WO2013082997A1 - 异常网络流量的攻击源追踪方法及装置 - Google Patents

异常网络流量的攻击源追踪方法及装置 Download PDF

Info

Publication number
WO2013082997A1
WO2013082997A1 PCT/CN2012/085039 CN2012085039W WO2013082997A1 WO 2013082997 A1 WO2013082997 A1 WO 2013082997A1 CN 2012085039 W CN2012085039 W CN 2012085039W WO 2013082997 A1 WO2013082997 A1 WO 2013082997A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
starting point
traffic
network
network node
Prior art date
Application number
PCT/CN2012/085039
Other languages
English (en)
French (fr)
Inventor
王立俊
Original Assignee
北京润通丰华科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京润通丰华科技有限公司 filed Critical 北京润通丰华科技有限公司
Priority to US14/349,071 priority Critical patent/US9729559B2/en
Publication of WO2013082997A1 publication Critical patent/WO2013082997A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Definitions

  • TECHNICAL FIELD The present invention relates to the field of network communications, and in particular to an attack source tracking method and apparatus for abnormal network traffic.
  • BACKGROUND At present, network-based attacks mostly utilize network description resources, limited system resources, or use network protocols and authentication mechanisms to imperfect themselves, by launching large-scale network attacks in a short period of time, consuming specific resources, and realizing Attack on the target.
  • Existing network security mechanisms such as intrusion detection systems (IDS), firewalls and virtual private networks (VPNs), and tolerant attack technologies are only passively defended against cyber attacks: for example, setting up such as Random Drop, SYN Cookie Protection algorithms such as bandwidth limitation, IDS and firewall linkage, and technical experts to analyze attacks.
  • a main object of the present invention is to provide an attack source tracking method and apparatus for abnormal network traffic to at least solve the above problems.
  • an attack source tracking method for abnormal network traffic including: selecting, in a network node of an attack link, any one or more of the network nodes as a tracking starting point,
  • the attack link is a communication link between the attack target and the attack source.
  • the upper-level network node in the attack link is determined step by step according to the tracking start point until the final attack source is confirmed.
  • an attack source tracking apparatus for abnormal network traffic including: a selecting module, configured to select any one or more of the network nodes of the attack link
  • the network node is used as a tracking starting point, where the attacking link is a communication link between the attacked target and the attack source
  • the determining module is configured to determine, according to the tracking starting point, the upper level in the attacking link. Network node until the final source of the attack is confirmed.
  • any technical node in the selected attack link is used as a tracking starting point to determine the technical means of the upper-level network node step by step, and the related network technology is solved, which can only alleviate the network attack and cannot locate the attack.
  • the problem of the source ie the source of the attack
  • FIG. 1 is a schematic flowchart of an attack source tracking method for abnormal network traffic according to an embodiment of the present invention
  • FIG. 2 is a structural block diagram of an attack source tracking apparatus for abnormal network traffic according to an embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of an attack source tracking device for abnormal network traffic according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of reverse attack traffic tracking according to an embodiment of the present invention
  • FIG. 5 is a level 1 source according to an embodiment of the present invention. Traffic tracking diagram
  • FIG. 6 is a schematic diagram of level 2 source traffic tracking according to an embodiment of the present invention.
  • FIG. 7 is a schematic diagram of level 3 source traffic tracking in accordance with an embodiment of the present invention.
  • BEST MODE FOR CARRYING OUT THE INVENTION It should be noted that the embodiments in the present application and the features in the embodiments may be combined with each other without conflict. The invention will be described in detail below with reference to the drawings in conjunction with the embodiments.
  • FIG. 1 is a schematic flowchart of an attack source tracking method for abnormal network traffic according to an embodiment of the present invention. As shown in Figure 1, the method includes:
  • Step S102 selecting, by the network node of the attack link, any one or more of the network nodes as a tracking starting point, where the attacking link is a communication link between the attacked target and the attack source;
  • Step S104 Determine, according to the tracking starting point, the upper-level network node in the attack link, until the final attack source is confirmed.
  • one or more network nodes in the attack link may be arbitrarily selected as a tracking starting point, and the network node may be selected as a tracking starting point according to a preset condition, for example, collecting the network of the attack link according to a preset period. Port packet payload of the node; determining the tracking starting point according to the currently collected packet payload and the packet payload collected in the previous preset period.
  • the data packet payload is an average of each data packet payload during the predetermined period.
  • the following may also include the following Processing step: distinguishing a plurality of different upper-level network nodes according to the matching degree of the attack link, where the matching degree is used to indicate that each data packet load is different in a preset period of the tracking starting point The similarity of each packet load is averaged in the preset period of the upper node.
  • determining the tracking starting point according to the currently collected data packet payload and the data packet load collected in the previous preset period may be implemented by the following processing process: according to the currently collected data packet payload and the previous one.
  • the data packet payload collected by the preset period determines the fingerprint of the port flow of the network node of the attack link, where the fingerprint of the stream is determined according to the following formula:
  • the step of determining the upper-level network node in the attack link according to the tracking starting point may include the following process: acquiring the inflow increment of the tracking starting point and the upper-level network node.
  • the inbound traffic increment where the inbound traffic increment is the network traffic that is added when the tracking network starts to receive abnormal network traffic, and the traffic flow increment is the previous one.
  • the network network node increases the network traffic when the outgoing network traffic is abnormal with respect to the normal network traffic; and determines the upper-level node as a new one according to the ratio of the incoming traffic increment and the outgoing traffic increment Tracking the starting point; determining, according to the new tracking starting point, the upper level network node of the new tracking starting point in the attack link.
  • the final attack source may be confirmed by: when the number of the upper-level network nodes is 0, determining that the next-level network node of the upper-level network node is the final attack source.
  • An attack source tracking device for abnormal network traffic is also provided in this embodiment.
  • the device is used to implement the foregoing embodiment and the preferred embodiment. The description has been omitted, and the module is involved in the device. Be explained.
  • the term "module" may implement a combination of software and/or hardware for a predetermined function.
  • FIG. 7 is a structural block diagram of a quality of service processing apparatus according to an embodiment of the present invention. As shown in Figure 2, the device includes:
  • the selection module 20 is connected to the determining module 22, and is configured to select any one or more of the network nodes as a tracking starting point in the network node of the attacking link, where the attacking link is an attack target and an attack source. Communication link
  • the determining module 22 is configured to determine the upper-level network node in the attack link step by step according to the tracking starting point, until the final attack source is confirmed.
  • the above determining module 22 may include the following processing units:
  • the obtaining unit 220 is connected to the first determining unit 222, and obtains an inflow increment of the tracking starting point and an outflow increment of the upper-level network node, where the inflowing increment is the tracking starting point
  • the network traffic is increased when the network traffic is normal, and the outgoing traffic increment is that the upper-level network node is
  • the network traffic is increased relative to the normal network traffic;
  • the first determining unit 222 is connected to the second determining unit 224, configured to determine the upper-level node as a new tracking starting point according to the ratio of the incoming traffic increment and the outgoing traffic increment;
  • the second determining unit 224 is configured to determine, according to the new tracking starting point, the upper-level network node of the new tracking starting point in the attack link, until the final attack source is confirmed.
  • Average packet payload PPDA The average packet size in the collection period, reflecting the regularity of the packet during the period.
  • PPDA Per Package Data Average
  • Port P current data, P0 represents current data;
  • P-1 is data relative to the previous cycle of the current data acquisition cycle;
  • P-2 is data relative to the first two cycles of the current data acquisition cycle;
  • FP1 is one after the current data acquisition cycle Periodic forecast data;
  • FP2 is forecast data for two periods after the current data collection period;
  • P-2 The first two periods of data The previous day's historical data (this is the reference cardinality, which can be used to balance the predicted data fluctuations), where BP0 is the data at the same time relative to the previous day of P0 data, and so on;
  • the fingerprint of the port P stream ( 1-AP/ABP) X 100% at ⁇ 15% (coefficient adjustable), the non-target host is set as the target point according to the fingerprint of the stream, as the starting point of reverse tracking.
  • Backtracking algorithm The backtracking algorithm starting from the attack target is a process and method for determining the attack direction and the final port of the destination, and gradually calculating and judging, including: incremental flow direction algorithm and source port convergence algorithm
  • the incremental flow direction algorithm is an algorithm for judging the abnormality of the specified port traffic, and determines the source and destination of the incremental data stream to determine the specific port of the device by the relationship with the total abnormal traffic of the inbound and outbound devices, thereby obtaining an attack.
  • Source port
  • Normal flow fluctuation coefficient AAP (in) /AAP (out) within ⁇ 20% (coefficient adjustable)
  • Lock source port SP (i) can be multiple sources: ASPA TP 20% (coefficient adjustable)
  • Source port convergence algorithm is when multiple devices participate in traffic tracking at the same network level. According to the degree of dispersion of the total attack traffic data in multiple devices at the upper level, the tracking is performed separately, and the loop is calculated downward. Multiple links, based on the port increment algorithm, eliminates the unimportant tracking link, and finally obtains the aggregation algorithm of the main attack source.
  • Level 1 algorithm using the incremental flow algorithm to determine the source SP (i) port and number n;
  • I Level 2 algorithm which determines the SP (i) uplink port of the I-level determination source as TP (i), and the repeated incremental flow direction algorithm acquires the new SP (i) and the quantity n;
  • Level 3 algorithm repeating the Level II algorithm until the final source or network boundary is confirmed (not monitored by our network)
  • the matching degree refers to the degree of similarity between the PPDA that confirms the attack port and the PPDA of the source port. According to the data packet and the flow fingerprint PPDA and the PPDA fluctuation index, the flag matching degree is obtained for all the acquired attack paths, at the same convergence level. Step by step according to the degree of matching from high to low.
  • PPDA fluctuation coefficient 8?? 0 eight (SP) / PPDA (SP) or PPDA (SP) / BPPDA (SP) take a value greater than 1
  • the incremental flow direction algorithm and the source port convergence algorithm are performed according to the collected data of the C-L1, and finally the attack traffic is locked into the source port of the C-L1;
  • Level 2 source lock will be directly connected to the C-L1-I-1 and C-L1-I-2 ports to locate the target port:
  • the incremental flow direction algorithm and the source port convergence algorithm are used to finally lock the attack traffic into the source ports of C1 and C2:
  • the level 3 source is locked:
  • the C1-II-1, Cl-II-2, C2-II-3, and C2-II-4 ports are directly connected to the upstream port as the destination port.
  • ⁇ SP (Bl-III-2) 300,000
  • the calculated match is 99.8%.
  • the final lock attack originates from the private network 1 and the access port of the private network 2 (ie, eventually stops, determining the final attack source).
  • a storage medium is also provided, the software being stored, including but not limited to: an optical disk, a floppy disk, a hard disk, a rewritable memory, and the like.
  • modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices. Alternatively, they may be implemented by program code executable by the computing device, such that they may be stored in the storage device by the computing device, or they may be separately fabricated into individual integrated circuit modules, or they may be Multiple modules or steps are made into a single integrated circuit module. Thus, the invention is not limited to any particular combination of hardware and software.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种异常网络流量的攻击源追踪方法及装置，其中，上述方法包括：在攻击链路的网络节点中，选择任意一个或多个所述网络节点作为追踪起点，其中，所述攻击链路为被攻击目标和攻击源之间的通信链路；根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点，直至确认最终的攻击源。采用本发明提供的上述技术方案，解决了相关技术中，网络安全机制，只能缓解网络攻击，并不能定位攻击的源头（即攻击源）的问题，进而达到了可以反向追踪定位攻击源的效果。

Description

异常网络流量的攻击源追踪方法及装置 技术领域 本发明涉及网络通信领域， 具体而言， 涉及一种异常网络流量的攻击源追踪方法及装 置。 背景技术 目前， 基于网络的攻击大多利用网说络资源、 系统资源的有限性， 或利用网络协议和认 证机制自身的不完善性， 通过在短时间内发动大规模网络攻击， 消耗特定资源， 实现对目 标的攻击。 现有的网络安全机制如入侵检测系统 (IDS)、 防火墙和虚拟专用网络 (VPN)以及 容忍攻击技术等均只是在遭受到网络攻击时被动书地进行防御：例如，设置诸如 Random Drop, SYN Cookie, 带宽限制之类的防护算法， 实现 IDS与防火墙联动以及技术专家分析攻击等 办法。
上述网络安全机制大多收效甚微， 只能缓解网络攻击， 并不能定位攻击的源头 （即攻 击源）， 因此， 基于网络的攻击己经成为当前网络信息系统的严重阻碍， 再加上网络本身的 虚拟性为执法过程带来了很大的难度。 针对相关技术中的上述问题， 目前尚未提出有效的解决方案。 发明内容 针对相关技术中的上述问题， 本发明主要目的在于提供一种异常网络流量的攻击源追 踪方法及装置， 以至少解决上述问题。
为了实现上述目的， 根据本发明的一个方面， 提供了一种异常网络流量的攻击源追踪 方法， 包括： 在攻击链路的网络节点中， 选择任意一个或多个所述网络节点作为追踪起点， 其中， 所述攻击链路为被攻击目标和攻击源之间的通信链路； 根据所述追踪起点逐级确定 所述攻击链路中的上一级网络节点， 直至确认最终的攻击源。
为了实现上述目的， 根据本发明的另一方面， 提供了一种异常网络流量的攻击源追踪 装置， 包括： 选择模块， 用于在攻击链路的网络节点中， 选择任意一个或多个所述网络节 点作为追踪起点， 其中， 所述攻击链路为被攻击目标和攻击源之间的通信链路； 确定模块， 用于根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点， 直至确认最终的攻击 源。
通过本发明， 采用选择攻击链路中的任意网络节点作为追踪起点逐级确定上一级网络 节点的技术手段， 解决了相关技术中， 网络安全机制， 只能缓解网络攻击， 并不能定位攻 击的源头 （即攻击源） 的问题， 进而达到了可以反向追踪定位攻击源的效果。 附图说明 构成本申请的一部分的附图用来提供对本发明的进一步理解， 本发明的示意性实施例 及其说明用于解释本发明， 并不构成对本发明的不当限定。 在附图中：
图 1为根据本发明实施例的异常网络流量的攻击源追踪方法流程示意图；
图 2为根据本发明实施例的异常网络流量的攻击源追踪装置的结构框图；
图 3为根据本发明实施例的异常网络流量的攻击源追踪装置的结构示意图； 图 4为根据本发明实施例的反向攻击流量追踪示意图； 图 5为根据本发明实施例的第 1级来源流量追踪示意图；
图 6为根据本发明实施例的第 2级来源流量追踪示意图；
图 7为根据本发明实施例的第 3级来源流量追踪示意图。 具体实施方式 需要说明的是， 在不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互组 合。 下面将参考附图并结合实施例来详细说明本发明。
图 1为根据本发明实施例的异常网络流量的攻击源追踪方法流程示意图。如图 1所示， 该方法包括：
步骤 S102, 在攻击链路的网络节点中， 选择任意一个或多个所述网络节点作为追踪起 点， 其中， 所述攻击链路为被攻击目标和攻击源之间的通信链路；
步骤 S104, 根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点， 直至确认 最终的攻击源。
通过上述处理过程， 由于采用了根据追踪起点逐级确定所述攻击链路中的上一级网络 节点， 直至确认最终的攻击源的技术手段， 因此， 可以实现反向追踪定位攻击源， 提高了 网络安全执法性。
在步骤 S102中，可以任意选择攻击链路中的一个或多个网络节点作为追踪起点，还可 以根据预设条件选择网络节点作为追踪起点， 例如： 根据预设周期采集所述攻击链路的网 络节点的端口数据包载荷； 根据当前采集的数据包载荷和上一个所述预设周期采集的数据 包载荷确定所述追踪起点。
在本发明的一个优选实施方式中， 上述数据包载荷为所述预设周期内平均每个数据包 载荷。 其中， 该预设周期内平均每个数据包载荷可以通过以下方式确定： 预设周期内平均 每个数据包载荷=预设周期内平均带宽 /预设周期内数据包总数。
在本发明的一个优选实施方式中， 当上述上一级网络节点为多个时， 还可以包括以下 处理步骤： 根据所述攻击链路的匹配度来区分多个不同的上一级网络节点， 其中， 所述匹 配度用于指示所述追踪起点的预设周期内平均每个数据包载荷与不同的所述上一级节点的 预设周期内平均每个数据包载荷的相似程度。 在具体实施时， 上述根据当前采集的数据包载荷和上一个所述预设周期采集的数据包 载荷确定所述追踪起点， 可以通过以下处理过程实现： 根据当前采集的数据包载荷和上一 个所述预设周期采集的数据包载荷确定所述攻击链路的网络节点的端口流的指纹， 其中， 所述流的指纹根据以下公式确定： 流的指纹=【1- ( AP/ABP)] X 100 , AP=P0- (P-l )， ▲BP=BP0- (BP-1 ), P0表示当前数据； （P-l ) 表示当前预设周期的前一个周期数据； BP0 表示前一天的同时刻数据； （BP-1 )表示前一天当前预设周期的前一个周期数据； 当所述流 的指纹在未到达预设阈值时， 确定所述流的指纹所对应的网络节点可作为所述追踪起点。
步骤 S104中， 即根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点，可以 包括以下处理过程：获取所述追踪起点的入流量增量及所述上一级网络节点的出流量增量， 其中， 所述入流量增量为所述追踪起点在其接收的网络流量异常时相对于网络流量正常时 所增加的网络流量， 所述出流量增量为所述上一级网络节点在其传出的网络流量异常时相 对于网络流量正常时所增加的网络流量； 根据所述入流量增量及所述出流量增量的比值确 定所述上一级节点作为新的追踪起点； 根据所述新的追踪起点逐级确定所述攻击链路中的 所述新的追踪起点的上一级网络节点。
在步骤 S104中，可以通过以下方式确认最终的攻击源： 当所述上一级网络节点的数量 为 0时， 则确定所述上一级网络节点的下一级网络节点为最终的攻击源。 在本实施例中还提供了一种异常网络流量的攻击源追踪装置， 该装置用于实现上述实 施例及优选实施方式， 已经进行过说明的不再赘述， 下面对该装置中涉及到模块进行说明。 如以下所使用的， 术语 "模块"可以实现预定功能的软件和 /或硬件的组合。 尽管以下实施 例所描述的装置较佳地以软件来实现， 但是硬件， 或者软件和硬件的组合的实现也是可能 并被构想的。 图 7为根据本发明实施例的服务质量处理装置的结构框图。 如图 2所示， 该 装置包括：
选择模块 20， 连接至确定模块 22， 用于在攻击链路的网络节点中， 选择任意一个或多 个所述网络节点作为追踪起点， 其中， 所述攻击链路为被攻击目标和攻击源之间的通信链 路；
确定模块 22， 用于根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点， 直 至确认最终的攻击源。
在本发明的一个优选实施方式中，如图 3所示， 上述确定模块 22可以包括以下处理单 元：
获取单元 220，连接至第一确定单元 222， 获取所述追踪起点的入流量增量及所述上一 级网络节点的出流量增量， 其中， 所述入流量增量为所述追踪起点在其接收的网络流量异 常时相对于网络流量正常时所增加的网络流量， 所述出流量增量为所述上一级网络节点在 其传出的网络流量异常时相对于网络流量正常时所增加的网络流量；
第一确定单元 222，连接至第二确定单元 224，用于根据所述入流量增量及所述出流量 增量的比值确定所述上一级节点作为新的追踪起点；
第二确定单元 224， 用于根据所述新的追踪起点逐级确定所述攻击链路中的所述新的 追踪起点的上一级网络节点， 直至确认最终的攻击源。
为了更好地理解上述实施例， 以下结合具体实例和相关附图详细说明。 在具体说明以 下实施例的技术方案之前， 先说明一下本实例所涉及的一些概念及定义。
1、 平均数据包载荷 PPDA: 采集周期内平均每个数据包大小， 反映周期内数据包规律特征， 计算公式如下： 周期内平均数据包载荷（in/out) =周期内平均带宽（in/out) /周期内数据包总数（in/out) 是或的关系， 可以修改为下面的：
周期内平均数据包载荷 （in) =周期内平均带宽 （in) /周期内数据包总数 （in) 周期内平均数据包载荷 （out) =周期内平均带宽 （out) /周期内数据包总数 （out) 简称： PPDA (Per Package Data Average)
2、 数据包和流的指纹
端口 P当前数据， P0代表当前数据； P-1是相对当前数据采集周期前一个周期的数据; P-2是相对当前数据采集周期前二个周期的数据； FP1是相对当前数据采集周期后一个周期 的预测数据； FP2是相对当前数据采集周期后二个周期的预测数据；
FP2 预测第二个周期数据 FP2=2*FP1 /(P-1/P0+P0/FP1)
FP1 预测第一个周期数据 FP1=2*P0 /(P-2/P-1+P-1/P0)
P0 当前数据
P-1 前一个周期数据
P-2 前二个周期数据 前一天历史数据 （此项为参考基数， 可用于平衡预测数据波动）， 其中 BP0是相对于 P0数据的前一天同一时刻的数据， 其它以此类推；
BP2 前一天后两个周期数据
BP1 前一天后一个周期数据
BP0 前一天同时刻数据
BP-1 前一天前一个周期数据 BP-2 前一天前两个周期数据
▲P=P0-P- 1； ABP=BP0-BP- 1
端口 P流的指纹= ( 1-AP/ABP) X 100% 在 ± 15% (系数可调整）， 根据流的指纹 设定非目标主机为目标点， 作为反向追踪的起点。
3、 反向追踪算法 以攻击目标为起点的反向追踪算法， 是通过确定攻击方向和目的最终端口出发， 向上 逐步计算判断的过程和方法， 其中包括： 增量流向算法和源端口会聚算法
4、 增量流向算法 增量流向算法是一种判断指定端口流量异常的算法， 并通过与进出设备总异常流量的 关系确定增量数据流的来源和目的确定到设备的具体端口， 进而获得攻击的来源端口；
▲T (target) P (Port) (out) =TP0-TP1， 面向攻击目标的出流量增量
▲S ( source) P (Port) (in) = (P0-P1 ) ( l-n)， 除 TP外的所有端口
▲A (all) P (in) =∑ (P0-P1 ) n (in) -ATP (out); 此处 all排除 TP端口， 获得非 攻击流量的入增量
▲A (all) P (out) =∑ (P0-P1 ) n (out) -ATP (in); 此处 all排除 TP端口， 获得非 攻击流量的出增量
正常流量波动系数 =AAP (in) /AAP (out) 在 ±20%内 （系数可调整）
锁定来源端口 SP (i) 可以多个来源： ASPA TP 20% (系数可调整）
辅助判断条件 PPDA (TP) /PPDA (SP) 在 ± 10%内 （系数可调整）
5、 源端口会聚算法 源端口会聚算法是同一网络层面上多台设备参与流量追踪时， 根据在上一级获得总攻 击流量数据在多台设备的分散程度， 进行分别追踪， 循环向下计算获得多条链路， 根据端 口增量算法排除掉不重要的追踪链路， 最后获得主要的攻击来源的汇聚算法。
第 1级算法， 采用增量流向算法确定来源 SP (i) 端口和数量 n;
I第 2级算法， 将 I级确定来源的 SP (i) 上联端口确定为 TP (i)， 重复增量流向算法 获取新的 SP (i) 和数量 n;
第 3级算法， 重复 II级算法， 直到确认最终来源或网络边界 （不受我们监控网络）
6、 攻击链路匹配度 （可疑度）
匹配度是指确认攻击端口的 PPDA与来源端口的 PPDA的相似程度； 根据数据包和流 的指纹 PPDA以及 PPDA波动指数， 为所有获取攻击路径进行标示匹配度， 在同一会聚级 上按照匹配度由高至低进行分步处理。
匹配度 = PPDA (TP) /PPDA (SP) *PPDA波动系数
PPDA波动系数=8??0八 (SP) /PPDA (SP) 或 PPDA (SP) /BPPDA (SP) 取大于 1 一个值
7、 追踪停止 来源端口数量为 0的链路停止追踪， 标记本端口为源， 可以为上行进入不可管理网络 或到达下行用户源头。
Num (SP) =0 以下结合附图详细说明本实施例所采用的技术方案。 本实例的反向追踪方法的流程示 意图可以参见图 4所示。 如图 5所示， 第 1级来源锁定： 目标节点 （相当于追踪起点） 收到来自 C-L1每秒 80 万的数据包流量攻击， 即 ATP=80万， 此处的目标点可以是一台设备， 也可以是一组设备
(具有相同属性或应用的系统）；
根据对 C-L1 的采集数据进行增量流向算法和源端口会聚算法， 最终锁定攻击流量进入 C-L1的源端口；
▲SP (C-L1-I-1 ) =50万 计算匹配度为 99.8%
ASP (C-L1-II-2) =30万 计算匹配度为 98.6%
如图 6所示， 第 2级来源锁定： 将与 C-L1-I-1和 C-L1-I-2端口直连上行端口定位目标 端口：
▲TP (C1-I-1 ) =50万
▲TP (C2-II-2) =30万
根据对 Cl、 C2的采集数据进行增量流向算法和源端口会聚算法， 最终锁定攻击流量 进入 C1和 C2的源端口：
▲SP (C1-II-1 ) =30万 计算匹配度为 96.2%
▲SP (C1-II-2) =20万 计算匹配度为 94.8%
▲SP (C2-II-3) =20万 计算匹配度为 95.1%
▲SP (C2-II-4) =10万 计算匹配度为 93.5 %
如图 7所示， 第 3级来源锁定： 将 C1-II-1、 Cl-II-2、 C2-II-3、 C2-II-4端口直连上行端 口作为目标端口。
▲TP (A1-II-1 ) =30万
▲TP (B1-II-2) =20万
▲TP (A1-II-3) =20万
▲TP (B1-II-4) =10万
根据对 Al、 B1 的采集数据进行增量流向算法和源端口会聚算法， 最终锁定攻击流量 进入 A1和 B1的源端口： ▲SP (Al-III-1 ) =50万 计算匹配度为 99.9%
▲SP (Bl-III-2) =30万 计算匹配度为 99.8% 最终锁定攻击来源到私有网络 1和私有网络 2的接入端口 （即最终停止， 确定最终的 攻击源）。
在另外一个实施例中， 还提供了一种软件， 该软件用于执行上述实施例及优选实施方 式中描述的技术方案。
在另外一个实施例中， 还提供了一种存储介质， 该存储介质中存储有上述软件， 该存 储介质包括但不限于： 光盘、 软盘、 硬盘、 可擦写存储器等。
显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可以用通用的计 算装置来实现， 它们可以集中在单个的计算装置上， 或者分布在多个计算装置所组成的网 络上， 可选地， 它们可以用计算装置可执行的程序代码来实现， 从而， 可以将它们存储在 存储装置中由计算装置来执行， 或者将它们分别制作成各个集成电路模块， 或者将它们中 的多个模块或步骤制作成单个集成电路模块来实现。 这样， 本发明不限制于任何特定的硬 件和软件结合。
以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本领域的技术人 员来说， 本发明可以有各种更改和变化。凡在本发明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权利要求书
1. 一种异常网络流量的攻击源追踪方法， 其特征在于， 包括： 在攻击链路的网络节点中， 选择任意一个或多个所述网络节点作为追踪起点， 其 中， 所述攻击链路为被攻击目标和攻击源之间的通信链路； 根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点， 直至确认最终的 攻击源。
2. 根据权利要求 1所述的方法， 其特征在于， 选择任意一个或多个所述网络节点作为追 踪起点， 包括： 根据预设周期采集所述攻击链路的网络节点的端口数据包载荷； 根据当前采集的数据包载荷和上一个所述预设周期采集的数据包载荷确定所述追 踪起点。
3. 根据权利要求 2所述的方法， 其特征在于， 所述数据包载荷为所述预设周期内平均每 个数据包载荷。
4. 根据权利要求 3所述的方法， 其特征在于， 所述预设周期内平均每个数据包载荷通过 以下方式确定： 预设周期内平均每个数据包载荷 =预设周期内平均带宽 /预设周期内数据包总数。
5. 根据权利要求 3所述的方法， 其特征在于， 当所述上一级网络节点为多个时， 还包 括： 根据所述攻击链路的匹配度来区分多个不同的上一级网络节点， 其中， 所述匹配 度用于指示所述追踪起点的预设周期内平均每个数据包载荷与不同的所述上一级节点 的预设周期内平均每个数据包载荷的相似程度。
6. 根据权利要求 2所述的方法， 其特征在于， 根据当前采集的数据包载荷和上一个所述 预设周期采集的数据包载荷确定所述追踪起点， 包括： 根据当前采集的数据包载荷和上一个所述预设周期采集的数据包载荷确定所述攻 击链路的网络节点的端口流的指纹， 其中， 所述流的指纹根据以下公式确定： 流的指纹 = [ 1- ( AP/ABP ) ] X 100%, AP=P0- ( P-1 ) , ABP=BP0- ( BP-1 ) ,
P0表示当前数据； （P-1 ) 表示当前预设周期的前一个周期数据； BP0表示前一天的同 时刻数据； （BP-1 ) 表示前一天当前预设周期的前一个周期数据； 当所述流的指纹在未到达预设阈值时， 确定所述流的指纹所对应的网络节点可作 为所述追踪起点。
7. 根据权利要求 1所述的方法， 其特征在于， 根据所述追踪起点逐级确定所述攻击链路 中的上一级网络节点， 包括： 获取所述追踪起点的入流量增量及所述上一级网络节点的出流量增量， 其中， 所 述入流量增量为所述追踪起点在其接收的网络流量异常时相对于网络流量正常时所增 加的网络流量， 所述出流量增量为所述上一级网络节点在其传出的网络流量异常时相 对于网络流量正常时所增加的网络流量； 根据所述入流量增量及所述出流量增量的比值确定所述上一级节点作为新的追踪 起点； 根据所述新的追踪起点逐级确定所述攻击链路中的所述新的追踪起点的上一级网 络节点。
8. 根据权利要求 1所述的方法， 其特征在于， 通过以下方式确认最终的攻击源： 当所述上一级网络节点的数量为 0时， 则确定所述上一级网络节点的下一级网络 节点为最终的攻击源。
9. 一种异常网络流量的攻击源追踪装置， 其特征在于， 包括： 选择模块， 用于在攻击链路的网络节点中， 选择任意一个或多个所述网络节点作 为追踪起点， 其中， 所述攻击链路为被攻击目标和攻击源之间的通信链路； 确定模块， 用于根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点， 直至确认最终的攻击源。
10. 根据权利要求 9所述的装置， 其特征在于， 所述确定模块包括： 获取单元， 获取所述追踪起点的入流量增量及所述上一级网络节点的出流量增 量， 其中， 所述入流量增量为所述追踪起点在其接收的网络流量异常时相对于网络流 量正常时所增加的网络流量， 所述出流量增量为所述上一级网络节点在其传出的网络 流量异常时相对于网络流量正常时所增加的网络流量； 第一确定单元， 用于根据所述入流量增量及所述出流量增量的比值确定所述上一 级节点作为新的追踪起点； 第二确定单元， 用于根据所述新的追踪起点逐级确定所述攻击链路中的所述新的 追踪起点的上一级网络节点， 直至确认最终的攻击源。
PCT/CN2012/085039 2011-12-07 2012-11-22 异常网络流量的攻击源追踪方法及装置 WO2013082997A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/349,071 US9729559B2 (en) 2011-12-07 2012-11-22 Method and apparatus for tracing attack source of abnormal network traffic

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110402733.4A CN102497362B (zh) 2011-12-07 2011-12-07 异常网络流量的攻击源追踪方法及装置
CN201110402733.4 2011-12-07

Publications (1)

Publication Number Publication Date
WO2013082997A1 true WO2013082997A1 (zh) 2013-06-13

Family

ID=46189148

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/085039 WO2013082997A1 (zh) 2011-12-07 2012-11-22 异常网络流量的攻击源追踪方法及装置

Country Status (3)

Country Link
US (1) US9729559B2 (zh)
CN (1) CN102497362B (zh)
WO (1) WO2013082997A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115134250A (zh) * 2022-06-29 2022-09-30 北京计算机技术及应用研究所 一种网络攻击溯源取证方法

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102497362B (zh) * 2011-12-07 2018-01-05 北京润通丰华科技有限公司 异常网络流量的攻击源追踪方法及装置
US10454950B1 (en) * 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
WO2017028031A1 (zh) * 2015-08-14 2017-02-23 华为技术有限公司 一种移动网络安全的处理方法、警示方法及用户终端
US10831931B2 (en) * 2016-03-31 2020-11-10 NEC Laboratories Europe GmbH Method and system for preserving privacy in an HTTP communication between a client and a server
CN106549929B (zh) * 2016-07-15 2019-11-05 北京安天网络安全技术有限公司 一种apt攻击源头的定位方法及系统
DE102017208547A1 (de) * 2017-05-19 2018-11-22 Robert Bosch Gmbh Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff
DE102017208551A1 (de) * 2017-05-19 2018-11-22 Robert Bosch Gmbh Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff
CN107612890B (zh) * 2017-08-24 2020-09-15 中国科学院信息工程研究所 一种网络监测方法及系统
CN107360196B (zh) * 2017-09-08 2020-06-26 杭州安恒信息技术股份有限公司 攻击检测方法、装置及终端设备
CN107995289B (zh) * 2017-12-01 2019-08-06 中国联合网络通信集团有限公司 一种网络用户的行为追踪方法及平台
US10999304B2 (en) 2018-04-11 2021-05-04 Palo Alto Networks (Israel Analytics) Ltd. Bind shell attack detection
CN112154635B (zh) * 2018-05-22 2023-08-08 上海诺基亚贝尔股份有限公司 Sfc覆盖网络中的攻击源追踪
CN108833388B (zh) * 2018-06-05 2020-10-02 上海垣安环保科技有限公司 一种针对网络身份入侵的主动式响应网安系统
CN109246124B (zh) * 2018-09-30 2020-05-19 华中科技大学 一种加密信息的主动防御方法
US11184378B2 (en) 2019-01-30 2021-11-23 Palo Alto Networks (Israel Analytics) Ltd. Scanner probe detection
US11070569B2 (en) 2019-01-30 2021-07-20 Palo Alto Networks (Israel Analytics) Ltd. Detecting outlier pairs of scanned ports
US11184376B2 (en) * 2019-01-30 2021-11-23 Palo Alto Networks (Israel Analytics) Ltd. Port scan detection using destination profiles
US11316872B2 (en) 2019-01-30 2022-04-26 Palo Alto Networks (Israel Analytics) Ltd. Malicious port scan detection using port profiles
US11184377B2 (en) * 2019-01-30 2021-11-23 Palo Alto Networks (Israel Analytics) Ltd. Malicious port scan detection using source profiles
CN110365635B (zh) * 2019-05-23 2022-04-26 新华三技术有限公司 一种非法端点的接入控制方法和装置
CN110392039A (zh) * 2019-06-10 2019-10-29 浙江高速信息工程技术有限公司 基于日志和流量采集的网络系统事件溯源方法及系统
CN110378404B (zh) * 2019-07-11 2021-11-26 武汉思普崚技术有限公司 一种网络追踪长链条攻击的方法、装置和系统
CN110365673B (zh) * 2019-07-11 2021-09-03 武汉思普崚技术有限公司 一种隔离网络攻击面的方法、服务器和系统
CN110365674B (zh) * 2019-07-11 2021-09-03 武汉思普崚技术有限公司 一种预测网络攻击面的方法、服务器和系统
CN110381047B (zh) * 2019-07-11 2021-09-03 武汉思普崚技术有限公司 一种网络攻击面追踪的方法、服务器和系统
GB202004748D0 (en) * 2020-03-30 2020-05-13 British Telecomm Method of analysing anomalous network traffic
US11509680B2 (en) 2020-09-30 2022-11-22 Palo Alto Networks (Israel Analytics) Ltd. Classification of cyber-alerts into security incidents
RU2751987C1 (ru) * 2020-10-18 2021-07-21 Юрий Иванович Стародубцев Способ физического разнесения трактов приема и передачи данных в условиях деструктивных программных воздействий
CN112738044B (zh) * 2020-12-22 2023-03-24 湖南麒麟信安科技股份有限公司 一种多协议链路路径追踪方法及系统
CN112905996A (zh) * 2021-03-23 2021-06-04 贵州航天云网科技有限公司 基于多维度数据关联分析的信息安全溯源系统及方法
CN113489605B (zh) * 2021-06-29 2023-02-03 南京航空航天大学 一种基于健康度的网络节点重要度评估方法
US11799880B2 (en) 2022-01-10 2023-10-24 Palo Alto Networks (Israel Analytics) Ltd. Network adaptive alert prioritization system

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553624A (zh) * 2003-12-19 2004-12-08 上海交通大学 基于主动网回溯技术防御拒绝服务攻击的方法
CN101262373A (zh) * 2008-04-18 2008-09-10 北京启明星辰信息技术股份有限公司 一种计算机网络入侵定位系统和方法
CN101459519A (zh) * 2009-01-08 2009-06-17 西安交通大学 一种基于网络流量的泛洪拒绝服务攻击防御方法
KR20090113745A (ko) * 2008-04-28 2009-11-02 한국전자통신연구원 스파이 봇 에이전트를 이용한 네트워크 공격 위치 추적 방법, 및 시스템
CN102497362A (zh) * 2011-12-07 2012-06-13 北京润通丰华科技有限公司 异常网络流量的攻击源追踪方法及装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8010469B2 (en) * 2000-09-25 2011-08-30 Crossbeam Systems, Inc. Systems and methods for processing data flows

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553624A (zh) * 2003-12-19 2004-12-08 上海交通大学 基于主动网回溯技术防御拒绝服务攻击的方法
CN101262373A (zh) * 2008-04-18 2008-09-10 北京启明星辰信息技术股份有限公司 一种计算机网络入侵定位系统和方法
KR20090113745A (ko) * 2008-04-28 2009-11-02 한국전자통신연구원 스파이 봇 에이전트를 이용한 네트워크 공격 위치 추적 방법, 및 시스템
CN101459519A (zh) * 2009-01-08 2009-06-17 西安交通大学 一种基于网络流量的泛洪拒绝服务攻击防御方法
CN102497362A (zh) * 2011-12-07 2012-06-13 北京润通丰华科技有限公司 异常网络流量的攻击源追踪方法及装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115134250A (zh) * 2022-06-29 2022-09-30 北京计算机技术及应用研究所 一种网络攻击溯源取证方法
CN115134250B (zh) * 2022-06-29 2024-03-15 北京计算机技术及应用研究所 一种网络攻击溯源取证方法

Also Published As

Publication number Publication date
CN102497362A (zh) 2012-06-13
CN102497362B (zh) 2018-01-05
US20140230059A1 (en) 2014-08-14
US9729559B2 (en) 2017-08-08

Similar Documents

Publication Publication Date Title
WO2013082997A1 (zh) 异常网络流量的攻击源追踪方法及装置
Liu et al. Netfence: preventing internet denial of service from inside out
Dabbagh et al. Software-defined networking security: pros and cons
WO2016150253A1 (zh) 基于sdn的ddos攻击防护方法、装置及系统
Sanmorino et al. DDoS attack detection method and mitigation using pattern of the flow
US7254713B2 (en) DOS attack mitigation using upstream router suggested remedies
Ravi et al. Balance: Link flooding attack detection and mitigation via hybrid-sdn
CA2887428C (en) A computer implemented system and method for secure path selection using network rating
CN108810008B (zh) 传输控制协议流量过滤方法、装置、服务器及存储介质
Dao et al. MAEC-X: DDoS prevention leveraging multi-access edge computing
Shoeb et al. Resource management of switches and Controller during saturation time to avoid DDoS in SDN
US7464409B2 (en) Perimeter-based defense against data flooding in a data communication network
Chen et al. Attack Diagnosis: Throttling distributed denial-of-service attacks close to the attack sources
Geneiatakis et al. A multilayer overlay network architecture for enhancing IP services availability against DoS
Beitollahi et al. A cooperative mechanism to defense against distributed denial of service attacks
WO2021212851A1 (zh) 面向分组全生存周期的去中心化安全保障方法及装置
Mohammadi et al. Practical extensions to countermeasure dos attacks in software defined networking
Yang et al. Modeling and mitigating the coremelt attack
US10122686B2 (en) Method of building a firewall for networked devices
Saranya et al. A survey for restricting the DDOS traffic flooding and worm attacks in Internet
Bhadula et al. Utilization of puzzles for protection against DDoS attacks
Thang et al. Synflood spoofed source DDoS attack defense based on packet ID anomaly detection with bloom filter
Filipek et al. Security architecture for the mobile ad hoc networks
Pande et al. Prevention mechanism on DDOS attacks by using multilevel filtering of distributed firewalls
Cherukuri et al. Analysis and Mitigation Strategies of Security Issues of Software-Defined Networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12855330

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14349071

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12855330

Country of ref document: EP

Kind code of ref document: A1