[发明专利]支持三层环路流量检测以及抗DDOS攻击的分流系统及方法

权利要求书

1.一种支持三层环路流量检测以及抗DDOS攻击的分流系统，其特征在于，包括：

特征库模块，包含设置关键字段的特征库，特征库模块用以获取流量数据的特征信息，以匹配特征库内的关键字段，记录并标识已匹配特征信息流量或者记录并标识攻击流量：

裁决器模块，用于当流量数据经过特征库模块后，根据标识内容，对流量数据相应做出动作，包括输出或丢弃，超过阈值则产生告警。

2.根据权利要求1所述的系统，其特征在于：关键字段包括三层环路流量的关键字段及DDOS攻击报文关键字段；三层环路流量报文关键字段包括五元组信息、报文长度字段和IP的ID字段；其中DDOS攻击报文关键字段包括报文长度字段和TCP的Flags字段。

3.根据权利要求1或2所述的系统，其特征在于：所述特征库模块还具有学习功能，对符合特征库特征流量都会被学习，产生一条关键字段，用于标识已匹配特征信息流量。

4.根据权利要求3所述的系统，其特征在于：在特征库模块中，当接入海量数据后，对提取的报文关键字段信息匹配特征库，匹配时，记录并检测是否达到阈值，标识数据流量，用以裁决器模块进一步处理；不匹配时，特征库通过学习通道判断是否满足学习要求，若是满足则新增一条关键字段信息，后续数据匹配不再学习，若是不满足则不学习。

5.根据权利要求1所述的系统，其特征在于：裁决器模块通过API接口，修改或调整动作方式，实现动态调整。

6.一种支持三层环路流量检测以及抗DDOS攻击的分流方法，其特征在于，包括以下步骤：

(1)、设置特征库，获取流量数据的特征信息，以匹配特征库内的关键字段，记录并标识已匹配特征信息流量或者记录并标识攻击流量：

(2)、根据标识内容，对流量数据相应做出动作，包括输出或丢弃，超过阈值则产生告警。

7.根据权利要求5所述的方法，其特征在于：关键字段包括三层环路流量的关键字段及DDOS攻击报文关键字段；三层环路流量报文关键字段包括五元组信息、报文长度字段和IP的ID字段；其中DDOS攻击报文关键字段包括报文长度字段和TCP的Flags字段；

通过判断流量数据的特征信息与五元组信息、报文长度字段和IP的ID字段是否匹配来确定是否是三层环路流量报文；

通过判断流量的特征信息与报文长度字段和TCP的Flags字段是否匹配来确定是否是攻击报文。

8.根据权利要求5所述的方法，其特征在于：步骤(1)中，对符合特征库内的特征流量都会被学习，产生一条关键字段，用于标识已匹配特征信息流量。

9.根据权利要求6所述的方法，其特征在于：步骤(1)中，当接入海量数据后，对提取的报文关键字段信息匹配特征库，匹配时，记录并检测是否达到阈值，标识数据流量，转到步骤(2)进一步处理；不匹配时，通过学习通道判断是否满足学习要求，若是满足则新增一条关键字段信息，后续数据匹配不再学习，若是不满足则不学习。

10.一种支持三层环路流量检测以及抗DDOS攻击的分流方法，其特征在于，包括以下步骤：

步骤101，接入流量数据，经过分流设备提取特征库信息，用于特征库模块匹配处理；

步骤102，判断是否匹配特征库，若是匹配，则执行103步骤，否则执行105步骤；

步骤103，匹配特征库流量被标识，用于裁决器处理依据；

步骤104，裁决器根据标识信息，对数据进行相关处理，并获取数据信息；

步骤105，对于不能匹配特征库数据，判断是否符合特征库信息，若是匹配添加到特征库；

步骤106，添加特征库报文也被标识，并送到步骤103继续处理。