[发明专利]异常网络流量的攻击源追踪方法及装置

权利要求书

1.一种异常网络流量的攻击源追踪方法，其特征在于，包括：

在攻击链路的网络节点中，选择任意一个或多个所述网络节点作为追踪起点，其中，所述攻击链路为被攻击目标和攻击源之间的通信链路；

根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点，直至确认最终的攻击源；

选择任意一个或多个所述网络节点作为追踪起点，包括：根据预设周期采集所述攻击链路的网络节点的端口数据包载荷；根据当前采集的数据包载荷和上一个所述预设周期采集的数据包载荷确定所述追踪起点；

根据当前采集的数据包载荷和上一个所述预设周期采集的数据包载荷确定所述追踪起点，包括：

根据当前采集的数据包载荷和上一个所述预设周期采集的数据包载荷确定所述攻击链路的网络节点的端口流的指纹，其中，所述流的指纹根据以下公式确定：

流的指纹＝【1-(▲P/▲BP)】×100％，▲P＝P0-(P-1)，▲BP＝BP0-(BP-1)，P0表示当前数据；(P-1)表示当前预设周期的前一个周期数据；BP0表示前一天的同时刻数据；(BP-1)表示前一天当前预设周期的前一个周期数据；

当所述流的指纹在未到达预设阈值时，确定所述流的指纹所对应的网络节点可作为所述追踪起点。

2.根据权利要求1所述的方法，其特征在于，所述数据包载荷为所述预设周期内平均每个数据包载荷。

3.根据权利要求2所述的方法，其特征在于，所述预设周期内平均每个数据包载荷通过以下方式确定：

预设周期内平均每个数据包载荷＝预设周期内平均带宽/预设周期内数据包总数。

4.根据权利要求2所述的方法，其特征在于，当所述上一级网络节点为多个时，还包括：

根据所述攻击链路的匹配度来区分多个不同的上一级网络节点，其中，所述匹配度用于指示所述追踪起点的预设周期内平均每个数据包载荷与不同的所述上一级节点的预设周期内平均每个数据包载荷的相似程度。

5.根据权利要求1所述的方法，其特征在于，根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点，包括：

获取所述追踪起点的入流量增量及所述上一级网络节点的出流量增量，其中，所述入流量增量为所述追踪起点在其接收的网络流量异常时相对于网络流量正常时所增加的网络流量，所述出流量增量为所述上一级网络节点在其传出的网络流量异常时相对于网络流量正常时所增加的网络流量；

根据所述入流量增量及所述出流量增量的比值确定所述上一级节点作为新的追踪起点；

根据所述新的追踪起点逐级确定所述攻击链路中的所述新的追踪起点的上一级网络节点。

6.根据权利要求1所述的方法，其特征在于，通过以下方式确认最终的攻击源：

当所述上一级网络节点的数量为0时，则确定所述上一级网络节点的下一级网络节点为最终的攻击源。

7.一种异常网络流量的攻击源追踪装置，其特征在于，包括：

选择模块，用于在攻击链路的网络节点中，选择任意一个或多个所述网络节点作为追踪起点，其中，所述攻击链路为被攻击目标和攻击源之间的通信链路；

确定模块，用于根据所述追踪起点逐级确定所述攻击链路中的上一级网络节点，直至确认最终的攻击源；

所述确定模块包括：

获取单元，获取所述追踪起点的入流量增量及所述上一级网络节点的出流量增量，其中，所述入流量增量为所述追踪起点在其接收的网络流量异常时相对于网络流量正常时所增加的网络流量，所述出流量增量为所述上一级网络节点在其传出的网络流量异常时相对于网络流量正常时所增加的网络流量；

第一确定单元，用于根据所述入流量增量及所述出流量增量的比值确定所述上一级节点作为新的追踪起点；

第二确定单元，用于根据所述新的追踪起点逐级确定所述攻击链路中的所述新的追踪起点的上一级网络节点，直至确认最终的攻击源；

根据当前采集的数据包载荷和上一个预设周期采集的数据包载荷确定所述攻击链路的网络节点的端口流的指纹，其中，所述流的指纹根据以下公式确定：

流的指纹＝【1-(▲P/▲BP)】×100％，▲P＝P0-(P-1)，▲BP＝BP0-(BP-1)，P0表示当前数据；(P-1)表示当前预设周期的前一个周期数据；BP0表示前一天的同时刻数据；(BP-1)表示前一天当前预设周期的前一个周期数据；

当所述流的指纹在未到达预设阈值时，确定所述流的指纹所对应的网络节点可作为所述追踪起点。