[发明专利]防御HttpFlood攻击的方法及防火墙

说明书

技术领域

本发明涉及安全防御技术领域，涉及一种防御HttpFlood攻击的方法及防火墙，特别涉及一种防御HttpFlood攻击的方法和一种防火墙。

背景技术

HttpFlood是针对WEB服务在第七层（应用层）协议发起的攻击，其危害性巨大，主要表现在发起方便、过滤困难和影响深远。HttpFlood的攻击者通过端口扫描程序在互联网上寻找匿名的HTTP代理或者SOCKS代理，攻击者通过匿名代理对攻击目标发起HTTP请求。HttpFlood可以模仿正常用户的网页请求行为，与网站业务紧密相关，不仅直接导致被攻击的WEB前端响应缓慢，还间接攻击到后端的JAVA等业务层逻辑以及更后端的数据库服务，导致增大数据库服务器的压力，甚至对日志存储服务器都带来影响。

目前使用的防御HttpFlood的方法主要包括：针对全局的报文数量进行阈值统计和针对源IP报文数量进行阈值统计的方法，但是这两种方法均存在一定局限性。根据针对源IP报文数量进行阀值统计的方法，当攻击方故意伪造成某源IP地址进行攻击时，会导致防火墙的误识别，从而阻断该源IP地址的用户的正常访问。而针对全局的报文数量进行阈值统计，会导致大量误拦截的现象出现。因此，防御HttpFlood的关键是进行攻击识别和人机识别以区分正常用户和软件攻击方。

发明内容

本发明鉴于上述情况而作出，其目的是提供一种防御HttpFlood攻击的方法，该方法通过检测用户是否能够解析JavaScript的重定向来判断用户是否为正常用户，具有较高的判断准确率。

为实现上述目的，本发明的实施方式提出一种防御HttpFlood攻击的方法，包括如下步骤：

防火墙生成并维护挑战列表，其中，所述挑战列表用于存储待检测安全状态的用户的IP地址；

所述防火墙与用户建立TCP连接，并判断接收到的来自所述用户的get报文的源IP地址是否存在于所述挑战列表内；

如果所述防火墙接收到的所述get报文的源IP地址不存在于所述挑战列表内，则所述防火墙拦截所述get报文并根据所述get报文构建JavaScript重定向页面，以及将所述get报文的源IP地址、get请求页面地址、生成的JavaScript重定向页面地址作为一个条目加入到所述挑战列表；

所述防火墙在检测到所述挑战列表中有条目在预设时长内未进行重定向访问时，将该条目的源IP地址加入黑名单列表以阻止所述源IP地址的后续流量。

根据本发明的一个方面，所述防火墙生成并维护所述挑战列表包括如下步骤：所述防火墙判断接收到的报文的源IP地址是否存在于黑名单列表或白名单列表中，如果均不存在，则将所述源IP地址加入至所述挑战列表，其中，所述白名单列表用于存储正常用户的IP地址，所述黑名单列表用于存储异常用户的IP地址，如果所述源IP地址存在于所述白名单列表中，则所述源IP地址的报文进入所述防火墙后直接进行转发，如果所述源IP地址存在于所述黑名单列表中，则所述源IP地址的报文进入所述防火墙后直接丢弃。

根据本发明的又一个方面，所述挑战列表包括多个条目，每个所述条目包括属于同一用户的源IP地址、get请求地址和JavaScript重定向页面地址。

根据本发明的再一个方面，在所述防火墙拦截所述get报文并根据所述get报文构建JavaScript重定向页面之后，还包括如下步骤：将所述JavaScript重定向页面作为请求页面返回至对应的所述用户。

根据本发明的另一个方面，还包括如下步骤：如果所述防火墙判断接收到的所述get报文的源IP地址存在于所述挑战列表中，则判断get请求页面地址和JavaScript重定向页面地址是否相同，如果相同，则判断所述用户为正常用户，将所述源IP地址加入白名单列表，将所述源IP地址的get报文再次重定向回第一次加入挑战列表时的get请求页面，所述防火墙在与服务器建立连接后代理转发所述源IP地址的后续流量。