[发明专利]防IP数据报分片攻击的方法

说明书

技术领域

本发明涉及计算机网络安全技术领域，特别涉及一种防IP数据报分片攻击的方法。

背景技术

最大传输单元(Maximum Transmission Unit，MTU)是数据链路层的协议数据单元(Protocol Data Unit，PDU)，也就是帧的大小。对最常见的以太网而言，采用的是数据链路层协议是基于IEEE802.2/802.3，以太网帧中的数据(有效)字段的长度范围是46～1500个字节。这个1500就是以太网的MTU。当链路层的上层协议，比如IP协议所要传输的IP数据报(包括IP Header)大小超过这个长度范围时，IP数据报就必须分成多片传输，并在目标系统中进行重组。这个过程就是分片(Fragmentation)，其中分割出来的每一个片断就是一个分片或分片报文Fragment。

由此可以看出，IP数据报分片在网络环境中是经常发生的事件。但是，如果经过人为的恶意操作的分片，将会导致拒绝服务、攻击或者迂回路由器及防火墙的一种攻击手段。

目前针对DOS类型的IP数据报分片攻击，大部分网络设备制造商的处理方法大致分为以下两种类型：

现有技术一：设置阈值来限制IP数据报的分片报文每秒的流速。

现有技术二：利用访问控制列表在网络上禁止IP数据报后续分片包通过。

由于IP数据报分片是在网络上传输IP报文时常采用的一种技术手段，IP数据报分片攻击就是利用这点，在你发起大量的IP数据报的分片时，而这些分片之间是毫无关系，或者分片的偏移量是经过调整的。这样主机会消耗大量的CPU来重组这些分片，重组完成之后发现是错误的数据报而又丢弃！如果这种数据报较多，系统就无法处理，导致死机！

若采用上述现有技术一的手段，设置阈值来限制IP数据报的分片报文每秒的流速，可以将阈值外的流量丢弃，但无法识别通过、丢弃的分片报文的合法性和完整性；

若采用上述现有技术二的手段，利用访问控制列表可以在网络上放行初始分片包而拒绝后续分片包，但是这种方式无法对正常的分片报文进行正确识别.

通过上面说明可以看出现有技术只是对IP数据报的分片报文在通过网络设备的过程中定义了开关或者是限流进行IP数据报的分片报文的控制，但是并没有对IP数据报的分片报文的合法性、完整性进行检测，这样无法做到从根本上阻止IP数据报的分片报文的攻击。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何防止IP数据报的分片报文对网络设备的攻击。

(二)技术方案

为解决上述技术问题，本发明提供了一种防IP数据报分片攻击的方法，对接收到的IP数据报的分片报文在达对应的处理模块之前进行临时重组，在临时重组过程中，若属于同一IP数据报的分片报文数超出分片阈值，则丢弃该IP数据报。

其中，对所述IP数据报的分片报文进行临时重组的步骤包括：

将所述IP数据报的分片报文暂存在缓存中，根据所述分片报文的五元组对分片报文进行分流，并对每个分片报文添加标签以识别不同的流，对分流和添加标签后的分片报文进行重组。

其中，所述分流的方式如下：

利用分片报文五元组中的上层协议进行分离，分离后对分片报文的五元组中的源地址、目的地址、源端口、目的端口进行hash运算，利用每个分片报文的hash值为标签标示该分片报文，标签相同的分片报文分为同一个流。

其中，在临时重组前还包括：将所述IP数据报的分片报文与攻击检测中的特征码进行匹配，若有分片报文与所述特征码匹配，则将所述IP数据报丢弃。

其中，若所述缓存中的等待重组的IP数据报大于包阈值，则将后续IP数据报的分片报文存储在队列中。

其中，当在预定时间内未接收到IP数据报的最后一个分片报文，则丢弃已接收的该IP数据报的所有分片报文。

(三)有益效果

本发明的防IP数据报分片攻击的方法通过将各个IP数据报的分片报文存储在一个高速缓存中并临时重组这些分片报文，从而检测IP数据报的完整性，同时还将分片报文与攻击检测中的特征码对比，以检查分片报文的合法性，因此更有效地防止了IP数据报分片攻击。

附图说明

图1是本发明实施例的一种防IP数据报分片攻击的方法流程图；

图2是图1中临时重组检测时的流程图。

具体实施方式