[发明专利]网络攻击检测

权利要求书

1.一种用于检测数据通信网络上的攻击的方法，所述方法包括：

监控(610)寻址于始发用户系统(420)的返回消息(511)；

标识(620)指定种类的返回消息(511)；以及

将来自相同的始发用户系统(420)的后续消息临时路由(630)至入侵检测传感器(160)。

2.根据权利要求1所述的方法，其中所述入侵检测传感器(160)被选择安排在所述始发用户系统(420)的本地。

3.根据权利要求1或2所述的方法，其进一步包括：所述入侵检测传感器(160)欺骗与所述始发用户系统(420)的交换。

4.根据权利要求1至3中任何一项所述的方法，其中所述返回消息(511)与由所述始发用户系统(420)发送至目的地址的消息(501)有关，并且所述临时路由(630)的步骤被应用于从所述始发用户系统(420)到所述目的地址的所有后续消息。

5.根据前述权利要求中任何一项所述的方法，其中选择所述返回消息(511)的指定种类以指示目的地址是不可访问的。

6.根据前述权利要求中任何一项所述的方法，其中选择所述返回消息(511)的指定种类以包括指示失败连接的因特网控制消息协议消息。

7.根据前述权利要求中任何一项所述的方法，其中在预定的时间周期应用所述临时路由(630)。

8.根据前述权利要求中任何一项所述的方法，其进一步包括：如果已经将指定种类的一数目的返回消息(511)标识为寻址于始发用户系统(420)，所述数目超过了预定阈值，则触发所述临时路由(630)。

9.一种用于检测数据通信网络上的攻击的装置，所述装置包括：

路由器(430)，所述路由器(430)包括用于监控寻址于在所述路由器(430)本地的始发用户系统(420)的返回消息(511)的机制(460)；以及

入侵检测传感器(160)；

其中所述机制(460)包括：

消息检验器，所述消息检验器用于标识指定种类的返回消息(511)；以及

重选路由器，所述重选路由器用于将来自所述始发用户系统(420)的后续消息临时路由至所述入侵检测传感器(160)。

10.根据权利要求9所述的装置，其中所述入侵检测传感器(160)在所述路由器(430)的本地。

11.根据权利要求9或10所述的装置，其中所述入侵检测传感器(160)被设计以欺骗与所述始发用户系统(420)的交换。

12.根据权利要求11所述的装置，其中所述入侵检测传感器(160)包括虚拟化基础设施，所述虚拟化基础设施具有各自欺骗服务的多个虚拟传感器(310-315)。

13.根据权利要求9至12中任何一项所述的装置，其中所述返回消息(511)与由所述始发用户系统(420)发送至目的地址的消息(500)有关，并且所述重选路由器在从所述始发用户系统(420)到所述目的地址的所有后续消息上操作。

14.根据权利要求9至13中任何一项所述的装置，其中所述返回消息(511)的指定种类指示目的地址是不可访问的。

15.根据权利要求9至14中任何一项所述的装置，其中所述返回消息(511)的指定种类是指示失败连接的因特网控制消息协议消息。

16.根据权利要求9至15中任何一项所述的装置，其中所述重选路由器在预定的时间周期有效。

17.根据权利要求9至16中任何一项所述的装置，其中所述重选路由器包括确定器，所述确定器用于确定已被标识寻址于始发用户系统(420)的指定种类的返回消息(510)的数目是否超过了预定阈值。

18.一种路由器(430)，其包括：

机制(460)，所述机制(460)用于监控寻址于在所述路由器(430)本地的始发用户系统(420)的返回消息(511)；

消息检验器，所述消息检验器用于标识指定种类的返回消息(511)；以及

重选路由器，所述重选路由器用于将来自所述始发用户系统(420)的后续消息临时路由至入侵检测传感器(160)。