[发明专利]一种采用网流技术防御TCP攻击的方法和系统

权利要求书

1.一种采用网流技术防御TCP攻击的方法，其特征在于：将源IP地址、目的IP地址、源协议端口号、目的协议端口号、入接口、出接口、协议类型、服务类型以及TCP报文的标志位字段都相同的报文作为一条流；通过所述流的标志位字段确定所述TCP攻击的类型；根据所述TCP攻击的类型，防御所述TCP攻击。

2.根据权利要求1所述的方法，其特征在于：

所述TCP报文的标志位包括：紧急指针字段有效URG、本报文段请求推操作PSH、确认字段有效ACK、序号同步SYN、连接复位RST以及发送方字节流结束FIN。

3.根据权利要求2所述的方法，其特征在于：

若所述流的标志位字段为URG、PSH、ACK或者SYN，停止处理所述TCP报文。

4.根据权利要求2所述的方法，其特征在于：

若所述流的标志位字段为ACK或者SYN，限制TCP连接数和半连接数。

5.根据权利要求2所述的方法，其特征在于：

若所述流的标志位字段为RST或者FIN，延迟一段时间后，将所述流老化。

6.根据权利要求5所述的方法，其特征在于：

对于活跃的流，所述延迟的时间比不活跃的流延迟的时间长。

7.根据权利要求6所述的方法，其特征在于：

活跃的流是非活跃时间小于设定值的流，不活跃的流是指非活跃时间大于设定值的流。

8.一种采用网流技术防御TCP攻击的系统，其特征在于：包括网流采样设备和网流分析处理设备：

网流采样设备：用于采集网络流量，将源IP地址、目的IP地址、源协议端口号、目的协议端口号、入接口、出接口、协议类型、服务类型以及TCP报文的标志位字段都相同的报文作为一条流；

网流分析处理设备：用于处理所述网流采样设备采集的流信息，分析得到所述TCP攻击的类型，根据TCP攻击的类型防御所述TCP攻击。

9.根据权利要求8所述的系统，其特征在于：包括网流流采集设备，用于存储所述网流采样设备采集的流信息，并将其转发给所述网流分析处理设备。