[发明专利]一种攻击的防御方法

权利要求书

1.一种攻击的防御方法，其特征在于，所述方法包括以下步骤：

网络安全设备接收到客户端发送给服务器的TCP SYN报文时，计算出cookie值，并将所述cookie值添加到SYN/ACK报文中，然后将所述SYN/ACK报文回送给所述客户端；

所述客户端接收到所述SYN/ACK报文后，向所述网络安全设备发送ACK报文；

所述网络安全设备接收到所述ACK报文后，利用所述cookie值对所述ACK报文进行校验，若校验成功，则将所述ACK报文的源IP地址标记为合法用户，所述网络安全设备与所述客户端建立第一TCP连接，并代理所述客户端与所述服务器建立第二TCP连接，否则将所述ACK报文的源IP地址标记为攻击方。

2.根据权利要求1所述的方法，其特征在于，所述计算出cookie值具体包括：

根据所述TCP SYN报文的TCP首部信息，利用加密算法计算出所述cookie值。

3.根据权利要求2所述的方法，其特征在于，所述TCP SYN报文的TCP首部信息包括源IP地址、源端口号和本地时间中的任意一个或多个。

4.根据权利要求2所述的方法，其特征在于，所述加密算法为md5算法。

5.根据权利要求1所述的方法，其特征在于，所述计算出cookie值具体包括：

将预设值作为所述cookie值。

6.根据权利要求1-5任一项所述的方法，其特征在于，将所述cookie值添加到SYN/ACK报文中具体包括：

将所述cookie值添加为所述SYN/ACK报文的TCP首部中的序列号。

7.根据权利要求6所述的方法，其特征在于，利用所述cookie值对所述ACK报文进行校验具体包括：

将所述ACK报文的TCP首部中的序列号与所述cookie值进行校验，若两者互相匹配，则判定为校验成功。

8.根据权利要求1-5任一项所述的方法，其特征在于，将所述ACK报文的源IP地址标记为攻击方之后还包括步骤：

丢弃所述ACK报文；

或者，所述网络安全设备与所述客户端建立第一TCP连接，并与所述服务器建立第二TCP连接，当所述客户端向所述服务器发送请求报文时，所述网络安全设备拦截并丢弃所述请求报文。

9.根据权利要求1所述的方法，其特征在于，将所述ACK报文的源IP地址标记为合法用户之后还包括步骤：

将所述ACK报文的源IP地址添加到白名单，

当所述网络安全设备接收到所述客户端发送给所述服务器的请求报文时，判断所述客户端的IP地址是否在所述白名单中，若是，则将所述请求报文发送给所述服务器。

10.根据权利要求1所述的方法，其特征在于，将所述ACK报文的源IP地址标记为攻击方之后还包括步骤：

将所述ACK报文的源IP地址添加到黑名单，

当所述网络安全设备接收到所述客户端发送给所述服务器的请求报文时，判断所述客户端的IP地址是否在所述黑名单中，若是，则将所述请求报文拦截并丢弃。