[发明专利]一种网络攻击处理方法、装置、设备及机器可读存储介质

说明书

本公开提供一种网络攻击处理方法、装置、设备及机器可读存储介质，该方法包括：建立第二报文队列，第二报文队里的长度小于第一报文队列的长度，所述第一报文队列用于正常流量报文；检测当前接收的流量报文，认为符合预设条件的流量报文为异常流量报文；将异常流量报文关联至第二报文队列，以使第二报文队列存入不超过队列长度的异常流量报文并丢弃剩余异常流量报文。通过本公开的技术方案，建立队列长度小于主队列的第二报文队列用于处理异常流量报文，当异常流量报文的数量超过第二报文队列的长度时，丢弃超出部分的异常流量报文，从而降低异常流量报文对处理器性能的开销。

技术领域

本公开涉及通信技术领域，尤其是涉及一种网络攻击处理方法、装置、设备及机器可读存储介质。

背景技术

防火墙设备处在客户的实际工作环境中时，经常会遇到恶意流量的攻击，此时为了保证设备能够最大程度的正常工作，需要对恶意流量进行限速丢包处理。因此防火墙设备具有限速功能提供给客户使用，如果报文流量超过客户配置的限速阈值，会直接丢弃报文来节约CPU(处理器)资源，这种方法属于静态的限速的方式，缺陷是不能对攻击的流量进行详细的分析。防火墙设备对报文的处理一般采用逐流方式，通过报文的五元组(源IP、目的IP、源端口、目的端口、协议号)计算出该报文上送哪个CPU进行转发处理。攻击者往往会使用相同五元组的报文针对少数几个CPU发起攻击，由于多核设备的特性，当其中的某个CPU被高占用时，其他CPU的性能也会受到严重影响。

发明内容

有鉴于此，本公开提供一种网络攻击处理方法、装置及电子设备、机器可读存储介质，以改善上述少数处理受攻击整体性能受影响的问题。

具体地技术方案如下：

本公开提供了一种网络攻击处理方法，应用于网络安全设备，所述方法包括：建立第二报文队列，第二报文队里的长度小于第一报文队列的长度，所述第一报文队列用于正常流量报文；检测当前接收的流量报文，认为符合预设条件的流量报文为异常流量报文；将异常流量报文关联至第二报文队列，以使第二报文队列存入不超过队列长度的异常流量报文并丢弃剩余异常流量报文。

作为一种技术方案，所述检测当前接收的流量报文，若符合预设条件则认为所述流量报文为异常流量报文，包括：获取当前每个处理器的工作状态，根据存在忙碌状态的处理器且忙碌状态的处理器的个数在处理器总数中的占比小于比例阈值，认为当前忙碌状态的处理器为异常处理器；获取同一五元组信息的占用异常处理器性能超过预设阈值的流量报文的五元组信息，认为关联于所述五元组信息的流量报文为异常流量报文。

作为一种技术方案，对异常处理器使能限速功能。

作为一种技术方案，将异常流量报文关联至第二报文队列后，当预设时长内第二报文队列不再丢弃异常流量报文时，解除所述异常流量报文与第二报文队列的关联关系。

本公开同时提供了一种网络攻击处理装置，应用于网络安全设备，所述装置包括：队列模块，用于建立第二报文队列，第二报文队里的长度小于第一报文队列的长度，所述第一报文队列用于正常流量报文；检测模块，用于检测当前接收的流量报文，认为符合预设条件的流量报文为异常流量报文；处理模块，用于将异常流量报文关联至第二报文队列，以使第二报文队列存入不超过队列长度的异常流量报文并丢弃剩余异常流量报文。

作为一种技术方案，所述检测当前接收的流量报文，若符合预设条件则认为所述流量报文为异常流量报文，包括：获取当前每个处理器的工作状态，根据存在忙碌状态的处理器且忙碌状态的处理器的个数在处理器总数中的占比小于比例阈值，认为当前忙碌状态的处理器为异常处理器；获取同一五元组信息的占用异常处理器性能超过预设阈值的流量报文的五元组信息，认为关联于所述五元组信息的流量报文为异常流量报文。

作为一种技术方案，对异常处理器使能限速功能。

作为一种技术方案，将异常流量报文关联至第二报文队列后，当预设时长内第二报文队列不再丢弃异常流量报文时，解除所述异常流量报文与第二报文队列的关联关系。