[发明专利]一种异常流量攻击检测处置的方法和装置

说明书

本发明提供一种异常流量攻击检测处置的方法，步骤包括：1)过滤来访IP地址的已知的异常流量和正常流量；2)根据通过的来访IP地址的当前流量数值与流量TOPN动态过滤表中对应的流量模板数值区分出所述通过的来访IP地址中的异常流量和正常流量；3)丢弃异常流量，转发正常流量。本发明还提供一种异常流量攻击检测处置的装置，包括依次连接的流量接收单元、静态过滤单元、动态检测过滤单元和自学习单元，其中，动态检测过滤单元连接有运算判决单元和自学习单元。本方法和装置能够提高异常行为的处理效率和检测准确率，快速检测和处理异常攻击流量而且不能影响正常的流量访问。

技术领域

本发明涉及一种网络攻击检测和防护技术，尤其涉及一种针对低流量的应用型DDOS的异常流量攻击检测处置的方法和装置。

背景技术

随着互联网技术的快速发展，利用互联网进行攻击的行为也越来越多，其中，分布式拒绝服务(DDOS)攻击就是一种常见的攻击手段，其共同的特征就是利用协议漏洞，并通过很多伪造的“僵尸主机”向受害目标主机发送大量看似合法的网络包，从而导致网络阻塞或目标服务器资源耗尽而导致服务不可用。DDOS攻击的手段和表现形式很多，主要分为流量型和应用型，其中流量型DDOS攻击(针对传送控制协议的TCP Flood、针对用户数据报协议的UDP Flood、针对控制报文协议的ICMP Flood等)主要是一些常见的UDP和TCP Flood包，协议特征明显较容易检测和过滤。

而应用型DDOS攻击(包括针对DNS服务器的DNS FLOOD、针对系统漏洞的CC攻击、针对WEB应用的HTTP FLOOD等)由于具有流量小、速度慢、很容易混杂在正常应用访问中难以甄别和防护，处理效率和检测准确率是衡量该项攻防技术的关键指标。其流量特征如图2所示，实线阴影部分表示一个具有周期统计特性的正常流量，统计周期为T，虚线表示异常流量，其中，(M₁、M₂……M_k)为将周期T分为K份采样量化得到的流量数值序列。

目前，针对应用型DDOS攻击的异常流量检测技术较少而且实现复杂，存在以下一个或多个缺点：基于流量FLOW统计的的检测和防御攻击，其精度性不高，没法深入到应用协议本身；仅针对单个IP攻击检测及过滤方法，在大量新伪造来访IP中将严重失效；目前常用的单纯针对IP流量面积来判断异常攻击的检测过滤方法，在有大流量的正常应用行为(如DNS查询、WEB访问等)存在时，误判增多方法失效；而针对DNS服务器查询日志的行为识别方法，需要额外的与DNS服务器交互信息，实现和部署不便，且不够实时。

发明内容

鉴于上述不足，本发明提供一种异常流量攻击检测处置的方法和装置，提高异常行为的处理效率和检测准确率，快速检测和处理异常攻击流量而且不能影响正常的流量访问。

为了解决上述技术问题，本发明采用的技术方案如下：

一种异常流量攻击检测处置的方法，步骤包括：

1)过滤来访IP地址的已知的异常流量和正常流量；

2)根据通过的来访IP地址的当前流量数值与流量TOP N动态过滤表中对应的流量模板数值区分出所述通过的来访IP地址中的异常流量和正常流量；

3)丢弃异常流量，转发正常流量。

进一步地，步骤1)所述已知的异常流量为IP地址在黑名单中的流量；已知的正常流量为IP地址在白名单中的流量。

进一步地，所述流量TOP N动态过滤表为链表，其信息根据历史访问流量从大到小依次排序建立，包括：

1……N+M行IP信息链表，每行IP信息链表包括IP地址、历史访问流量统计和流量模板，该流量模板包括全部时间节点的流量模板数值，这些数值是根据该IP地址的历史访问流量通过自学习算法得到；