CN1941775A

CN1941775A - 一种防止网络消息攻击的方法及设备

Info

Publication number: CN1941775A
Application number: CN 200610036584
Authority: CN
Inventors: 于勇
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2006-07-19
Filing date: 2006-07-19
Publication date: 2007-04-04

Abstract

本发明公开了一种防止网络消息攻击的方法，包括：统计接收到的具有同一地址信息的网络消息的到达速率；判断到达速率是否大于限制速率，如果是，则丢弃网络消息；否则允许网络消息通过。本方法属于网络安全技术，应用于防止以具有同一IP地址信息的网络消息短时间内大量涌入为特征的网络攻击。同时，本发明还公开了一种防止网络消息攻击的设备。

Description

一种防止网络消息攻击的方法及设备

技术领域

本发明涉及网络安全技术，尤其涉及一种防止快速大流量网络消息攻击的方法及设备。

背景技术

以太网是一种标准开发、高性能、低价格、众多厂商支持的LAN(局域网)技术，是LAN网络中最常用的组网技术。以太网是一种广播网络，ARP(地址解析协议)是以太网上数据交互的重要协议，大部分的以太网数据交换都是伴随着ARP报文开始的。ARP请求(Request)报文在以太网的同一网段内以广播的方式查询某个IP地址对应的MAC地址，并根据这个IP地址对应的设备回应的响应(Reply)报文学习三层IP地址与二层MAC地址的对应关系，以实现两者之间的动态映射。ARP协议是任何以太网设备都支持的协议。

运行在二层以太网络上的ARP协议是一个开放的协议，开放性导致以太网是一个脆弱的网络。随着以太城域网的迅猛发展，大量的个人用户通过以太网接入Internet。随之而来的，网络上通过ARP报文和网段扫描攻击的黑客和病毒多起来，能够防范这些攻击就成为运营商和企业网用户非常重视的功能。

ARP报文比较简单，构造也比较容易，网络黑客可以通过ARP报文发送工具(报文发送工具比较容易获取)快速向设备发送大流量的ARP报文，这些ARP报文或者其目的IP地址为网关IP地址，或者这些ARP报文是由源目的IP地址变换而来的。对于接收报文的路由器或者三层交换机，ARP报文的处理往往是通过CPU而不是转发引擎进行处理的。对于这些集中式设备，CPU处理能力往往不强，大量的攻击报文会导致CPU繁忙而不能正常处理其他协议报文从而引起网络异常；而对于分布式设备，接口板上的转发引擎能力较强，会把这些ARP报文上送到接口板或者是主控板上的CPU进行处理，同样会引起这些CPU繁忙而不能正常处理其他协议报文。除了上述的ARP报文攻击之外，还有类似的网段扫描攻击(比如说冲击波病毒)，这一类攻击往往不是通过ARP报文产生的，而是通过遍历网段访问可能并不存在的用户产生的。因为大部分的以太网数据交换都是伴随着ARP报文开始的，所以访问没有对应ARP表项的目的IP地址会导致设备发送ARP请求报文，而发送ARP报文是通过CPU进行的，对CPU的消耗比较大，大量的遍历访问并不存在的目的地会导致CPU忙于发送ARP请求而影响正常业务的处理。可以看出，上述这两种攻击有一个共同的特点：在短时间内网络设备(包括集中式设备和分布式设备)将处理大量的网络消息(ARP报文或网段扫描产生的信息)，而这些本质为病毒或黑客攻击的网络消息会消耗大量的处理资源，引起网络速度变慢甚至瘫痪。

现有技术中防止这种攻击主要包括下述方法：

1、对于集中式设备，ARP报文(或网段扫描产生的发送ARP报文的消息，在背景技术中下同)往往是通过报文队列缓存的，对于超过队列长度的报文会被丢弃掉，通过控制队列的长度可以减小ARP报文攻击。

2、对于分布式设备，转发引擎上送报文往往通过漏桶进行控制，漏桶的原理如下：令牌桶可以想象成是一个容量固定的容器，按照规定的速度(这个速度可以配置)向桶中存放令牌，ARP报文通过的时候需要看令牌桶中有没有令牌，如果有足够的令牌时，则按规定的速率均匀地向外发送报文，否则丢弃报文。通过漏桶，可以限制上送报文的速率。

可以看出，上述的两种解决方法具有同样的缺点：对于短时间内大量涌现的具有同一地址信息的报文或消息(可以通称为网络消息)无法辨识，对于这些报文或消息的地址信息不加以区别就进行速率控制，使得高速率(即短时间内大量涌现)的具有同一地址信息的报文或消息(往往这些报文是病毒或黑客攻击)的处理与正常的报文或消息的处理方法一样，因此导致正常报文或消息被丢弃或被挤掉，而达不到防止攻击的目的。

发明内容

本发明的目的在于提供一种防止网络消息攻击的方法及设备，用以解决具有同一地址信息的网络消息短时间内大量涌现而导致的网络异常问题。

本发明一方面提供了一种防止网络消息攻击的方法，包括：(A)统计接收到的具有同一地址信息的网络消息的到达速率；(B)判断所述到达速率是否大于限制速率，如果是，则(C)丢弃所述网络消息；否则(D)允许所述网络消息通过。

优选地，所述步骤(A)包括：(A1)取出所述网络消息的地址信息；(A2)判断该地址是否为首次到达，如果是，则(A3)将历史时间戳记录为系统当前时间并将累加器置1；否则(A4)利用所述历史时间戳、系统当前时间和累加器确定到达速率。

优选地，所述步骤(A)包括：(A1)取出所述网络消息的地址信息；(A2)判断该地址是否为首次到达，如果是，则(A3)启动定时器，并将累加器置1后返回步骤(A1)；否则(A4)判断定时器是否结束，如果是，则(A5)根据定时器和累加器确定到达速率；否则(A6)累加器累加1，返回步骤(A1)。

本发明另一方面提供了一种防止网络消息攻击的设备，包括：统计单元，用于统计接收到的具有同一地址信息的网络消息的到达速率；与所述统计单元藕接的判断单元，用于判断所述到达速率是否大于限制速率，产生肯定结果或否定结果；与所述判断单元藕接的与所述肯定结果相关的丢弃单元，用于丢弃所述网络消息；与所述判断单元藕接的与所述否定结果相关的通过单元，用于允许所述网络消息通过。

优选地，所述统计单元包括：获取单元，用于取出所述网络消息的地址信息；与所述获取单元藕接的第二判断单元，用于判断该地址是否为首次到达，产生第二肯定结果或第二否定结果；与所述第二判断单元藕接的与所述第二肯定结果相关的设置单元，用于将历史时间戳记录为系统当前时间并将累加器置1；与所述第二判断单元藕接的与所述第二否定结果相关的确定单元，用于利用历史时间戳、系统当前时间和累加器确定到达速率。

优选地，所述统计单元包括：获取单元，用于取出所述网络消息的地址信息；与所述获取单元藕接的第二判断单元，用于判断该地址是否为首次到达，产生第二肯定结果或第二否定结果；与所述第二判断单元藕接的与所述第二肯定结果相关的启动单元，用于启动定时器，并将累加器置1后返回获取单元；与所述第二判断单元藕接的与所述第二否定结果相关的第三判断单元，用于判断定时器是否结束，产生第三肯定结果或第三否定结果；与所述第三判断单元藕接的与所述第三肯定结果相关的确定单元，用于根据定时器和累加器确定到达速率；与所述第三判断单元藕接的与所述第三否定结果相关的累加单元，用于使累加器累加1，并返回获取单元。

根据本发明提供的一种防止网络消息攻击的方法，与现有技术相比，增加了对具有同一地址信息的网络消息的到达速率进行统计，并与事先配置好的限制速率相比较，对于速率过大的同一地址网络消息进行丢弃处理，从而保证能够过滤掉在短时间内大量涌现的具有同一地址信息的网络消息，对于发生攻击时出现的一秒钟内发送几百乃至上千的网络消息(例如ARP请求消息)能够有效过滤，从而达到防止攻击的目的。

根据本发明提供的一种防止网络消息攻击的设备是执行上述方法的设备，其优点与该方法的优点一致，在此不再赘述。

附图说明

图1为本发明提供的一种防止网络消息攻击的设备的第一实施例的框图；

图2为本发明提供的一种防止网络消息攻击的方法的流程图；

图3为本发明提供的一种防止网络消息攻击的方法的一个实施例的部分流程图；

图4为本发明提供的一种防止网络消息攻击的设备的第二实施例的框图；

图5为本发明提供的一种防止网络消息攻击的方法的第二实施例的部分流程图。

具体实施方式

参考图1，图示了为本发明提供的一种防止网络消息攻击的设备的一个实施例的框图。如图所示，设备500包括统计单元510、与该统计单元510藕接的判断单元520、与该判断单元520藕接的通过单元530和丢弃单元540，此外，还包括与所述判断单元520藕接的配置单元550。

参考图2和图1，图2图示了本发明提供的一种防止网络消息攻击的方法的流程。图2所示的方法可以通过图1所示的设备500来实现，因此，对于图2的说明即是对图1中各单元功能的说明。参考图2，所述方法开始步骤后进入：

步骤100：统计接收到的具有同一地址信息的网络消息的到达速率；

值得说明的是，所述网络消息可以是ARP报文，也可以是网段扫描产生的消息。这些网络消息中具有地址信息，例如源IP地址、目的IP地址。还有的消息中不但具有源目的IP地址，还同时具有标识私网网络的标记符(简称私网标记符)。统计时，可以按不同的精度要求按不同的地址信息组合来统计。例如：1、按网络消息的源IP地址统计；2、按网络消息的目的IP地址统计；3、按网络消息的源IP地址+目的IP地址统计；4、按网络消息的源IP地址+私网标记符统计；5、按网络消息目的IP地址+私网标记符统计；6、按网络消息源IP地址+目的IP地址+私网标记符统计。当然，如果还有其它标识网络消息的来源和目的的信息也可以放入到组合中以提高统计的精度。

步骤100由所述统计单元510执行。

步骤200：判断所述到达速率是否大于限制速率，如果是，则转步骤400，如果否则转步骤300；

此步骤由所述判断单元520执行。限制速率可以事先通过所述配置单元550配置好，通过比较到达速率和限制速率可以做出判断。值得说明的是，这一步骤还可以有好多变形，例如比较到达速率的倒数和限制速率的倒数，但这些变形都属于本领域普通技术人员不用付出创造性劳动就能够得到的规避手段，因此也当然包括在本发明的限定范围内。

步骤300：允许所述网络消息通过后进入结束步骤。

此步骤由与所述判断单元520的否定性判断相关的通过单元530执行。因为到达速率小于等于限制速率，说明所述网络信息不是短时间大量涌入的病毒或黑客攻击，应该是正常报文，因此允许其通过。

步骤400：丢弃所述网络消息通过后进入结束步骤。

此步骤由与所述判断单元520的肯定性判断相关的丢弃单元540执行。因为到达速率大于限制速率，说明所述网络信息是短时间大量涌入的病毒或黑客攻击，因此将其丢弃，就避免了因设备的CPU处理该类病毒网络信息而导致的性能下降进而影响网络的顺畅。

参考图1，在这个优选实施例中，所述统计单元510包括获取单元511，与该获取单元511藕接的判断单元512，与该判断单元512藕接的确定单元513和设置单元514。

参考图3，为本发明提供的一种防止网络消息攻击的方法的一个实施例的部分流程图。同时参考图1和图2，图3的流程图所执行的就是图2中步骤100的细化步骤，同时也可以由图1中统计单元510的各子单元来执行。如图所示，包括：

步骤110：取出所述网络消息的地址；

这一步骤由所述获取单元511来执行。对于每个网络消息，可以按精度需要任选下列一种地址作为该网络消息的地址：源IP地址、目的IP地址、源IP地址+目的IP地址、源IP地址+私网标记符、目的IP地址+私网标记符、源IP地址+目的IP地址+私网标记符。这些处理都是类似的，因此，这里仅以一和IP地址为例。假设所述网络消息仅有一个IP地址。这一步是为计算具有同一地址信息的网络消息的到达速率做准备的。

步骤111：判断所述网络消息是否是首次到达，如果是，则转步骤112；如果不是，则转步骤113；

这一步骤由所述判断单元512来执行。其目的是判断某个IP地址是否是第一次进入所述设备500，以便能为该IP地址建立相应的参数和进行监视，也就是后续的流程。

步骤112：所述网络消息通过其IP地址信息初始化与该IP地址相对应的历史时间戳和累加器，即将该历史时间戳记录为系统当前时间并将累加器置1；

这一步骤是初始化某一IP地址相应信息的，由所述设置单元514来执行。为了统计和某一IP地址相关的网络消息的到达速率，就必须为该IP地址建立相关的参数，例如本实施例中历史时间戳和累加器。值得说明的是，每个IP地址都具有自己的历史时间戳和累加器，因此，不同IP地址拥有不同的历史时间戳和累加器。但系统当前时间在一个时间点拥有唯一的值。因此，系统当前时间在某个确定的时间点时是个常数，因此，这一步骤也就是为某个首次到达的IP地址赋予其相关的历史时间戳和累加器的值。

步骤113—步骤117即根据历史时间戳、系统当前时间和累加器的值确定到达速率的步骤，由所述确定单元来执行。具体地：

步骤113：判断系统当前时间和历史时间戳的差是否在规定时间内，如果是，则转步骤114；否则，转步骤116；

这一步骤中的规定时间可以通过所述配置单元550配置，是计算所述到达速率的分母，例如可以设定为1秒，表示要统计1秒内同一地址到达的网络消息的数目。

步骤114：将所述历史时间戳和累加器清除，具体地，将历史时间戳记录为系统当前时间，将累加器置0；

运行到此步骤时，证明这个IP地址到达的后一个网络消息和前一个自该IP地址到达的网络消息的时间间隔超过了规定时间，表明到达速率必定小于限制速率。而此时则需要对与该IP地址相关的历史时间戳和累加器清除了，以便后续统计。

步骤115：将到达速率赋值为比限制速率低的值，用于向下个步骤中判断到达速率是否大于限制速率做准备；当然，这个步骤是可以省略的，或者直接把到达速率小于限制速率这一信息传送到下一步骤。总之，在实现中有很多方法可以实现这一目标。

步骤116：累加器加1；

运行到此步骤时，证明在确定时间内又一个具有同一IP地址信息的网络消息到达了，自然与该IP地址相对应的累加器要累加，至于是加多少，可以根据到达速率和限制速率的规定灵活设置，此处给出的仅是一个优选的值。

步骤117：利用累加器和规定时间计算到达速率。

同时参考上述关于图2的方法步骤说明可以看出，对于在规定时间内(例如1秒钟)频繁到来的具有同一地址信息的网络消息，如果规定了限制速率为每秒8个，那么前8个网络消息由于其到来时累加器的值和规定时间的值的比值即到达速率还小于限制速率，这8个网络消息会执行到步骤300，即被允许通过。而在这1秒内第9个及以后到来的则会由于超过限制速率而被丢弃掉。由于每个网络消息都会很快通过设备500，因此，不会引起网络消息在设备500中滞留的现象。但同时也由于这个原因，导致漏丢的现象，例如前述的那前8个就允许通过了。

参考图4，图示了本发明提供的一种防止网络消息攻击的设备的另一个实施例的框图。同时参考图1，设备600与设备500的区别之处在于：统计单元的实现方式不同，其它之处都相同。具体地，设备600包括统计单元610，与该统计单元610藕接的判断单元620，与该判断单元620藕接的通过单元630和丢弃单元640。各单元的功能同设备500的功能相同，在此不再赘述。与设备500不同之处在于统计单元的实现方式不同。具体地，所述统计单元610包括获取单元611，与该获取单元611藕接的判断单元612、启动单元614和累加单元616，与判断单元藕接的判断单元613、启动单元614，与判断单元613藕接的确定单元615和累加单元616。还包括配置单元650。

参考图5，图示了本发明提供的一种防止网络消息攻击的方法的另一个实施例的部分流程图。同时参考图2和图4，图5的流程图是图2中步骤100的另一种实施方式，可以由所述统计单元610中的各子单元执行。具体地，包括：

步骤120和步骤121分别与步骤110和步骤111相同，分别由所述获取单元611和判断单元612执行，可以参考上文中关于步骤110和111的说明，在此不再赘述。

步骤122：启动与所述网络消息的IP地址信息相关的定时器，同时将与所述网络消息的IP地址信息相关的累加器置1，并且返回到步骤120；

这一步骤是初始化某一IP地址相应信息的，由所述启动单元614来执行。为了统计和某一IP地址相关的网络消息的到达速率，就必须为该IP地址建立相关的参数，例如本实施例中定时器和累加器。值得说明的是，每个IP地址都具有自己的定时器和累加器，因此，不同IP地址拥有不同的定时器和累加器。，这一步骤是为某个首次到达的IP地址赋启动其定时器和累加器置1，当然具体数值并不是关键。初始化后立即返回步骤120继续取下一条网络消息进行处理。

步骤123：判断定时器是否结束，如果是则转步骤124；否则转步骤125，由所述判断单元613执行；

步骤124：计算到达速率，具体地可以用对应的累加器与对应的定时器的比值代表到达速率，由所述确定单元615执行。

步骤125：将对应的累加器加1后返回步骤120，继续取下一条网络信息处理，由所述累加单元616执行。

可以看出，在这个具体实施例中，网络消息在设备600中有滞留。这是因为对于每个IP地址而言，与这个IP地址相对应的在设备600中有个定时器，在定时器的规定时间内，与该IP地址相关的网络消息会滞留在设备600中，只有等到该定时器结束，计算出到达速率后才会决定是否允许这些网络消息通过还是丢弃。但如此一来，就不会有漏丢的现象发生了，对于某个IP地址，如果在定时器时间内有很多网络信息到达设备600，就会因为到达速率超过限制速率而遭到全部丢弃，因此不会有漏丢现象。

值得说明的是，本发明提供的这种设备和方法可以以软件、硬件或固件的形式实施，可以实施为防火墙设备/软件或杀毒设备/软件。如果通过硬件，例如ASIC(专用芯片)实施，会具有处理速度快等优点。

值得说明的是，本发明所述的“网络消息”并非仅包括实施例中提到的ARP报文和网段扫描引起的消息，应该理解为任何网络报文或消息。

以上所揭露的仅为本发明的优选实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明申请专利范围所作的等同变化，仍属本发明所涵盖的范围。

Claims

1.一种防止网络消息攻击的方法，包括：

(A)统计接收到的具有同一地址信息的网络消息的到达速率；

(B)判断所述到达速率是否大于限制速率，如果是，则

(C)丢弃所述网络消息；否则

(D)允许所述网络消息通过。

2.根据权利要求1所述的防止网络消息攻击的方法，其特征在于：步骤(A)包括：

(A1)取出所述网络消息的地址信息；

(A2)判断该地址是否为首次到达，如果是，则

(A3)将历史时间戳记录为系统当前时间并将累加器置1；否则

(A4)利用所述历史时间戳、系统当前时间和累加器确定到达速率。

3.根据权利要求1所述的防止网络消息攻击的方法，其特征在于：步骤(A)包括：

(A1)取出所述网络消息的地址信息；

(A2)判断该地址是否为首次到达，如果是，则

(A3)启动定时器，并将累加器置1后返回步骤(A1)；否则

(A4)判断定时器是否结束，如果是，则

(A5)根据定时器和累加器确定到达速率；否则

(A6)累加器累加1，返回步骤(A1)。

4.根据权利要求1-3中任意一项权利要求所述的防止网络消息攻击的方法，其特征在于：所述网络消息为地址解析协议报文或网段扫描产生的消息。

5.根据权利要求1-3中任意一项权利要求所述的防止网络消息攻击的方法，其特征在于：还包括配置限制速率。

6.一种防止网络消息攻击的设备，包括：

统计单元，用于统计接收到的具有同一地址信息的网络消息的到达速率；

与所述统计单元藕接的判断单元，用于判断所述到达速率是否大于限制速率，产生肯定结果或否定结果；

与所述判断单元藕接的与所述肯定结果相关的丢弃单元，用于丢弃所述网络消息；

与所述判断单元藕接的与所述否定结果相关的通过单元，用于允许所述网络消息通过。

7.根据权利要求6所述的防止网络消息攻击的设备，其特征在于：所述统计单元包括：

获取单元，用于取出所述网络消息的地址信息；

与所述获取单元藕接的第二判断单元，用于判断该地址是否为首次到达，产生第二肯定结果或第二否定结果；

与所述第二判断单元藕接的与所述第二肯定结果相关的设置单元，用于将历史时间戳记录为系统当前时间并将累加器置1；

与所述第二判断单元藕接的与所述第二否定结果相关的确定单元，用于利用历史时间戳、系统当前时间和累加器确定到达速率。

8.根据权利要求6所述的防止网络消息攻击的设备，其特征在于：所述统计单元包括：

获取单元，用于取出所述网络消息的地址信息；

与所述第二判断单元藕接的与所述第二肯定结果相关的启动单元，用于启动定时器，并将累加器置1后返回获取单元；

与所述第二判断单元藕接的与所述第二否定结果相关的第三判断单元，用于判断定时器是否结束，产生第三肯定结果或第三否定结果；

与所述第三判断单元藕接的与所述第三肯定结果相关的确定单元，用于根据定时器和累加器确定到达速率；

与所述第三判断单元藕接的与所述第三否定结果相关的累加单元，用于使累加器累加1，并返回获取单元。

9.根据权利要求6-8中任意一项权利要求所述的防止网络消息攻击的设备，其特征在于：所述网络消息为地址解析协议报文或网段扫描产生的消息。

10.根据权利要求6-8中任意一项权利要求所述的防止网络消息攻击的设备，其特征在于：还包括与所述判断单元藕接的配置单元，用于配置限制速率。