[发明专利]一种伪造IP数据包的处理方法及装置

说明书

技术领域

本发明涉及网络安全技术领域，特别涉及一种伪造IP数据包的处理方法及装置。

背景技术

随着因特网的广泛应用，网络攻击，特别是分布式拒绝服务攻击(DDoS，Distributed Denial of Service)已经成为internet目前面临的最严峻的威胁之一，其中，DDoS攻击中有一种源欺骗攻击即IP欺骗攻击，现有DDoS的攻击检测对于攻击者伪造IP发起攻击的行为很难检测。如果不借助其它辅助手段很难有好的方法判断攻击者的IP地址是否伪造。为了提高网络安全，用户对伪造IP数据包的网络攻击检测提出了更高的要求。

本发明的发明人在对现有技术的研究过程中发现，现有对伪造IP数据包的网络攻击检测方案无法满足用户提出的需求。

发明内容

本发明实施例提供一种伪造IP数据包的处理方法及装置，实现以更大的概率来发现伪造IP数据包，以保证设备尽可能少的受到伪造IP数据包的攻击。

本发明实施例提供一种IP数据包的处理方法，包括步骤：

接收待处理的IP数据包，其中该IP数据包中包含TTL生存时间数值；

判断该IP数据包中的TTL生存时间数值是否在可信范围，当该IP数据包中的TTL生存时间数值不在可信范围内时，将所述IP数据包丢弃；

当在可信范围内时，根据该IP数据包中的源IP地址，查找得到相应的TTL对照记录信息；

当相应记录中的实际TTL与该IP数据包的TTL不一致，且确定已有效探测过时，将该IP数据包丢弃。

以及，一种伪造IP数据包的处理装置，包括：

TTL学习单元，用于管理和维护TTL对照记录信息；

TTL检测单元，用于接收到IP数据包后，判断该IP数据包中的TTL是否在可信范围内，当不在可信范围内时，将该IP数据包丢弃；当在该可信范围内时，根据该IP数据包的源IP地址查找所述TTL学习单元所维护的TTL对照记录信息，当相应记录中的实际TTL与该IP数据包的TTL数值不一致，且确定已有效探测过时，将该IP数据包丢弃。

由上述技术方案可见，本发明实施例中通过判断IP数据包的TTL是否在可信范围内，第一层过滤掉伪造IP数据包；进一步的，通过利用TTL对照记录信息进一步的过滤掉伪造IP数据包，从而实现不管是基于TCP协议的IP数据包，还是基于UDP协议的IP数据包，都能以更大的概率来发现(丢弃)伪造IP数据包，以保证设备尽可能少的受到伪造IP数据包的攻击。

附图说明

图1为现有IP数据包的包头结构示意图；

图2为本发明实施例的一种伪造(虚假)IP数据包的处理原理示意图；

图3为本发明实施例的TTL对照表中记录的数据结构示意图；

图4为本发明实施例建立和更新TTL对照表中记录的流程图；

图5为本发明实施例的一种根据TCP三次握手得到真实的源IP地址和TTL数值的交互流程图；

图6为本发明实施例的一种伪造IP数据包的处理方法的流程图；

图7为本发明实施例一的伪造IP数据包的处理方法的具体流程图；

图8为本发明实施例的一种伪造IP数据包的处理装置的内部结构示意图；

图9为本发明实施例的伪造IP数据包的处理方案应用于防火墙的网络组网示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明作进一步详细说明。

本发明实施例中，通过判断IP数据包中的TTL(Time To Live，生存时间)是否在可信范围内，第一层过滤掉伪造IP数据包；进一步的，通过建立至少包含真实的源IP地址和实际TTL数值的TTL对照记录信息，以及更新该TTL对照记录信息，保证IP对应的TTL数值的准确性，以利用该表排除伪造源IP的行为，从而实现不管是基于TCP协议的IP数据包，还是基于UDP协议的IP数据包，都能以更大的概率来发现(丢弃)伪造IP数据包，以保证设备尽可能少的受到伪造IP数据包的攻击。应当理解的是：在一种实现下，TTL对照记录信息为TTL对照表。

如图1所示，为IP数据包的包头结构示意图，其中有一个TTL字段，即Time to Live字段，主要是表示其生存的周期。IP数据包在网络传输过程中，TTL字段的数值每经过一次转发，自动作减一处理，如果在该TTL数值到0的时候还没有到达目的地址，则该IP数据包会被路由器或网关设备等抛弃。