[发明专利]一种网络攻击的防范方法和系统

说明书

技术领域

本发明涉及互联网领域，特别是涉及一种网络攻击的防范方法和系统。

背景技术

在互联网中，任何一个网络协议都有可能遭受到非法用户的攻击。随着网络技术的进步，网络攻击的种类也在不断翻新，网络攻击的防范也就成了一个永恒的话题。

大部分网络设备的网络攻击防范功能都是通过下发防攻击表项来实现的，过程简要示意如图1所示，网络设备在检测到网络攻击之后，下发防攻击表项用来防范网络攻击。

对于一台网络设备而言，其防攻击表项资源是有限的，下发一条防攻击表项就占用一个防攻击表项资源。换句话说，同一台网络设备同时只能下发数量有限的防攻击表项。因此当网络设备遭受分布式拒绝服务攻击（distributed denial of service，DDOS）等大规模网络攻击时，容易因为防攻击表项资源不足而导致网络防范失效，造成潜在的危险。

而且，防攻击表项资源的数量是由设备芯片硬件决定，扩大网络设备的防攻击表项资源的数量成本很大。

目前一种网络攻击的防范方法为：攻击检测设备在检测到网络攻击后，直接将防攻击信息发送到攻击源设备接入的交换机。

虽然发送防攻击表项信息不占用攻击检测设备的防攻击表项资源，但是此方法需要查询到攻击源设备接入的交换机，尤其是在攻击检测设备与攻击源设备之间跨越多个网络层级的情况下，查询交换机的难度更大，该查询过程增加了网络攻击防范处理的复杂度。

而且，查询交换机的过程时间长，还会造成网络攻击防范效率低的问题。

发明内容

本发明提供了一种网络攻击的防范方法和系统，以解决攻击检测设备的防攻击资源有限，无法防范大规模网络攻击的问题，以及，查询攻击源设备接入的交换机难度大、时间长，网络攻击防范效率低的问题。

为了解决上述问题，本发明提供了一种网络攻击的防范方法，所述方法应用于至少由具备攻击检测能力的攻击检测设备，不具备攻击检测能力的一个或多个攻击防范设备，以及攻击源设备构成的多层级网络中，按照所述攻击源设备发出网络攻击而产生的攻击流量的流向路径，所述攻击源设备为所述攻击防范设备的上游设备，所述攻击防范设备为所述攻击检测设备的上游设备，所述方法包括：

攻击检测设备在检测到攻击源设备发出的网络攻击后，将检测得到的防攻击信息封装到报文中；

所述攻击检测设备从本地的受攻击端口将所述报文发送至作为所述攻击检测设备的上游设备的攻击防范设备，以利用所述攻击防范设备对所述网络攻击进行防范；

其中，攻击防范设备具备根据所述防攻击信息下发防攻击表项对网络攻击进行防范的能力。

优选的，所述攻击检测设备将检测得到的防攻击信息封装到报文中，包括：

所述攻击检测设备以报文选项的形式添加防攻击信息到报文中；

其中，所述报文选项包括选项类型、选项长度和选项数据；所述选项数据包括一个或多个防攻击信息，所述防攻击信息包括防攻击表项类型、防攻击表项长度、防攻击表项有效时间和防攻击表项。

优选的，所述攻击检测设备将检测得到的防攻击信息封装到报文中，具体包括：

所述攻击检测设备将检测得到的防攻击信息中的一部分封装到报文中，以便利用其上游设备对该部分防攻击信息对应的网络攻击进行防范。

优选的，所述攻击检测设备将检测得到的防攻击信息中的一部分封装到报文中，具体包括：

所述攻击检测设备根据检测得到的防攻击信息下发的防攻击表项占用资源，大于预设的资源阈值时，将多出的防攻击信息封装到报文中。

优选的，所述攻击检测设备从本地的受攻击端口将所述报文发送至作为所述攻击检测设备的上游设备的攻击防范设备之后，所述方法还包括：

如果所述攻击检测设备在预设第一时间段内再次检测到所述网络攻击时，所述攻击检测设备根据封装到所述报文中的防攻击信息在本地的受攻击端口下发防攻击表项。

优选的，所述报文为链路层发现协议报文。

本发明还提供了一种网络攻击的防范方法，所述方法应用于至少由具备攻击检测能力的攻击检测设备，不具备攻击检测能力的一个或多个攻击防范设备，以及攻击源设备构成的多层级网络中，所述方法包括：

攻击防范设备接收到来自其下游设备发送的封装有防攻击信息的报文；

所述攻击防范设备根据所述报文中封装的防攻击信息，下发防攻击表项对所述防攻击信息对应的网络攻击进行防范。