[发明专利]一种处理IP分片报文的方法、装置及系统

说明书

技术领域

本发明涉及通信领域的网络技术，具体指一种处理IP分片报文的方法、 装置及系统。

背景技术

随着互联网应用普及，产生了各种各样的安全问题，例如网络中的蠕虫、 病毒及垃圾邮件，木马，分布式拒绝服务DDoS攻击等越来越常见，攻击行为时 刻都在发生。网络安全作为一个无法回避的问题呈现在人们面前。目前，针对 网络入侵检测系统NIDS和网络入侵保护系统NIPS作为一种积极主动的安全防护 系统，主要通过入侵检测技术将攻击数据包从合法数据包中区分出来。

NIDS/NIPS中的入侵检测技术主要一类是误用检测。在误用检测模式中，首 先将所有入侵行为及其变种，表达为确定的模式或特征，建立一个入侵模式库。 检测时，为了提高IP分片重组效率，通过使用更多的CPU计算资源尽力满足IP 分片重组系统，使得IP分片重组系统对接收到的IP分片进行重组，对IP分片重 组后的IP数据包进行检测，通过判别网络中所检测到的IP数据包的数据特征是 否在所收集到的入侵模式库中出现而断定是否是入侵行为。

发明人发现现有技术中的上述方法至少存在如下问题：

由于NIDS/NIPS在进行入侵检测防护时试图提高IP分片重组效率，需要使 用更多的CPU计算资源(多个IP分片重组线程)尽力满足IP分片重组，实际上分片 重组攻击最容易耗尽的是存储资源，在IP分片的存储资源满负荷时，许多分片 攻击是故意不发送部分分片，耗尽存储资源，或者，许多分片攻击随机发送各 个类型的IP分片数据包，使得被攻击系统忙于这些分片的重组，这使得分片重 组的效率大大降低，增加了系统开销，造成性能瓶颈。

发明内容

有鉴于此，本发明实施例的主要目的在于提供一种处理IP分片报文的方法、 装置及系统，通过快速准确地识别出IP分片中的攻击分片报文，解决因IP分片 攻击造成的性能瓶颈的问题，减轻了NIDS/NIPS系统的存储资源和CPU计算资源 压力，从而提高了NIDS/NIPS系统的处理能力和IP分片重组的效率。

为实现上述目的，本发明实施例提供如下的技术方案：

一种处理IP分片报文的方法，所述方法包括：

接收网络设备发送的IP分片报文；

当所述IP分片报文所属IP数据包记录有完整的特征信息时，检测所述IP分片 报文所属IP数据包的TCP连接是否已经建立，其中所述特征信息包括：源IP地址， 目的IP地址，源端口，目的端口，协议号；

若所述IP数据包的TCP连接没有建立，则对所述IP数据包的IP分片报文进行 丢弃处理或者统计处理。

一种处理IP分片报文装置，所述装置包括：

接收模块：用于接收网络设备发送的IP分片报文；

检测模块：用于当所述IP分片报文所属IP数据包记录有完整的特征信息时， 检测所述IP分片报文所属IP数据包的TCP连接是否已经建立；

处理模块：用于根据所述检测模块检测到所述IP数据包的TCP连接没有建 立，则对所述IP数据包的IP分片报文进行丢弃处理或者统计处理。

一种处理IP分片报文系统，所述系统包括：

接收模块，用于接收网络设备发送的IP分片报文；

第一检测模块，用于检测IP分片报文所属IP数据包记录的特征信息是否完 整；

第二检测模块，用于当所述检测子模块检测到所述IP分片报文所属IP数据包 记录有完整的特征信息时，检测所述IP分片报文所属IP数据包的TCP连接是否已 经建立；

处理模块，用于根据所述检测模块检测到所述IP数据包的TCP连接没有建 立，则对所述IP数据包的IP分片报文进行丢弃处理或者统计处理。

本发明实施方式通过接收网络设备发送的IP分片报文；当所述IP分片报文 所属IP数据包记录有完整的特征信息时，检测所述IP分片报文所属IP数据包的 TCP连接是否已经建立，其中所述特征信息包括：源IP地址，目的IP地址，源端 口，目的端口，协议号；若所述IP数据包的TCP连接没有建立，则对所述IP数据 包的IP分片报文进行丢弃处理或者统计处理，从而解决了因IP分片攻击造成的 性能瓶颈的问题，减轻了NIDS/NIPS系统的存储资源和CPU资源压力，从而提高 了NIDS/NIPS系统的处理能力和IP分片重组的效率。

附图说明