[发明专利]宽带接入设备的网络攻击防护方法

权利要求书

1.一种宽带接入设备的网络攻击防护方法，步骤包括：

(1)在接入设备上设置黑名单列表、黑名单判断阈值和黑名单受控功 能开关；所述黑名单列表为存放用户报文的发送速率超过所述黑名单判断阈 值的介质访问控制层MAC地址的列表；所述黑名单受控功能开关用于打开 或者关闭所述黑名单列表；黑名单判断阈值是以源MAC地址标识的用户单 位时间送往CPU的用户报文的个数；

(2)所述接入设备CPU接收用户报文，当所述用户报文的发送速率超 过所述黑名单判断阈值时，提取出所述用户报文的源MAC地址；

(3)当所述源MAC地址不属于上联设备时，所述接入设备CPU判断 所述源MAC地址是否存在于黑名单列表中；当所述黑名单受控功能开关打 开，并且所述源MAC地址存在于所述黑名单列表中时，丢弃所述黑名单列 表中的MAC地址对应的用户报文。

2.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，如果所述源MAC地址是上联设备的MAC地址，将 所述用户报文送往上联设备继续处理。

3.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，当所述源MAC地址不在黑名单列表中时，查找所 述源MAC地址是否在于MAC统计表中；如果不存在，将所述源MAC地 址插入到所述MAC统计表中，然后更新MAC统计值；所述MAC统计表 为送往所述CPU处理的以用户报文的源MAC地址区分不同用户报文的统 计值列表；所述MAC统计值用于统计所有送入所述接入设备CPU的MAC 地址对应用户报文的个数。

4.根据权利要求3所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，当统计周期到时，对黑名单列表进行更新，步骤包 括：

(31)轮询所述MAC统计表，将所述MAC统计值与设定阈值进行比 较，所述设定阈值为所述黑名单判断阈值和统计周期的乘积；

(32)将所述MAC统计值超过所述设定阈值的MAC地址加入到所述 黑名单列表中，同时向网管服务器发送黑名单告警TRAP消息；

(33)当所述MAC统计表轮询完成，清空所述MAC统计表中存放的 各个表项，进入下一统计周期的统计处理工作。

5.根据权利要求4所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(31)中，将所述MAC统计值与所述设定阈值进行比较，以 决定黑名单列表中MAC地址的增加或者删除；如果所述MAC统计值小于 所述设定阈值，则向网管服务器发送黑名单告警TRAP消息，同时置黑名单 列表该项标志为未使用。

6.根据权利要求4所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，如黑名单列表存满，则结束对MAC统计表的轮询； 当所述MAC统计表或黑名单表存满时，对新的MAC地址用户或者黑名单 用户不作处理，留待下一次的统计周期到来时识别。

7.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，当所述黑名单受控功能开关关闭时，对送入所述接 入设备CPU的用户报文不做安全防护，对进入所述黑名单列表的用户报文 送往上联设备继续处理。

8.根据权利要求1所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，在用户进入所述黑名单列表或者离开所述黑名单列 表时，分别对应发送告警信息或者告警恢复信息给网管。

9.根据权利要求8所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，当丢弃所述黑名单列表中的MAC地址对应的用户 报文后，更新丢包统计值；所述丢包统计值是送入所述接入设备CPU的经 过安全防护处理并被丢弃的MAC地址对应的用户报文个数；所述告警信息 或者告警恢复信息中携带有所述丢包统计值。

10.根据权利要求8所述的宽带接入设备的网络攻击防护方法，其特 征在于，步骤(3)中，当所述源MAC地址不在黑名单列表中时，所述告 警信息或者告警恢复信息中携带有所述MAC统计值。