[发明专利]一种攻击防御方法和装置

说明书

本申请实施例提供了一种攻击防御方法和装置，该方法包括：当监测到访问流量时，确定设备当前的性能状态；当所述性能状态为目标状态时，确定所述访问流量对应的评分值；根据设备当前的性能数据进行计算，确定所述设备的信任阈值；在所述评分值低于所述信任阈值时，确定所述访问流量是否与预置的攻击特征匹配；在所述访问流量与所述攻击特征匹配时，阻断所述访问流量。通过本实施例，WAF设备在流量超压状态下，触发信任评分功能，通过判断访问流量对应的评分值是否低于信任阈值，确定是否需要对访问流量进行深度攻击检测，从而可以检测到攻击流量并进行拦截，保证网站服务器的安全，即达到防护效果。

技术领域

本申请涉及数据通信技术领域，特别是涉及一种攻击防御方法和一种攻击防御装置。

背景技术

随着电子商务、网上银行、电子政务的盛行，网站(Website，Web)服务器承载的业务价值越来越高，Web服务器所面临的安全威胁也随之增大，因此，针对Web应用层的防御成为必然趋势，网站应用防火墙(Web Application Firewall，WAF)开始流行起来。其中，Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

通常，WAF设备在性能资源空闲的状态下，客户端(Client)发送的访问流量若要访问防火墙(Firewall)后端的服务器(Server)，则需要通过 WAF设备的检测，才能访问到服务器，即在通过检测时才能穿过防火墙到达服务器，在没有通过检测时被该防火墙拦截。但是，所有访问流量都在 WAF设备进行汇聚，WAF设备会出现突发的性能压力，成为组网中的性能瓶颈，如图1所示。在客户端(Client)访问服务器(Server)的流量超压的状态下，WAF设备通过旁路功能(Bypass)会主动放行所有访问流量，即不对任何访问流量进行检测。此时，若攻击者通过操作诸如个人计算机等客户端构造攻击流量，对服务器进行攻击，而WAF设备不对任何访问流量进行检测，则无法拦截该攻击流量，即放行攻击流量。该攻击流量可以到达服务器，对服务器造成攻击。

显然，现有WAF设备在访问流量超压的状态下，放行所有访问流量的方法无法达到防护的效果。

发明内容

鉴于上述问题，提出了本申请实施例以便提供一种攻击防御方法和相应的一种攻击防御装置，以对网站站点进行保护。

为了解决上述问题，本申请实施例公开了一种攻击防御方法，包括：当监测到访问流量时，确定设备当前的性能状态；当所述性能状态为目标状态时，确定所述访问流量对应的评分值；根据设备当前的性能数据进行计算，确定所述设备的信任阈值；在所述评分值低于所述信任阈值时，确定所述访问流量是否与预置的攻击特征匹配；在所述访问流量与所述攻击特征匹配时，阻断所述访问流量。

相应的，本申请实施例还公开了一种攻击防御装置，包括：性能状态确定模块，用于当监测到访问流量时，确定设备当前的性能状态；评分值确定模块，用于当所述性能状态为目标状态时，确定所述访问流量对应的评分值；信任阈值确定模块，用于根据设备当前的性能数据进行计算，确定所述设备的信任阈值；攻击检测模块，用于在所述评分值低于所述信任阈值时，确定所述访问流量是否与预置的攻击特征匹配；流量阻断模块，用于在所述访问流量与所述攻击特征匹配时，阻断所述访问流量。

本实施例中，WAF设备在监测到访问流量时，可以通过确定当前的性能状态，以确定是否处于目标状态，即判断是否处于流量超压状态，从而在性能状态处于目标状态时，通过确定访问流量对应的评分值以及设备当前对应的信任阈值，可以确定是否需要对访问流量进行攻击检测，即在评分值低于信任阈值时，检测访问流量是否与预置的攻击特征匹配，当访问流量与攻击特征匹配时，可以确定该访问流量为攻击流量，进而阻断该访问流量，使得该访问流量不能传输到目标IP地址的网站站点，即拦截攻击流量，从而可以避免该访问流量攻击网站站点，对网站站点进行保护。

附图说明