[发明专利]用于过滤和分析基于分组的通信流量的方法和装置

权利要求书

1.一种用于分析基于分组的通信流量的方法，包括：

将一个或多个网络地址指定为陷阱地址；

接收从源地址通过所述网络向所述陷阱地址之一发送的数据分组；以及

响应于接收到所述分组，将所述源地址指出为恶意流量源。

2.如权利要求1所述的方法，其中，接收所述数据分组包括接收从所述源地址通过所述网络向所述陷阱地址中的一个或多个地址发送的多个数据分组，并且其中，指出所述源地址包括对从所述源地址向所述陷阱地址中的所述一个或多个地址发送的数据分组的到达频率进行分析。

3.如权利要求1所述的方法，其中，指出所述源地址包括将所述源地址指出为蠕虫生成流量的生成者。

4.一种用于分析基于分组的通信流量的方法，包括：

将一个或多个网络地址指定为陷阱地址；

接收通过所述网络向所述陷阱地址之一发送的数据分组；以及

响应于接收到所述分组，开始对从所述网络的受保护区域之外的源通过所述网络发送的另外的数据分组进行转移，以防止恶意流量到达所述网络的所述受保护区域。

5.如权利要求4所述的方法，其中，开始所述转移包括防止蠕虫生成流量到达所述网络的所述受保护区域。

6.如权利要求4所述的方法，其中，开始所述转移包括确定所述另外的数据分组中的一个分组是由蠕虫生成的，并且，响应于所述确定，封堵对该分组的传递。

7.如权利要求4所述的方法，其中，接收所述数据分组包括接收从源地址通过所述网络向所述陷阱地址中的一个或多个地址发送的多个数据分组，并且其中，开始所述转移包括对从所述源地址向所述陷阱地址中的所述一个或多个地址发送的数据分组的到达频率进行分析，并且响应于所述频率而开始所述转移。

8.一种用于分析基于分组的通信流量的装置，包括防护设备，该防护设备适于执行以下操作：将一个或多个网络地址指定为陷阱地址；接收从源地址通过所述网络向所述陷阱地址之一发送的数据分组；以及响应于接收到所述分组，将所述源地址指出为恶意流量源。

9.如权利要求8所述的装置，其中，所述防护设备适于接收从所述源地址通过所述网络向所述陷阱地址中的一个或多个地址发送的多个数据分组，并且对从所述源地址向所述陷阱地址中的所述一个或多个地址发送的数据分组的到达频率进行分析，以确定所述数据分组是否代表恶意流量。

10.如权利要求8所述的装置，其中，所述防护设备适于将所述源地址指出为蠕虫生成流量的生成者。

11.一种用于分析基于分组的通信流量的装置，包括防护设备，该防护设备适于执行以下操作：将一个或多个网络地址指定为陷阱地址；接收通过所述网络向所述陷阱地址之一发送的数据分组；以及响应于接收到所述分组，开始对从所述网络的受保护区域之外的源通过所述网络发送的另外的数据分组进行转移，以防止恶意流量到达所述网络的所述受保护区域。

12.如权利要求11所述的装置，其中，所述防护设备适于开始所述转移以防止蠕虫生成流量到达所述网络的所述受保护区域。

13.如权利要求11所述的装置，其中，所述防护设备适于确定所述另外的数据分组中的一个分组是由蠕虫生成的，并且响应于所述确定，封堵对该分组的传递。

14.如权利要求11所述的装置，其中，所述防护设备适于执行以下操作：接收从源地址通过所述网络向所述陷阱地址中的一个或多个地址发送的多个数据分组；对从所述源地址向所述陷阱地址中的所述一个或多个地址发送的数据分组的到达频率进行分析；以及响应于所述频率而开始所述转移。