[发明专利]基于活动IP记录的IP欺骗DDoS攻击防御方法无效
申请号: | 200710049922.1 | 申请日: | 2007-09-03 |
公开(公告)号: | CN101383812A | 公开(公告)日: | 2009-03-11 |
发明(设计)人: | 张凤荔;陈伟;钟婷;罗绪成;钱伟中;刘峤 | 申请(专利权)人: | 电子科技大学 |
主分类号: | H04L29/06 | 分类号: | H04L29/06;H04L12/66;H04L12/56 |
代理公司: | 暂无信息 | 代理人: | 暂无信息 |
地址: | 610054四*** | 国省代码: | 四川;51 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 基于 活动 ip 记录 欺骗 ddos 攻击 防御 方法 | ||
1、一种基于活动IP记录的IP欺骗DDoS攻击防御方法,其特征在于:
该防御方法基于活动IP记录表;
使用该防御方法的DDoS防御网关部署于自治网络边界;
来自活动IP的数据包直接放行,而来自非活动IP的数据包将逐渐被自治网络丢弃。
2、如权利要求1所述的活动IP记录表,将IP在数据包源地址中出现的频度作为该IP是否活动的准则,与自治系统建立连接或请求建立连接的IP将被判定为活动IP加入活动IP表,活动IP记录表的大小用于设定防御网关所能承受的最大网络流量,可以由网络管理员手动设定,也可以在没有攻击的情况下,由程序根据通过的网络流量曲线自学习获得。
3、如权利要求1所述,DDoS防御网关收到数据包后,将数据包源IP用于活动IP表查询,命中则直接放行数据包。而没有命中的数据包将被标记后放行,标记即对其TTL字段修改,随机改为一个较小的值0-n,其中n根据自治系统的大小而定,确保数据包在到达受害主机之前被丢弃。
4、如权利要求2所述,活动IP表记录与系统已建立连接的IP和正在请求建立连接的IP,它由连接IP表和请求IP表两部分构成。
连接IP表中的IP是与系统已建立连接的IP地址,每个IP都对应一个预计存活时间值,在该时间内来自该IP的每个数据包将被放行,同时延长该IP的预计存活时间。
请求IP表记录正在请求与系统建立连接的IP。收到来自连接IP表以外IP的数据包将为该IP建立一个新表项。请求IP表中每一IP表项对应一个等待证实时间值,在该时间内有来自该IP地址的数据包到达或来自该IP的数据包达到某个数值,该IP将被移至连接IP表中,如果连接IP表满,则放入等待队列中排队;若等待证实时间超时,没有收到来自该IP的数据包,该IP将被从请求IP表中移除。
5、如权利要求4所述,初始时活动IP表为空,在连接IP表未满的情况下,数据包到达后不进行活动IP表匹配而直接通过,同时将数据包源IP记录到连接IP表中。
连接IP表满后,数据包到达后,将首先进行源IP的连接IP表匹配,命中后放行数据包,并刷新预计存活时间。
未命中则进行请求IP表匹配,命中后检查连接IP表是否未满,未满则移至其中,否则放入连接IP表等待队列,同时放行该数据包。当连接IP表有表项超时移除时将等待队列首项移至其中。若查询请求IP表未命中,则该数据包为非活动IP数据包,将其源IP插入请求IP表,同时修改其TTL进行标记,并放行。
6、如权利要求5所述,经标记后的非活动IP数据包在自治系统中路由转发至TTL为0后,路由器将其丢弃,并发送ICMP生命期超时差错报文通告源节点。真实源节点将进行响应重传。
7、如权利要求1所述,该防御方法的部署于自治系统边界,若自治系统与Internet主干网络之间通过多条链路进行连接,则该方法可以同时在这多条链路的边界实施防御,多个防御节点彼此独立,不需要各个防御节点进行协作。
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于电子科技大学,未经电子科技大学许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/200710049922.1/1.html,转载请声明来源钻瓜专利网。