[发明专利]一种攻击防范方法和装置

说明书

本申请提供一种攻击防范方法和装置，该方法应用于中间设备，该方法包括：接收第一报文，第一报文的目的IP地址为中间设备保护的服务器的IP地址；若保存的第一IP地址列表中包括第一报文的源IP地址，则发送转发第一报文；若保存的第一IP地址列表和第二IP地址列表中均不包括第一报文的源IP地址，则将第一报文的源IP地址添加到第二IP地址列表中，并发送第二报文，第二报文的源IP地址为第一报文的目的IP地址或中间设备的地址，第二报文的目的IP地址为第一报文的源IP地址，第二报文的目的端口号为预设范围内的一端口号；若接收到针对第二报文的用于指示第二报文错误的响应报文，则将第一报文的源IP地址添加到第一IP地址列表中。

技术领域

本申请涉及通信技术领域，尤其涉及一种攻击防范方法和装置。

背景技术

随着网络的发展，组网环境日趋复杂，随之而来的网络攻击也日益频繁，尤其以DOS(Denial of Service,拒绝服务)攻击(包括DDOS(Distributed Deny of Service，分布式拒绝服务)攻击)最为常见。DOS攻击中，攻击者在短时间内使用大量数据包或畸形报文，向网络设备不断发起连接或请求响应，导致网络设备由于负荷过重而不能处理合法报文，出现业务异常甚至设备瘫痪的情况。

现在防范DOS攻击的一种常用方法是：网络安全设备检测发往特定目的地址的报文速率，当速率超过设定的阈值时丢弃发往该特定目的地址的报文，当速率低于上述设定的阈值时，允许报文发往该特定目的地址。

这种方法存在以下不足：当正常报文与攻击报文掺杂在一起时，启动DOS攻击防范后，不仅会丢弃攻击报文，还会将正常报文也丢弃；如果正常报文多次被丢弃，则正常业务将受到影响。可见这种方法并不能有效减小DOS攻击对网络设备的业务造成的影响。

发明内容

有鉴于此，本申请提供一种攻击防范方法和装置，用以在正常报文和攻击报文掺杂在一起时，可以识别出正常报文和攻击报文，使得正常报文不会多次被当成攻击报文丢弃。

具体地，本申请是通过如下技术方案实现的：

本申请第一方面，提供了一种攻击防范方法，所述方法应用于中间设备，所述方法包括：

接收第一报文，所述第一报文的目的IP地址为所述中间设备保护的服务器的IP地址；

若保存的第一IP地址列表中包括所述第一报文的源IP地址，则发送转发所述第一报文；

若保存的第一IP地址列表和第二IP地址列表中均不包括所述第一报文的源IP地址，则将所述第一报文的源IP地址添加到所述第二IP地址列表中，并发送第二报文，所述第二报文的源IP地址为所述第一报文的目的IP地址或所述中间设备的地址，所述第二报文的目的IP地址为所述第一报文的源IP地址，所述第二报文的目的端口号为预设范围内的一端口号；

若接收到针对所述第二报文的用于指示所述第二报文错误的响应报文，则将所述第一报文的源IP地址添加到所述第一IP地址列表中。

本申请第二方面，提供了一种攻击防范装置，所述装置可以应用于中间设备。所述装置具有实现上述方法的功能，所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与上述功能相对应的模块或单元。

一种实现方式中，所述装置可以包括：

收发单元，用于接收第一报文，所述第一报文的目的IP地址为所述中间设备保护的服务器的IP地址；