CN201937611U

CN201937611U - 一种网络攻击源定位及防护系统

Info

Publication number: CN201937611U
Application number: CN2011200391562U
Authority: CN
Inventors: 敦宏程; 关靖远; 张爽; 王贵智
Original assignee: Industrial and Commercial Bank of China Ltd ICBC
Current assignee: Industrial and Commercial Bank of China Ltd ICBC
Priority date: 2011-02-15
Filing date: 2011-02-15
Publication date: 2011-08-17
Anticipated expiration: 2021-02-15

Abstract

本实用新型实施例提供了一种网络攻击源定位及防护系统，该系统包括：网站设备、包含接入设备和加速节点的加速网络、源终端以及网络攻击源定位防护器；所述的网站设备通过所述的加速网路与所述的源终端相连接；所述的网络攻击源定位防护器与所述的网站设备相连接，并通过所述的接入设备与所述的加速网络相连接。用以解决在加速网络里，传统的网络设备无法识别真实的攻击源IP地址的问题，实现了将隐藏在加速网络的加速节点之后的真实攻击源IP地址成功定位，实时根据防护策略对加速网络边缘进行安全防护，降低了网站应用系统的安全风险，同时节约了安全设备部署成本且设备维护成本低。

Description

一种网络攻击源定位及防护系统

技术领域

本实用新型关于网络信息安全处理技术，特别是关于在加速网络里的网络信息安全处理技术，具体地讲是一种网络攻击源定位及防护系统。

背景技术

随着互联网技术的飞速发展，越来越多的用户通过网站获取需要的相关信息。但随着网站访问量的激增，用户与网站之间的链路被大量的访问数据拥塞，因此用户的访问质量受到严重影响。加速网络的出现降低了网站接入链路的访问量，有效提高了用户的访问质量。但是，由于加速网络是在现有Internet中增加一层内容缓冲网络的新型网络结构，因此随着加速网络的广泛应用，对网络的安全造成了新的困扰。现有技术中的网络边界防护主要有以下两种方案：

(1)、网络入侵防护技术。在网络入侵防护技术中，主要设备均是基于攻击特征签名库而设置的。这种攻击特征签名库需要专业人员不断对已知的攻击行为进行分析，提取出攻击行为的典型特征，然后不断形成更新的攻击特征签名库。因此，这种网络入侵防护设备的不足是仅能够检测已知发现的攻击行为，无法防范未知攻击行为。

(2)、IP地址封禁处理技术。在IP地址封禁处理技术中，对于传统的网络结构，一般根据网络入侵检测设备的攻击报警情况，在网络边界路由装置或防火墙上对攻击源IP地址进行封禁处理，防止攻击源进行进一步的攻击行为或无法识别的未知攻击。但是对于加速网络的新型网络结构，当用户通过加速网络根节点访问网站时，如果加速网络根节点未缓存用户请求的数据，那么该数据会通过加速网络根节点发送给网站主站。此时，网站主站侧的各类设备所能够识别的网络数据IP地址均为加速网络的加速节点IP地址，无法有效识别真实的源终端IP地址。因此，传统的网络设备如路由装置、防火墙的安全策略无法防护这类攻击，将会严重影响网络的正常业务。

实用新型内容

本实用新型实施例提供了一种网络攻击源定位及防护系统，用以解决在加速网络环境下，传统的网络设备无法识别真实的攻击源IP地址以及无法防范未知攻击行为的问题，同时节约了安全设备部署成本且设备维护成本低。

本实用新型的目的是，提供了一种网络攻击源定位及防护系统，所述的系统包括：网站设备、包含接入设备和加速节点的加速网络、源终端以及网络攻击源定位防护器；所述的网站设备通过所述的加速网路与所述的源终端相连接；所述的网络攻击源定位防护器与所述的网站设备相连接，并通过所述的接入设备与所述的加速网络相连接；所述的网络攻击源定位防护器包括：数据流采集装置，与所述的接入设备相连接，采集所述加速网络的网络数据流；源终端IP地址提取装置，与所述的数据流采集装置相连接，从所述的网络数据流中提取与所述加速网络相连接的各源终端的IP地址；日志数据采集装置，与所述的网站设备相连接，采集所述网站设备的攻击报警日志数据；攻击节点IP地址提取装置，与所述的日志数据采集装置相连接，根据所述的攻击报警日志数据提取所述加速网络中的攻击节点IP地址；攻击源定位装置，分别与所述的源终端IP地址提取装置和攻击节点IP地址提取装置相连接，根据所述的攻击节点IP地址和各源终端IP地址定位出所述的攻击节点对应的源终端IP地址；防护策略配置装置，与所述的攻击源定位装置相连接，根据定位出的源终端IP地址确定对应的防护策略，并将所述的防护策略配置到所述加速网络中对应的加速节点。

优选的，所述接入设备为接入路由器或者核心交换机，所述网站设备为防火墙或者网络入侵检测设备。

优选的，所述网络攻击源定位防护器设置在网站设备上，所述网络攻击源定位防护器设置在接入设备上。

优选的，所述网络攻击源定位防护器和所述接入设备设置在网站设备上。

优选的，所述的源终端IP地址提取装置包括：数据包重组装置，与所述的数据流采集装置相连接，将所述的网络数据流进行数据包重组；字段识别装置，与所述的数据包重组装置相连接，识别出符合超文本传输协议HTTP的重组数据包中的X-Forwarded-For字段，从所述的X-Forwarded-For字段的字符串列表中提取第一个IP地址，所述的第一个IP地址即为源终端的IP地址；存储装置，与所述字段识别装置相连接，将攻击时间、源终端IP地址、源终端IP地址对应的加速节点IP地址、源端口、目标IP地址、目标端口、重组后的数据包的存储路径、源终端IP地址的HTTP数据总量和攻击数据总量保存在数据库中。

优选的，所述的攻击源定位装置包括：第一搜索装置，与所述的存储装置相连接，根据攻击时间、攻击节点IP地址、目标IP地址在加速网络的各源终端IP地址中搜索；攻击源确定装置，与所述的第一搜索装置相连接，根据唯一的搜索结果确定出唯一的攻击数据包，所述的攻击数据包的IP地址即为源终端IP地址；第二搜索装置，与所述的攻击源确定装置相连接，根据源终端对应的端口、目标端口在多条搜索结果中二次搜索，与攻击报警日志数据进行字段匹配以确定唯一的攻击数据包，所述的攻击数据包的IP地址即为所述的攻击节点IP地址对应的源终端IP地址。

优选的，所述的防护策略配置装置包括：攻击强度值计算装置，与所述的攻击源定位装置相连接，根据预先设定的公式计算源终端IP地址的攻击强度值；防护策略选择装置，与所述的攻击强度值计算装置相连接，根据源终端IP地址的攻击强度值确定对应的防护策略，并将所述的防护策略配置至所述加速网络中对应的加速节点。

优选的，所述的网络攻击源定位防护器还包括：显示装置，与所述防护策略配置装置相连接，将攻击时间、源终端IP地址、攻击节点IP地址、源端口、攻击目标IP地址、目标端口、攻击报警日志数据、防护策略文件以WEB页面、邮件、短信、日志中至少一个的方式进行显示；时间同步装置，与所述显示装置相连接，用于根据网络时间协议NTP与时间同步服务装置周期性更新时间。

本实用新型的有益效果是：实现了将隐藏在加速网络节点之后的真实攻击源IP地址成功定位，实时根据防护策略对加速网络边缘进行安全防护，有效防范了源终端IP地址的未知攻击行为，降低了网站应用系统的安全风险，同时节约了安全设备部署成本且设备维护成本低。

附图说明

为了更清楚地说明本实用新型实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本实用新型的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本实用新型实施例的网络攻击源定位及防护系统的连接示意图；

图2是本实用新型实施例的网络攻击源定位防护器的结构框图；

图3是本实用新型实施例的网络攻击源定位防护器的另一种结构框图；

图4是源终端IP地址提取装置的结构框图；

图5是图2中攻击源定位装置的结构框图。

具体实施方式

下面将结合本实用新型实施例中的附图，对本实用新型实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本实用新型一部分实施例，而不是全部的实施例。基于本实用新型中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本实用新型保护的范围。

图1是本实用新型实施例的网络攻击源定位及防护系统的连接示意图，由图1可知，该系统主要包括：网站设备10、包含接入设备20和加速节点50的加速网络40、源终端60以及网络攻击源定位防护器30；

所述的网站设备10通过所述的加速网路40与所述的源终端60相连接；

所述的网络攻击源定位防护器30与所述的网站设备10相连接，并通过所述的接入设备20与所述的加速网络40相连接；

将网络攻击源定位防护器30部署于网络接入区域，结合网站设备10、接入设备20，能够成功检测真实攻击源即源终端IP地址，并根据防护策略文件在加速网络40的边缘进行分布式防护。

其中，所述接入设备20为接入路由装置或者核心交换机，所述网站设备10为防火墙或者网络入侵检测设备。在本实用新型的其实施方式中，所述网络攻击源定位防护器30设置在网站设备10上或者设置在接入设备20上，或者所述网络攻击源定位防护器30、所述接入设备20设置在网站设备10上。

图2是本实用新型实施例的网络攻击源定位防护器的结构框图，由图2可知，所述的网络攻击源定位防护器30包括：

数据流采集装置301，与所述的接入设备20相连接，采集所述加速网络40的网络数据流；

源终端IP地址提取装置302，与所述的数据流采集装置301相连接，从所述的网络数据流中提取与所述加速网络40相连接的各源终端60的IP地址；

日志数据采集装置303，与所述的网站设备10相连接，采集所述网站设备的攻击报警日志数据；

攻击节点IP地址提取装置304，与所述的日志数据采集装置303相连接，根据所述的攻击报警日志数据提取所述加速网络40中的攻击节点IP地址；

攻击源定位装置305，分别与所述的源终端IP地址提取装置302和攻击节点IP地址提取装置304相连接，根据所述的攻击节点IP地址和各源终端IP地址定位出所述的攻击节点对应的源终端IP地址；

防护策略配置装置306，与所述的攻击源定位装置305相连接，，根据定位出的源终端IP地址确定对应的防护策略，并将所述的防护策略配置到所述加速网络中对应的加速节点50。

图3是本实用新型实施例的一种网络攻击源定位防护器30的另一种结构框图，由图3可知，网络攻击源定位防护器30除了包括数据流采集装置301、源终端IP地址提取装置302、日志数据采集装置303、攻击节点IP地址提取装置304、攻击源定位装置305、防护策略配置装置306之外，还包括：

显示装置307，与所述防护策略配置装置306相连接，将攻击时间、源终端IP地址、攻击节点IP地址、源端口、攻击目标IP地址、目标端口、攻击报警日志数据、防护策略文件以WEB页面、邮件、短信、日志中至少一个的方式进行显示；

时间同步装置308，与所述显示装置307相连接，根据网络时间协议NTP与时间同步服务器周期性更新时间，以确保攻击源定位防护器与网站设备的时间保持同步。

图4是源终端IP地址提取装置的结构框图，由图4可知，所述的源终端IP地址提取装置302包括：

数据包重组装置3021，与所述的数据流采集装置301相连接，将所述的网络数据流进行数据包重组；

字段识别装置3022，与所述的数据包重组装置3021相连接，识别出符合超文本传输协议HTTP的重组数据包中的X-Forwarded-For字段，从所述的X-Forwarded-For字段的字符串列表中提取第一个IP地址，所述的第一个IP地址即为源终端的IP地址。

若从所述的字符串列表中提取的第一组字符串不是IP地址，则将其丢弃，并依次搜索下一组字符串，直至定位到第一个IP地址。对于加速网络根节点的HTTP数据流，X-Forwarded-For字段能够显示其源终端IP地址，以及所经过的每一层的加速网络的加速节点IP地址。例如，假如攻击源123.124.177.6通过网络加速环境对某银行的网上银行门户进行了攻击行为，其产生的网络数据包的IP地址则是加速网络的加速根节点IP地址202.108.251.115。但是，如果对所述的数据包进行重组并判断所述的重组数据包是否为HTTP数据包，那么在HTTP协议层将含有真实的源终端IP地址123.124.177.6。

存储装置3023，与所述字段识别装置3022相连接，将攻击时间、源终端IP地址、源终端IP地址对应的加速网络的加速节点IP地址、源端口、目标IP地址、目标端口、原始HTTP数据的存储路径、源终端IP地址的HTTP数据总量和攻击数据总量保存在数据库中，如表1所示。

表1

图5是图2中攻击源定位装置305的结构框图，由图5可知，所述的攻击源定位装置305包括：

第一搜索装置3051，与所述的存储装置3023相连接，根据攻击时间、攻击节点IP地址、目标IP地址在加速网络的各源终端IP地址中搜索；

攻击源确定装置3052，与所述的第一搜索装置3051相连接，根据唯一的搜索结果确定出唯一的攻击数据包，所述的攻击数据包的IP地址即为源终端IP地址；

第二搜索装置3053，与所述的攻击源确定装置3052相连接，根据源终端对应的端口、目标端口在多条搜索结果中二次搜索，与攻击报警日志数据进行字段匹配以确定唯一的攻击数据包，所述的攻击数据包的IP地址即为所述的攻击节点IP地址对应的源终端IP地址。

防护策略文件配置装置306具体包括：

攻击强度值计算装置，与所述的攻击源定位装置305相连接，根据预先设定的公式计算源终端IP地址的攻击强度值；

防护策略选择装置，与所述的攻击强度值计算装置相连接，根据源终端IP地址的攻击强度值确定对应的防护策略，并将所述的防护策略配置到所述加速网络中对应的加速节点。

对于不同的网站，可以根据安全等级的高低，预先针对加速网络设置不同的攻击强度值计算公式，以及设定根据不同的攻击强度值确定防护策略文件的规则，而且可以预先设定不同的防护策略文件，下面以某行网上银行的门户为例具体说明：

加速网络一般会采用多层模式，在该实施例中，仅考虑根加速节点地址和最外层节点IP地址。配置文件是预先设定的、记录有加速网络的加速根节点IP地址、攻击频率阈值、攻击强度值中变量的权重值、封禁时间且保存在数据库中，配置文件中预先设定的参数可扩展标记语言XML文件的示例如表2所示：

表2

<？xml version＝″1.0″encoding＝″UTF-8″？>
	<Config>
<CacheNode>
	<RootCache IP＝″202.1.5.1″>
<IPAddress>202.1.5.8</IPAddress>
	<IPAddress>202.1.6.9</IPAddress>
<RootCache>
	<RootCache IP＝″123.1.5.1″>
<IPAddress>123.1.5.8</IPAddress>
	<IPAddress>123.1.6.9</IPAddress>
<RootCache>
	</CacheNode>
<AttackThreshold>
	<AttackLogNum>500</AttackLogNum>
<Time>10Min</Time>
	</AttackThreshold>
<VariableWeights>
	<AttackLevel>0.1</AttackLevel>
<AttackFrequency>0.4</AttackFrequency>
	<ProportionOfAttack>0.2</ProportionOfAttack>
<ProportionOfBanNode>0.3</ProportionOfBanNode>

</VariableWeights>
	<PeriodOfBan>10Min</PeriodOfBan>
</Config>

其中，AttackThreshold是网站设备攻击报警的阈值，在该示例中，每10分钟500报警日志则达到阈值；

AttackLevel是攻击级别的权重值，为0.1，攻击级别是根据网站设备的报警日志的级别而定，例如可将攻击分为低、中、高三级，对应的计算基值分别为1、1.5、2；

AttackFrequency是攻击频率的权重值，为0.4，例如：当单个攻击源的攻击量超过攻击阈值AttackThreshold时，则其计算基值为1，否则为0；

ProportionOfAttack是攻击占比的权重值，为0.2，例如，计算基值为某个攻击源的攻击数据在该攻击源所有数据中的占比情况；

ProportionOfBanNode是封禁节点占比的权重值，为0.3，例如：计算基值为某加速网络最内层节点下已经对某个攻击源实施封禁的外层节点在该加速网络最内层节点里所有最外层节点的的占比情况；

PeriodOfBan是攻击源IP被封禁的时间。

在该行网上银行门户里，预先设定根据如下公式计算攻击强度值S：

S＝V_攻击级别W_攻击级别+V_{攻击频率阈值}W_攻击频率+V_{攻击数据占比}W_{攻击数据占比}+V_{封禁节点占比}W_封禁 _节点占比；

其中，从所述配置文件获取W攻击级别、W_攻击频率、W_{攻击数据占比}、W_{封禁节点占比}、V_{攻击频率阈值}的值；

根据所述真实攻击源IP地址对应的攻击报警日志数据中的攻击报警级别获取预先设定的V_攻击级别；

根据所述源终端IP地址攻击HTTP数据包的数目与源终端IP地址所有HTTP数据包的总数的比值确定V_{攻击数据占比}；

根据所述源终端IP地址在加速网络最内层节点里实施封禁的最外层节点与该源终端IP地址在加速网络最内层节点里所有最外层节点的比值确定V_封 _{禁节点占比}。

对于确定的源终端IP地址，计算出其攻击强度值后，在数据库中查询该攻击强度值对应的防护策略文件。该行网上银行门户的防护策略文件如下：

当所述攻击强度值S＜0.5时，无需封禁源终端IP地址，更新数据库中攻击源对应的阈值纪录、攻击数据包统计值，计算V_{攻击数据占比}；

当所述攻击强度值S≥0.5时，向加速网络根节点发送防护策略文件，根据所述防护策略文件在加速网络边缘对源终端IP地址实施封禁处理，更新数据库中对应的阈值记录、加速网络根节点封禁清单及最新的封禁时间，并计算V_{封禁节点占比}，当封禁的是最内层节点时，则V_{封禁节点占比}＝1；更新数据库中攻击源的攻击数据包统计值，计算V_{攻击数据占比}。

综上所述，本实用新型实施例提供了一种网络攻击源定位及防护系统，通过解析网络数据流以及攻击报警日志数据，对加速网络的数据流重组，实现了将隐藏在加速网络节点之后的真实攻击源IP地址成功定位，实时根据防护策略文件对加速网络边缘进行安全防护，有效防范了源终端IP地址的未知攻击行为，降低了网站应用系统的安全风险，同时节约了安全设备部署成本且设备维护成本低。

本实用新型中应用了具体实施例对本实用新型的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本实用新型的方法及其核心思想；同时，对于本领域的一般技术人员，依据本实用新型的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本实用新型的限制。

Claims

1.一种网络攻击源定位及防护系统，其特征是，所述的系统包括：网站设备、包含接入设备和加速节点的加速网络、源终端以及网络攻击源定位防护器；

所述的网站设备通过所述的加速网路与所述的源终端相连接；

所述的网络攻击源定位防护器与所述的网站设备相连接，并通过所述的接入设备与所述的加速网络相连接；

所述的网络攻击源定位防护器包括：

数据流采集装置，与所述的接入设备相连接，采集所述加速网络的网络数据流；

源终端IP地址提取装置，与所述的数据流采集装置相连接，从所述的网络数据流中提取与所述加速网络相连接的各源终端的IP地址；

日志数据采集装置，与所述的网站设备相连接，采集所述网站设备的攻击报警日志数据；

攻击节点IP地址提取装置，与所述的日志数据采集装置相连接，根据所述的攻击报警日志数据提取所述加速网络中的攻击节点IP地址；

攻击源定位装置，分别与所述的源终端IP地址提取装置和攻击节点IP地址提取装置相连接，根据所述的攻击节点IP地址和各源终端IP地址定位出所述的攻击节点对应的源终端IP地址；

防护策略配置装置，与所述的攻击源定位装置相连接，根据定位出的源终端IP地址确定对应的防护策略，并将所述的防护策略配置到所述加速网络中对应的加速节点。

2.根据权利要求1所述的网络攻击源定位及防护系统，其特征是，所述接入设备为接入路由器或者核心交换机。

3.根据权利要求1所述的网络攻击源定位及防护系统，其特征是，所述网站设备为防火墙或者网络入侵检测设备。

4.根据权利要求1所述的网络攻击源定位及防护系统，其特征是，所述网络攻击源定位防护器设置在网站设备上。

5.根据权利要求1所述的网络攻击源定位及防护系统，其特征是，所述网络攻击源定位防护器设置在接入设备上。

6.根据权利要求1所述的网络攻击源定位及防护系统，其特征是，所述网络攻击源定位防护器和所述接入设备设置在网站设备上。

7.根据权利要求1所述的网络攻击源定位及防护系统，其特征是，所述的源终端IP地址提取装置包括：

数据包重组装置，与所述的数据流采集装置相连接，将所述的网络数据流进行数据包重组；

字段识别装置，与所述的数据包重组装置相连接，识别出符合超文本传输协议HTTP的重组数据包中的X-Forwarded-For字段，从所述的X-Forwarded-For字段的字符串列表中提取第一个IP地址，所述的第一个IP地址即为源终端的IP地址。

8.根据权利要求7所述的网络攻击源定位及防护系统，其特征是，所述的源终端IP地址提取装置还包括：

存储装置，与所述字段识别装置相连接，将攻击时间、源终端IP地址、源终端IP地址对应的加速节点IP地址、源端口、目标IP地址、目标端口、重组后的数据包的存储路径、源终端IP地址的HTTP数据总量和攻击数据总量保存在数据库中。

9.根据权利要求8所述的网络攻击源定位及防护系统，其特征是，所述的攻击源定位装置包括：

第一搜索装置，与所述的存储装置相连接，根据攻击时间、攻击节点IP地址、目标IP地址在加速网络的各源终端IP地址中搜索；

攻击源确定装置，与所述的第一搜索装置相连接，根据唯一的搜索结果确定出唯一的攻击数据包，所述的攻击数据包的IP地址即为源终端IP地址；

第二搜索装置，与所述的攻击源确定装置相连接，根据源终端对应的端口、目标端口在多条搜索结果中二次搜索，与攻击报警日志数据进行字段匹配以确定唯一的攻击数据包，所述的攻击数据包的IP地址即为所述的攻击节点IP地址对应的源终端IP地址。

10.根据权利要求1所述的系统，其特征是，所述的防护策略配置装置包括：

攻击强度值计算装置，与所述的攻击源定位装置相连接，根据预先设定的公式计算源终端IP地址的攻击强度值；

防护策略选择装置，与所述的攻击强度值计算装置相连接，根据源终端IP地址的攻击强度值确定对应的防护策略，并将所述的防护策略配置至所述加速网络中对应的加速节点。

11.根据权利要求1所述的系统，其特征是，所述的网络攻击源定位防护器还包括：

显示装置，与所述防护策略配置装置相连接，将攻击时间、源终端IP地址、攻击节点IP地址、源端口、攻击目标IP地址、目标端口、攻击报警日志数据、防护策略文件以WEB页面、邮件、短信、日志中至少一个的方式进行显示。

12.根据权利要求1所述的系统，其特征是，所述的网络攻击源定位防护器还包括：

时间同步装置，与所述显示装置相连接，用于根据网络时间协议NTP与时间同步服务装置周期性更新时间。