[发明专利]恶意攻击检测系统和相关的使用方法

说明书

技术领域

本发明涉及服务器保护，特别是一种用于检测并且防止对利用全局计算机网络的服务器进行恶意攻击的改进技术，所述恶意攻击例如是拒绝服务(“DoS”)和端口扫描，所述计算机网络例如是优选但非必须地以网速发生的互联网。

背景技术

许多诸如公司之类的机构把他们的计算机联网以便共享信息。另外，这些机构常常希望通过使用全局计算机网络(例如，互联网)、经由网站与位于其网络外部的计算机共享至少某些信息。对网络外部信息的这种共享是使用计算机服务器来实现的，所述计算机服务器用于向外部计算机提供连接以便与例如互联网的全局计算机网络联网。

使人遗憾的是，恶意的计算机用户能够使用互联网连接来中断互联网之上的网络通信、访问机密数据或者擦除数据。这种攻击的一个示例是拒绝服务(“DoS”)攻击，在此，攻击者试图拒绝受害者对某些资源的访问。拒绝服务(“DoS”)攻击能够通过各种各样的方法来实现，所述方法包括消耗并且用尽服务器的处理器(例如，CPU)、存储器和网络连接。

为了建立网络连接，在外部计算机和服务器之间一定具备双向通信或者信号交换过程。网络的基础示意图通常用在图1中示出的数字1表示。例如，外部(客户端)计算机2往往经由网络6(例如，全局计算机网络)向服务器发送服务请求。响应于这些请求，服务器分配存储空间和处理时间，把响应发送回到计算机并且等待计算机应答。恶意的外部计算机4(即，攻击者)可以向服务器3发送大量服务请求但是从不向服务器应答。外部计算机采用被称为“IP地址欺骗”9的通用技术来插入IP地址，所述IP地址看起来是合法的或者看上去来自可信赖的来源(计算机)。IP地址欺骗9令服务器3相信很多(多个)连接被请求建立。然后，服务器3等待它将永远无法接收到的应答，同时保留并且消耗存储器和处理时间。在等待并且仍在接收额外的数据分组的同时，服务器3的存储器、处理空间或者与网络的连接就会用尽。因为耗费太多的存储器，服务器3将拒绝服务于来自任何其它合法外部计算机2的任何其它合法请求11。最终，请求会非常的多，以至于服务器3不仅无法提供与合法用户的连接，而且还可能溢出并堵塞整个网络，并且经由互联网的服务器通信将基本上关闭8。这会造成电子邮件、互联网访问和/或网络服务器功能的损失。

当恶意的攻击者假装充当(合法的)服务器5时，会进一步出现其它复杂的情况，即，因耗尽(并且繁忙)而不再作出响应来服务于合法的外部计算机或者用户2。攻击者7因此能从其它合法的计算机或者用户2那里请求机密数据12，并且合法的计算机或者用户2未必觉察到正被冒牌服务器5攻击7，如图1所示。

这些攻击的其它示例包括利用大量的数据分组来使服务器溢出，以便耗费网络的所有可利用带宽，由此拒绝合法用户访问网络，或者通过令服务器执行很多程序或者脚本来耗费可利用磁盘空间。

另外，恶意的计算机用户能够使用端口扫描来获得与网络通信端口有关的信息，诸如检查端口是开启还是关闭，或者什么样的服务或者程序正在使用端口。攻击者能够检查出使用端口的服务中的薄弱环节，并且利用它们进入系统，此时，攻击者能够擦除数据或者执行其它恶意的动作。

在高速网络业务的情况下，对于企业来讲，检测恶意攻击并且及时防止系统受到攻击被证明是至关重要的。网速攻击检测不仅对在适当的时候检测攻击非常有帮助，而且对在尽可能早的检测时间阻止攻击也很有帮助。如果没有在适当的时候进行正确的检测，则攻击不仅可以渗透系统并且创建大部分的拒绝服务(“DoS”)攻击，而且能够造成永久性数据丢失。本发明致力于克服上文提出的一个或多个问题。

发明内容