[发明专利]一种识别攻击的方法及装置

权利要求书

1.一种识别攻击的方法，应用于网络安全设备中，所述网络安全设备位于服务器之前，其特征在于，所述方法包括：

根据客户端与服务器之间的交互报文建立会话表；

获取会话表中处于单向会话的会话数量；

当所述处于单向会话的会话数量大于预设的攻击阈值时，确定所述服务器受到攻击。

2.如权利要求1所述的方法，其特征在于，所述获取会话表中处于单向会话的会话数量，包括：

对于所述会话表中的每一个会话表项，获取该会话表项对应的会话状态；

当所述会话状态为非稳定状态时，确定该会话表项对应的会话为单向会话；

统计所有非稳定状态的会话表项数目，得到处于单向会话的会话数量。

3.如权利要求2所述的方法，其特征在于，对于TCP会话，所述获取该会话表项对应的会话状态，包括：

当所述会话表项表示客户端向服务器发起连接请求时，确定客户端的会话为新建状态；

当所述会话表项表示服务器对客户端的连接请求进行响应时，确定客户端的会话为反向回应状态；

当所述会话表项表示客户端与服务器进行业务交互时，确定客户端的会话为稳定状态。

4.如权利要求2所述的方法，其特征在于，对于DNS会话，所述获取该会话表项对应的会话状态，包括：

当所述会话表项表示客户端向服务器发送DNS响应报文时，确定客户端的会话为非稳定状态。

5.如权利要求1所述的方法，其特征在于：

所述会话表中的会话表项以五元组信息进行标识。

6.一种识别攻击的装置，应用于网络安全设备中，所述网络安全设备位于服务器之前，其特征在于，所述装置包括：

会话表建立单元，用于根据客户端与服务器之间的交互报文建立会话表；

会话统计单元，用于获取会话表中处于单向会话的会话数量；

攻击识别单元，用于当所述处于单向会话的会话数量大于预设的攻击阈值时，确定所述服务器受到攻击。

7.如权利要求6所述的装置，其特征在于，所述会话统计单元具体用于：

对于所述会话表中的每一个会话表项，获取该会话表项对应的会话状态；

当所述会话状态为非稳定状态时，确定该会话表项对应的会话为单向会话；

统计所有非稳定状态的会话表项数目，得到处于单向会话的会话数量。

8.如权利要求7所述的装置，其特征在于，对于TCP会话，所述获取该会话表项对应的会话状态，包括：

当所述会话表项表示客户端向服务器发起连接请求时，确定客户端的会话为新建状态；

当所述会话表项表示服务器对客户端的连接请求进行响应时，确定客户端的会话为反向回应状态；

当所述会话表项表示客户端与服务器进行业务交互时，确定客户端的会话为稳定状态。

9.如权利要求7所述的装置，其特征在于，对于DNS会话，所述获取该会话表项对应的会话状态，包括：

当所述会话表项表示客户端向服务器发送DNS响应报文时，确定客户端的会话为非稳定状态。

10.如权利要求6所述的装置，其特征在于：

所述会话表中的会话表项以五元组信息进行标识。