[发明专利]一种动态地适应服务器性能的防攻击方法和设备

说明书

本发明公开了一种动态地适应服务器性能的防攻击方法和设备，该方法包括：网络设备计算连接会话数量和半连接率；当连接会话数量大于预设第一阈值，半连接率不大于预设第二阈值时，网络设备调整预设第一阈值为当前预设第一阈值与M之和，并设置服务器的状态为正常状态；当连接会话数量大于预设第一阈值，半连接率大于预设第二阈值时，网络设备调整预设第一阈值为当前预设第一阈值与N之差，并设置服务器的状态为攻击状态；网络设备在服务器的状态为正常状态时，允许向服务器发送报文；在服务器的状态为攻击状态时，丢弃向服务器发送的报文。本发明实施例中，可以得每个服务器都响应正常的连接会话，并且可以承受一定的DOS攻击。

技术领域

本发明涉及通信技术领域，尤其是涉及了一种动态地适应服务器性能的防攻击方法和设备。

背景技术

DOS(Deny Of Service，拒绝服务)攻击是指：攻击者使用大量数据包堵塞服务器对外提供的服务，使服务器无法接受正常用户的请求。例如，攻击者利用协议栈向服务器发送大量半连接报文，这些半连接报文会导致服务器维护大量半连接会话，这些半连接会话会消耗服务器的大量资源，导致正常用户无法访问服务器，直到半连接会话超时被删除，服务器的资源才被释放。

如图1所示，为DOS攻击网络的组网示意图，防火墙设备所保护的私网内下挂了多个受保护的服务器。为了避免DOS攻击，防火墙设备会为每个服务器配置相同的阈值，当向某个服务器发送报文的速率超过配置的阈值时，则防火墙设备将丢弃向该服务器发送的报文；当向该服务器发送报文的速率未超过配置的阈值时，则防火墙设备将允许向该服务器发送的报文通过。

但是，由于多个受保护的服务器的性能可能并不一样，因此，如果上述配置的阈值很低，则会导致性能高的服务器不能发挥其高性能的特性；进一步的，如果上述配置的阈值很高，则会导致性能低的服务器的负载过重。

发明内容

本发明实施例提供一种动态地适应服务器性能的防攻击方法，所述方法包括以下步骤：

网络设备统计服务器对应的全连接会话数量和半连接会话数量，并利用所述全连接会话数量和所述半连接会话数量计算连接会话数量和半连接率；

当所述连接会话数量大于预设第一阈值，并且所述半连接率不大于预设第二阈值时，所述网络设备调整预设第一阈值为当前预设第一阈值与M之和，并设置所述服务器的状态为正常状态；其中，所述M为正整数；

当所述连接会话数量大于预设第一阈值，并且所述半连接率大于预设第二阈值时，所述网络设备调整预设第一阈值为当前预设第一阈值与N之差，并设置所述服务器的状态为攻击状态；其中，所述N为正整数；

所述网络设备在所述服务器的状态为正常状态时，允许向所述服务器发送报文；在所述服务器的状态为攻击状态时，丢弃向所述服务器发送的报文。

所述网络设备利用所述全连接会话数量和所述半连接会话数量计算连接会话数量和半连接率，具体包括：

所述网络设备计算所述连接会话数量为全连接会话数量与半连接会话数量之和，并计算所述半连接率为半连接会话数量除以所述连接会话数量。

所述方法进一步包括：

在调整预设第一阈值为当前预设第一阈值与N之差时，如果当前预设第一阈值与N之差小于所述服务器对应的初始连接配置限制值，则所述网络设备调整预设第一阈值为所述服务器对应的初始连接配置限制值。

所述方法进一步包括：

所述网络设备为服务器维护统计节点表项，所述统计节点表项中记录有所述服务器对应的IP地址、预设第一阈值、连接会话数量、半连接率、状态。

所述网络设备具体包括防火墙设备，所述防火墙设备所保护的私网内下挂一个或者多个受保护的服务器。