[发明专利]宽带接入设备的网络攻击防护方法

说明书

技术领域

本发明涉及一种通讯技术，尤其涉及一种宽带接入网络设备的网络攻击防护方法。 

背景技术

随着网络扁平化的发展趋势，接入网设备也在向扁平化发展，从原来的单纯的两层功能扩充到了能处理一些基本的三层功能，在增强处理功能的同时，也对设备的中央处理器(CPU，Central Processor Unit)的处理能力提出了考验。目前网上攻击日益频繁，使得接入网络设备在网络使用中出现了较多问题。为了增强网络设备特别是接入网设备的防攻击能力，使其具备更强的网络适应性，需要对网络设备的抗攻击性能进一步加强。 

网络攻击的类型主要分为：对网络设备CPU的流量攻击、对网络协议的攻击、对设备的表项的攻击等几种类型。不过目前在网络上比较常见的是对网络设备CPU的流量攻击，包括：阻绝服务攻击(DoS，Denial of Service)、扫描窥探攻击、协议报文攻击等，这些攻击都表现为可以在短时间内用大量报文攻击CPU，因为CPU处理能力有限，会影响其他协议和用户报文的接收，同时影响到网络的连通性、业务的连续性和可管理性。随着网络规模的扩大、接入用户增多，各地组网和应用情况各异，病毒、恶意用户攻击网络的案例不断增加，网络安全问题对我们接入设备的应用影响越来越大。对于接入设备，由于处理能力的限制，如果有大量的报文涌向主控板，则CPU占有率太高，影响到正常的业务处理。因此，加强对CPU的保护对提高网络设备特别是接入网络产品的稳定性有着重要意义。 

目前对于CPU抗攻击方法主要分为硬件和软件两种类型。对于硬件防护方法，一般是采用预先设置硬件访问控制列表(ACL，Access Control List)规则来对报文进行过滤；对于软件防护方法，一般是采用在网络设备中设置专门的软件，用该软件限制报文速率，从而实现对网络设备接收的报文进行过滤，以抵抗对CPU的攻击。对于硬件预先设置ACL规则的方法，以数字用户线接入复用设备(DSLAM，Digital subscriber line access multiplexer)为例，在DSLAM正常工作时，也占用ACL的规则，消耗硬件资源。同时缺少自动分析和防御CPU攻击的能力，无法自动完成对芯片的设置，或是只有在使用者干预下才能完成芯片的设置，因而无法及时对攻击报文进行响应。对于软件限制报文速率的方法，需要使用软件对报文特征进行分析，对超速率的报文进行限速。但在受到大流量报文攻击的时候，软件限制报文速率的方法需要对CPU接收到的所有报文进行分析，会占用较多的CPU资源，且攻击报文仍然会占用端口正常业务报文的硬件队列的带宽，无法避免与攻击报文在同一个硬件接收队列的其他业务报文被攻击报文淹没的情形，导致软件分析的效率低下。 

发明内容

本发明要解决的技术问题是提供一种宽带接入设备的网络攻击防护方法，能够有效应对通讯设备上CPU可能受到的网络攻击。 

技术方案如下： 

一种宽带接入设备的网络攻击防护方法，步骤包括： 

(1)在接入设备上设置黑名单列表、黑名单判断阈值和黑名单受控功能开关；所述黑名单列表为存放用户报文的发送速率超过所述黑名单判断阈值的介质访问控制层MAC地址的列表；所述黑名单受控功能开关用于打开或者关闭所述黑名单列表；黑名单判断阈值是以源MAC地址标识的用户单位时间送往CPU的用户报文的个数； 

(2)所述接入设备CPU接收用户报文，当所述用户报文的发送速率超过所述黑名单判断阈值时，提取出所述用户报文的源MAC地址； 

(3)当所述源MAC地址不属于上联设备时，所述接入设备CPU判断所述源MAC地址是否存在于黑名单列表中；当所述黑名单受控功能开关打开，并且所述源MAC地址存在于所述黑名单列表中时，丢弃所述黑名单列表中的MAC地址对应的用户报文。 

进一步，步骤(3)中，如果所述源MAC地址是上联设备的MAC地址，将所述用户报文送往上联设备继续处理。 

进一步，步骤(3)中，当所述源MAC地址不在黑名单列表中时，查找所述源MAC地址是否在于MAC统计表中；如果不存在，将所述源MAC地址插入到所述MAC统计表中，然后更新MAC统计值；所述MAC统计表为送往所述CPU处理的以用户报文的源MAC地址区分不同用户报文的统计值列表；所述MAC统计值用于统计所有送入所述接入设备CPU的MAC地址对应用户报文的个数。 

进一步，步骤(3)中，当统计周期到时，对黑名单列表进行更新，步骤包括：