[发明专利]一种网络攻击的监控方法及系统

权利要求书

1.一种网络攻击的监控方法,其特征在于，包括以下步骤：

步骤S1，定时获取防火墙当前接入的用户的连接状态；

步骤S2，比较当前获取的用户连接状态与上次获取的用户连接状态，将连接状态未变化的用户计数加1；

步骤S3，将状态计数超过预设次数的用户连接判定为死亡连接，以及将被判定为死亡连接的用户判定为死亡连接用户，将死亡连接用户的连接状态未变化的计数判定为死亡连接数；

步骤S4，判断死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率是否超过预定值；

步骤S5，当死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率超过预定值时，则删除该用户连接。

2.根据权利要求1所述的方法，其特征在于，所述步骤S4还包括：

步骤S41，对用户连接状态报告进行统计，统计出所有认定为死亡连接的用户；

步骤S42，将认定为死亡连接用户的当前死亡连接数与该死亡连接用户的上次死亡连接数进行比较，判断当前死亡连接数相对于上次死亡连接数的增长率是否超过预定值。

3.根据权利要求1所述的方法，其特征在于，所述步骤S5还包括：

步骤S51，将当前死亡连接数相对于上次死亡连接数的增长率超过预定值的死亡连接用户认定为攻击用户；

步骤S52，防火墙监控设备将认定为攻击用户的用户形成攻击用户列表，将该列表发送给防火墙；

步骤S53，防火墙收到列表后删除列表中的连接用户。

4.根据权利要求3所述的方法，其特征在于，将所述删除的连接用户列入防火墙黑名单。

5.一种网络攻击的监控系统,其特征在于，包括：

用户连接状态监视单元(1)，用于定时获取防火墙当前接入的用户的连接状态；

用户连接状态计数单元(2)，连接到所述用户连接状态监视单元(1)，用于将用户连接状态监视单元(1)当前获取的用户连接状态与上次获取的用户连接状态相比较，将连接状态未变化的用户计数加1；

死亡连接判定单元(3)，连接到所述用户连接状态计数单元(2)，用于在用户连接状态计数单元(2)统计的用户状态计数超过预设次数时，将该用户连接判定为死亡连接，以及将被判定为死亡连接的用户判定为死亡连接用户，将死亡连接用户的连接状态未变化的计数判定为死亡连接数；

死亡连接数判断单元(4)，连接到所述死亡连接判定单元(3)，用于判断死亡连接判定单元(3)判定的死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率是否超过预定值；

用户连接删除单元(5)，连接到死亡连接数判断单元(4)，用于在死亡连接数判断单元(4)判断出死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率超过预定值时，删除该用户连接。

6.根据权利要求5所述的系统，其特征在于，所述死亡连接数判断单元(4)包括用户连接状态报告统计模块(41)和比较模块(42)，其中，

所述用户连接状态报告统计模块(41)用于对用户连接状态报告进行统计，统计出所有认定为死亡连接的用户；

所述比较模块(42)用于将认定为死亡连接用户的当前死亡连接数与该死亡连接用户的上次死亡连接数进行比较，判断当前死亡连接数相对于上次死亡连接数的增长率是否超过预定值。

7.根据权利要求5所述的系统，其特征在于，所述用户连接删除单元(5)包括攻击用户认定模块(51)、攻击用户列表发送模块(52)和用户连接删除模块(53)，其中，

所述攻击用户认定模块(51)用于将当前死亡连接数相对于上次死亡连接数的增长率超过预定值的死亡连接用户认定为攻击用户；

所述攻击用户列表发送模块(52)用于将认定为攻击用户的用户形成攻击用户列表，将该列表发送给用户连接删除模块(53)；

所述用户连接删除模块(53)用于在收到列表后调用防火墙删除列表中的连接用户。

8.根据权利要求7所述的系统，其特征在于，所述用户连接删除模块(53)调用防火墙删除列表中的连接用户的同时，将该用户列入防火墙黑名单。