于基数树的SYN Flood攻击防御系统
Artan et al. Multi-packet signature detection using prefix bloom filters
Sen Performance characterization & improvement of snort as an IDS
Chen Aegis: An active-network-powered defense mechanism against ddos attacks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination