[发明专利]分组交换网络中的攻击减轻

说明书

所公开的计算机实现的方法包括将传输协议启发式算法应用于网络适配器从网络节点接收的选择性确认(SACK)消息。所述传输协议启发式算法识别处理所述SACK消息时执行的操作功能的阈值。所述方法还包括通过将所述传输协议启发式算法应用于从所述网络节点接收的SACK消息来确定已经达到所述传输协议启发式算法的阈值。响应于确定已经达到所述阈值，所述方法包括将所述网络节点识别为安全威胁并且采取补救措施以减轻所述安全威胁。还公开了各种其他方法、系统以及计算机可读介质。

相关申请的交叉引用

本申请请求2019年7月3日提交的第62/870,621号美国临时申请和2019年9月19日提交的第16/576,556号美国非临时申请的权益，这两个申请的公开内容整体通过引用并入本文。

背景技术

每天，大量的数据通过计算机网络传输到世界各地。这些网络将数据文件分解成通过有线和无线数据链路传输的更小的数据分组。数据分组使用各种协议进行传输。这些协议通常被称为传输协议。这些传输协议可以指定如何传输数据，包括指示是否可以无序接收任何数据分组。在允许这种无序传输的情况下，如使用传输控制协议(TCP)，可以在指定的序列之外的终端节点接收一些数据分组。因为数据分组可能被无序接收，所以终端节点和服务器会跟踪哪些分组已经到达，哪些还没有到达。当数据分组到达终端节点时，终端节点向服务器发送确认(ACK)消息，通知服务器这些数据分组已经到达。但是，此通知过程容易受到攻击，且攻击者可能会利用此过程破坏服务器的功能。

发明内容

如下文将更详细地描述的，本发明描述了减轻旨在利用传输协议确认系统中的缺陷的攻击的方法和系统。

在一个示例中，用于减轻计算机联网环境中的攻击的计算机实现的方法包括将传输协议启发式算法(transport protocol heuristics)应用于网络适配器从网络节点接收的选择性确认(SACK)消息。所述传输协议启发式算法识别处理所述SACK消息时执行的操作功能的阈值。所述方法还包括通过将所述传输协议启发式算法应用于从所述网络节点接收的SACK消息来确定已经达到所述传输协议启发式算法的阈值。然后，响应于确定已经达到所述阈值，所述方法包括将所述网络节点识别为安全威胁并采取补救措施以减轻所述安全威胁。

在一些示例中，将所述传输协议启发式算法应用于所述SACK消息包括在处理所述SACK消息时使与所述操作功能相关联的各种计数器递增。所述计数器指示何时达到所述传输协议启发式算法的阈值。在一些情况下，所述计数器在接收到确认(ACK)消息时被修改。

在一些示例中，所述安全威胁是对所述网络计算系统进行攻击的攻击节点。用于减轻所述安全威胁的补救措施中的至少一个包括忽略从所述网络节点接收的SACK消息中的至少一些SACK消息。

在一些示例中，在处理所述SACK消息时执行的操作功能的阈值中的至少一个包括是否将要在发送地图(sendmap)内移动ACK位置的指示。在处理所述SACK消息时执行的操作功能的阈值中的至少一个包括所述ACK位置将要在得到发送地图内移动的距离的测量结果。在其他情况下，在处理所述SACK消息时执行的操作功能的阈值中的至少一个包括在指定的时间段内接收到多少SACK消息的指示。

在一些示例中，会过滤所述SACK消息以移除先前接收到的SACK消息。在一些示例中，过滤所述SACK消息还包括移除重复的SACK消息。在一些示例中，在处理所述SACK消息时执行的操作功能的阈值中的至少一个包括在指定的时间段内过滤了多少SACK消息的指示。

在一些示例中，确定已经达到所述传输协议启发式算法的阈值包括确定所述网络节点正试图确认有用于增加发送地图的大小的多个不同的发送尝试。在一些示例中，为所述发送地图添加衰减因子，以减少与ACK或SACK消息相关联的一个或多个计数器。在一些示例中，当所述ACK或SACK消息被移除时，所述网络节点被识别为安全威胁。在确定所述网络节点不再满足所述阈值时，所述网络节点随后会从被分类为安全威胁的类别中被移除。