[发明专利]网络攻击识别方法及相关装置

权利要求书

1.一种网络攻击识别方法，其特征在于，应用于网络安全设备，所述网络安全设备与待识别设备通信连接，所述方法包括：

接收所述待识别设备发送的ACK报文；

根据所述ACK报文，向所述待识别设备发送快重传请求；

若未接收到所述快重传请求的响应报文，则确定所述待识别设备为异常设备。

2.根据权利要求1所述的网络攻击识别方法，其特征在于，所述若未接收到所述快重传请求的响应报文，则确定所述待识别设备为异常设备，包括：

若未接收到所述快重传请求的响应报文，并且，距离发送所述快重传请求的时长超过预设时长，则确定所述待识别设备为异常设备。

3.根据权利要求1所述的网络攻击识别方法，其特征在于，所述方法还包括：

若收到所述快重传请求的响应报文，并且，距离发送所述快重传请求时长小于或者等于预设时长，则确定所述待识别设备为正常设备。

4.根据权利要求3所述的网络攻击识别方法，其特征在于，所述若收到所述快重传请求的响应报文，并且，距离发送所述快重传请求时长小于或者等于预设时长，则确定所述待识别设备为正常设备，包括：

若在距离发送所述快重传请求的预设时长内，接收到所述待识别设备发送的网络报文，则判断所述网络报文是否为所述快重传请求的响应报文；

若所述网络报文为所述快重传请求的响应报文，则确定所述待识别设备为正常设备。

5.根据权利要求4所述的网络攻击识别方法，其特征在于，所述判断所述络报文是否为所述快重传请求的响应报文，包括：

获取所述网络报文中的序列信息；

若所述网络报文中的序列信息与所述ACK报文中的序列信息相同；将所述网络报文确定为所述快重传请求的响应报文。

6.根据权利要求1所述的网络攻击识别方法，其特征在于，所述方法还包括：

将所述异常设备的IP地址添加到黑名单中。

7.根据权利要求1所述的网络攻击识别方法，其特征在于，所述根据所述ACK报文，向所述待识别设备发送快重传请求，包括：

根据所述ACK报文，构造3个ACK响应报文；

将所述3个ACK响应报文作为所述快重传请求，发送给所述待识别设备。

8.一种网络攻击识别装置，其特征在于，应用于网络安全设备，所述网络安全设备与待识别设备通信连接，所述装置包括：

报文收发模块，用于接收所述待识别设备发送的ACK报文；

异常检测模块，用于根据所述ACK报文，向所述待识别设备发送快重传请求；

所述异常检测模块，还用于若未接收到所述快重传请求的响应报文，则确定所述待识别设备为异常设备。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时，实现权利要求1-7任意一项所述的网络攻击识别方法。

10.一种网络安全设备，其特征在于，所述网络安全设备包括处理器以及存储器，所述存储器存储有计算机程序，所述计算机程序被处理器执行时，实现权利要求1-7任意一项所述的网络攻击识别方法。