[发明专利]网络层DDOS攻击源识别方法、装置及系统

权利要求书

1.一种网络层DDOS攻击源识别方法，其特征在于，包括：

检测服务器在监测到第一服务器受到DDOS攻击时，从所述第一服务器获取DDOS攻击包，提取所述DDOS攻击包中的攻击源IP地址与所述攻击源IP地址的TTL值；

向第二服务器发送包含所述攻击源IP地址的探测指令，所述第二服务器是由所述检测服务器选择的与所述第一服务器同处于一个网络拓扑中的任意一个服务器，所述探测指令用于指示所述第二服务器使用PING命令依次对所有DDOS攻击包中的攻击源IP地址进行探测；

接收所述第二服务器根据所述探测指令返回的探测响应包，提取所述探测响应包中的探测源IP地址与所述探测源IP地址的TTL值，所述探测响应包由所述第二服务器根据所述探测指令，使用PING命令对所述攻击源IP地址进行探测时，从所述攻击源IP地址对应的终端获得；所述探测源IP地址与所述攻击源IP地址一致，所述探测源IP地址的TTL值是所述攻击源IP的真实TTL值；以及

判断所述攻击源IP地址的TTL值与所述探测源IP地址的TTL值的差值是否大于预置值，若是，则确定所述攻击源IP地址为伪造的IP地址，若否，则确定所述攻击源IP地址为真实的IP地址。

2.根据权利要求1所述的方法，其特征在于，所述检测服务器在监测到第一服务器受到DDOS攻击时，从所述第一服务器获取DDOS攻击包，提取所述DDOS攻击包中的攻击源IP地址与所述攻击源IP地址的TTL值的步骤，包括：

检测服务器在监测到第一服务器受到DDOS攻击时，向所述第一服务器发送获取所有DOOS攻击包的请求；

接收所述第一服务器根据所述请求返回的所有DDOS攻击包；

对所述所有DDOS攻击包进行DPI分析；

分别获取所述所有DDOS攻击包中的攻击源IP地址与所述攻击源IP地址的TTL值。

3.根据权利要求2所述的方法，其特征在于，所述接收所述第二服务器根据所述探测指令返回的探测响应包，提取所述探测响应包中的探测源IP地址与所述探测源IP地址的TTL值的步骤，包括：

接收所述第二服务器根据所述探测指令返回的所有探测响应包；

对所述所有探测响应包进行DPI分析；

分别提取所述所有探测响应包中的攻击源IP地址与所述攻击源IP地址的TTL值。

4.一种网络层DDOS攻击源识别方法，其特征在于，包括：

检测服务器在监测到第一服务器受到DDOS攻击时，从所述第一服务器获取DDOS攻击包，提取所述DDOS攻击包中的攻击源IP地址与所述攻击源IP地址的TTL值；

所述检测服务器向第二服务器发送包含所述攻击源IP地址的探测指令，所述第二服务器是由所述检测服务器选择的与所述第一服务器同处于一个网络拓扑中的任意一个服务器，所述探测指令用于指示所述第二服务器使用PING命令依次对所有DDOS攻击包中的攻击源IP地址进行探测；

所述第二服务器根据所述探测指令，对所述攻击源IP地址进行探测，从所述攻击源IP地址对应的终端获取探测响应包，并将所述探测响应包发送给所述检测服务器，所述探测响应包由所述第二服务器根据所述探测指令，使用PING命令对所述攻击源IP地址进行探测时，从所述攻击源IP地址对应的终端获得；所述探测源IP地址与所述攻击源IP地址一致，所述探测源IP地址的TTL值是所述攻击源IP的真实TTL值；以及

所述检测服务器提取所述探测响应包中的探测源IP地址与所述探测源IP地址的TTL值，判断所述攻击源IP地址的TTL值与所述探测源IP地址的TTL值的差值是否大于预置值，若是，则确定所述攻击源IP地址为伪造的IP地址，若否，则确定所述攻击源IP地址为真实的IP地址。