[发明专利]跨域联动防护系统、方法、装置、介质和设备

说明书

本发明涉及网络安全技术领域，特别涉及一种DDoS攻击的跨域联动防护系统、方法、装置、介质和设备。其中，攻击目标设备生成的攻击缓解设备请求中可以携带DDoS攻击类型信息，通过跨域联动防护客户端转发该攻击缓解设备请求后，跨域联动防护服务器可以根据该攻击缓解设备请求，生成携带DDoS攻击类型信息的攻击缓解请求。考虑到目前协议不支持攻击缓解设备对DDoS攻击类型信息进行解析，可以通过增加缓解适配设备的方式，利用缓解适配设备对攻击缓解请求进行解析和重组，从而确定出攻击缓解设备对应的攻击缓解指令。使得攻击缓解设备通过执行缓解适配设备确定出的攻击缓解指令，即可以实现针对不同DDoS攻击类型的精细化攻击过滤。

技术领域

本发明涉及网络安全技术领域，特别涉及一种分布式拒绝服务(DDoS，Distributed Denial of Service)攻击的跨域联动防护系统、方法、装置、介质和设备。

背景技术

跨域联动防护(DOTS)是IETF定义的一种针对DDoS攻击的跨域(跨组织机构)的处理框架，在不关注具体攻击处置设备与手段的条件下建立的一种通用架构、方法及处理机制。

其基本架构可以如图1所示。其中：

攻击目标设备(Attack Target)是指受到DDoS大面积攻击的目标(网络链路饱和，则可能是发生了DDoS攻击)。

攻击缓解设备(Mitigator)可以理解为提供DDoS攻击缓解(过滤)服务的设备。

跨域联动防护客户端(DOTS Client)能够获取DDoS攻击的相关信息。

跨域联动防护服务器(DOTS Server)用于唤醒Mitigator进行缓解服务。

DOTS Client与DOTS Server之间的接口示意图可以如图2所示。DOTS Client与DOTS Server之间有两个接口：信号通道(Signal Channel)和数据通道(Data Channel)。

Signal Channel用于DOTS Client向DOTS Server寻求攻击缓解，以及DOTSServer通知DOTS Client该缓解的状态；

Data Channel用于DOTS相关配置，以及(DOTS Client与DOTS Server之间)策略信息交换，比如创建标识符(缓解服务需要的资源)，该标识符能在攻击情况下，通过信号通道交互有效的获取资源；黑名单管理；白名单管理；过滤管理(流量过滤设置)。

在现有的DOTS实现机制中，仅定义了攻击目标设备的因特网协议(IP)地址、端口范围、协议类型、全限定域名(FQDN)、统一资源定位符(URI)。当前方案存在的主要问题：不关注与Mitigator和Attack Target之间的接口，也不关注Attack Target是如何发现攻击及Mitigator是如何缓解(过滤)攻击。

由于现有的DOTS实现机制未包含缓解的具体措施，导致攻击目标设备在请求过滤攻击的时候存在不足，仅能对指定目标发起的某种类型的流量进行全量丢弃。

由于攻击方法的不断演进，基于一种协议的攻击方法也在不断提升，例如：基于传输控制协议(TCP)的攻击手法包括同步洪水(SYN Flood)、确认字符洪水(ACK Flood)、关闭/断开洪水(FIN/RST Flood)等。单纯基于协议的过滤方法已经严重不能满足现有的DDoS攻击过滤需求。

发明内容

本发明实施例提供一种DDoS攻击的跨域联动防护系统、方法、装置、介质和设备，用于解决现有的DOTS实现机制，无法满足DDoS攻击精细化过滤需求的问题。

本发明提供一种分布式拒绝服务DDoS攻击的跨域联动防护系统，所述系统包括攻击目标设备、跨域联动防护客户端、跨域联动防护服务器以及缓解适配设备，其中：