[发明专利]一种抗DDOS攻击的控制方法和装置

说明书

技术领域

本发明属于网络通信安全技术领域，具体涉及一种抗分布式拒绝服务(Distributed Denial Of Service,DDOS)攻击的控制方法和装置。

背景技术

拒绝服务(Denial Of Service,DOS)攻击是当前网络中威胁最大的攻击之一。DOS攻击主要是通过恶意手段使目标服务器的CPU达到满载，耗尽服务器的资源，从而使用户无法实现对服务器的正常访问。分布式拒绝服务(Distributed Denial Of Service,DDOS)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动攻击，从而成倍地提高DOS攻击的威力。

目前，大多数防火墙设备都提供抗DDOS攻击服务，为了预防DDOS攻击，防火墙设备一般一直开启着抗DDOS攻击模块，以有效的阻止DDOS攻击行为。但是，如果防火墙一直开启着抗DDOS攻击模块，则需要对所有通过防火墙的数据包都进行攻击检测，如此，增加了防火墙的检测负担，从而导致防火墙转发数据包的速率下降，降低了防火墙的性能。

发明内容

本发明的目的是提供一种抗DDOS攻击的方法和装置，仅在需要的时候才开启抗DDOS攻击服务，在保证阻止DDOS攻击的前提下，有效的保证了数据转发的速率。

根据本发明的一个方面，提供了一种抗分布式拒绝服务DDOS攻击的控制方法，所述方法包括如下步骤：

配置session表的创建速率阈值；

检测当前session表的创建速率；

比较所述当前session表创建速率与所述阈值；

当所述当前session表的创建速率大于或等于所述阈值时，开启抗DDOS攻击服务；

当所述当前session表的创建速率小于所述阈值时，关闭抗DDOS攻击服务。

上述方案中，所述配置session表的创建速率阈值，具体为：

通过命令语句查看session表创建速率的统计值，根据所述统计值配置session表的创建速率阈值。

上述方案中，所述统计值至少包括：当日session表创建速率的最大值和平均值、当前周session表创建速率的最大值和平均值和当前月session表创建速率的最大值和平均值。

上述方案中，所述session表由带有因特网协议安全IPSec功能的网络设备在转发报文时进行创建。

本发明所提供的一种抗DDOS攻击的控制方法，通过预先配置session表创建速率阈值，当检测到的当前session表的创建速率大于或等于所述阈值时，开启抗DDOS攻击服务；当检测到的当前session表的创建速率小于所述阈值时，关闭抗DDOS攻击服务。如此，仅在需要的时候才开启抗DDOS攻击服务，克服了现有技术中DDOS服务需要一直处于开启状态、对所有转发的数据包进行DDOS检测的敝端，在保证阻止DDOS攻击的前提下，有效的保证了数据转发的速率。

根据本发明的另一个方面，还提供了一种抗分布式拒绝服务DDOS攻击的控制装置，所述装置包括：

阈值配置单元，用于配置session表的创建速率阈值；

session表创建速率检测单元，用于检测当前session表的创建速率；

DDOS启闭控制单元，分别与所述阈值配置单元和所述session表创建速率检测单元连接，用于比较所述当前session表创建速率与所述阈值，当所述当前session表的创建速率大于所述阈值时，开启抗DDOS攻击单元；当所述当前session表的创建速率小于或等于所述阈值时，关闭抗DDOS攻击单元；以及

所述抗DDOS攻击单元，与所述DDOS启闭控制单元相连，用于提供抗DDOS攻击服务。

上述方案中，所述阈值配置单元进一步用于：通过命令语句查看session表创建速率的统计值，根据所述统计值配置session表创建速率阈值。

上述方案中，所述统计值至少包括：当日session表创建速率的最大值和平均值、当前周session表创建速率的最大值和平均值和当前月session表创建速率的最大值和平均值。

上述方案中，其特征在于，所述session表由带有因特网协议安全IPSec功能的网络设备在转发报文时进行创建。

上述方案中，所述网络设备为防火墙。