[发明专利]一种防御拒绝服务攻击的方法和防护装置

权利要求书

1.一种防御拒绝服务攻击的方法，其特征在于，该方法包括：

获取主机或服务器的指定端口所接收报文的指定字段的取值统计分布，如果该指定字段取同一个值的概率高于预设阀值，则将该指定字段作为特征字段；

之后，对于所述指定端口所接收的报文，根据该报文的特征字段的取值以及特征字段的取值统计分布，确定该报文为攻击报文或业务报文，具体包括：

如果所述指定端口所接收报文的特征字段的取值为特征字段取值统计分布中概率高于预设值的值，则确定该报文为业务报文；

如果所述指定端口所接收报文的特征字段取某一特定值的概率高出特征字段取值统计分布中该特定值的概率一个预设的数量级，则确认所述指定端口接收的特征字段为所述特定值的报文为攻击报文。

2.如权利要求1所述的方法，其特征在于，所述获取指定端口所接收报文的指定字段的取值统计分布包括：

获取所述指定端口所接收的业务流的首报文的指定字段的取值统计分布；或者

获取所述指定端口所接收的业务流的所有报文的指定字段的取值统计分布；或者

对所述指定端口所接收的业务流的报文进行随机采样，获取所采样的报文的指定字段的取值统计分布。

3.如权利要求1所述的方法，其特征在于，

所述获取指定端口所接收报文的指定字段的取值统计分布，如果该指定字段取同一个值的概率高于预设阀值，则将该指定字段作为特征字段包括：获取指定端口所接收报文的指定数量字节/比特中的每个字节/比特的取值统计分布，指定数量字节/比特中的任一个字节/比特取同一个值的概率高于预设阀值时，将该字节/比特作为特征字段；

所述根据指定端口所接收报文的特征字段的取值以及特征字段的取值统计分布，确定该报文为攻击报文或业务报文包括：当有两个以上字节/比特作为特征字段时，根据所述指定端口所接收报文的作为特征字段的两个字节/比特的取值以及这两个字节/比特的取值联合特征分布，确定该报文为攻击报文或业务报文。

4.如权利要求1所述的方法，其特征在于，

当所述指定端口的报文流量低于第二预设阀值时，执行所述获取主机或服务器的指定端口所接收报文的指定字段的取值统计分布的步骤；

或者，当没有收到被防护设备上报的攻击或投诉时，执行所述获取主机或服务器的指定端口所接收报文的指定字段的取值统计分布的步骤。

5.一种防御拒绝服务攻击的防护装置，其特征在于，该防护装置包括：特征字段获取模块和防护模块，其中，

特征字段获取模块，用于获取主机或服务器的指定端口所接收报文的指定字段的取值统计分布，如果该指定字段取同一个值的概率高于预设阀值，则将该指定字段作为特征字段，并将该特征字段和该特征字段的取值统计分布通知给防护模块；

防护模块，用于在所述指定端口所接收报文的特征字段的取值为特征字段取值统计分布中概率高于预设值的值时，确定该报文为业务报文；用于在所述指定端口所接收报文的特征字段取某一特定值的概率高出特征字段取值统计分布中该特定值的概率一个预设的数量级时，确认所述指定端口接收的特征字段为所述特定值的报文为攻击报文。

6.如权利要求5所述的防护装置，其特征在于，

所述特征字段获取模块，用于获取主机或服务器的指定端口所接收的业务流的首报文的指定字段的取值统计分布；或者，用于获取主机或服务器的指定端口所接收的业务流的所有报文的指定字段的取值统计分布；或者，用于对所述指定端口所接收的业务流的报文进行随机采样，获取所采样的报文的指定字段的取值统计分布。

7.如权利要求5所述的防护装置，其特征在于，

所述特征字段获取模块，获取指定端口所接收报文的指定数量字节/比特中的每个字节/比特的取值统计分布，指定数量字节/比特中的任一个字节/比特取同一个值的概率高于预设阀值时，将该字节/比特作为特征字段；

所述防护模块，用于有两个以上字节/比特作为特征字段时，根据所述指定端口所接收报文的作为特征字段的两个字节/比特的取值以及这两个字节/比特的取值联合特征分布，确定该报文为攻击报文或业务报文。

8.如权利要求5所述的装置，其特征在于，

所述特征字段获取模块，用于在所述指定端口的报文流量低于第二预设阀值时，获取指定端口所接收报文的指定字段的取值统计分布；或者，用于在自身所属的防护装置没有收到被防护设备上报的攻击或投诉时，获取指定端口所接收报文的指定字段的取值统计分布。