[发明专利]一种网络攻击的监控方法及系统

说明书

技术领域

本发明属于计算机网络技术领域，具体涉及一种网络攻击的监控方法及系统。

背景技术

防火墙设备经常用作局域网络的出口网管，其重要性相当于网络中的防盗门，用来控制用户的上网行为和访问限制，防火墙通常会对网络的基本访问情况进行归类并一一限制。但即使这样，也会出现仿真的网络攻击，此种攻击可以轻松的绕过防火墙所设置的访问控制，黑客通常的做法是模拟一个真实存在的用户IP地址，并借用此用户的IP地址进行访问连接，从协议层面分一个IP地址可以分为UDP类型和TCP类型两种，每种类型又可以进行6.5万个连接，相当于黑客只要取用1个有效的IP地址进行欺骗，就可以对局域网内发起13w的连接请求，如果再增加n个不同的访问目标地址，又可以进行n倍数的攻击，其危害相当于针对一个100台设备的局域网络配置有一个100w连接性能的防火墙。结果，一个黑客只需使用一个有效源IP地址和8个有效目标的IP地址就可以轻松攻击掉这台防护墙。

对于此种情况，多数网络设备普遍采用被动的防护攻击方式，即通过防火墙对每个用户的状态进行跟踪，当防火墙的数据连接达到上限时，就删除最早先建立的连接用户。现有技术的这种方式虽然可以应急处理受到攻击后的网络，但同时也会误删掉有效的用户访问，导致有效用户受到影响。

因此，有必要提供一种网络攻击的监控方法及系统，既能应急处理遭受攻击的网络，又能避免误删有效的用户访问。

发明内容

本发明的目的是提供一种网络攻击的监控方法及系统，既能应急处理遭受攻击的网络，又能避免误删有效的用户访问，以克服现有技术存在应急处理遭受攻击的网络的同时会误删有效的用户访问的缺陷。

根据本发明的一个方面，提供一种网络攻击的监控方法,包括以下步骤：步骤S1，定时获取防火墙当前接入的用户的连接状态；步骤S2，比较当前获取的用户连接状态与上次获取的用户连接状态，将连接状态未变化的用户计数加1；步骤S3，将状态计数超过预设次数的用户连接判定为死亡连接；步骤S4，判断死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率是否超过预定值；步骤S5，当死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率超过预定值时，则删除该用户连接。

其中，在上述发明中，将所述被判定为死亡连接的用户判定为死亡连接用户，将死亡连接用户的连接状态未变化的计数判定为死亡连接数。

其中，在上述发明中，所述步骤S4还包括：步骤S41，对用户连接状态报告进行统计，统计出所有认定为死亡连接的用户；步骤S42，将认定为死亡连接用户的当前死亡连接数与该死亡连接用户的上次死亡连接数进行比较，判断当前死亡连接数相对于上次死亡连接数的增长率是否超过预定值。

其中，在上述发明中，所述步骤S5还包括：步骤S51，将当前死亡连接数相对于上次死亡连接数的增长率超过预定值的死亡连接用户认定为攻击用户；步骤S52，防火墙监控设备将认定为攻击用户的用户形成攻击用户列表，将该列表发送给防火墙；步骤S53，防火墙收到列表后删除列表中的连接用户。

其中，在上述发明中，将所述删除的连接用户列入防火墙黑名单。

根据本发明的另一个方面，提供一种网络攻击的监控系统,包括：用户连接状态监视单元，用于定时获取防火墙当前接入的用户的连接状态；用户连接状态计数单元，连接到所述用户连接状态监视单元，用于将用户连接状态监视单元当前获取的用户连接状态与上次获取的用户连接状态相比较，将连接状态未变化的用户计数加1；死亡连接判定单元，连接到所述用户连接状态计数单元，用于在用户连接状态计数单元统计的用户状态计数超过预设次数时，将该用户连接判定为死亡连接；死亡连接数判断单元，连接到所述死亡连接判定单元，用于判断死亡连接判定单元判定的死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率是否超过预定值；用户连接删除单元，连接到死亡连接数判断单元，用于在死亡连接数判断单元判断出死亡连接用户的当前死亡连接数相对于上次死亡连接数的增长率超过预定值时，删除该用户连接。

其中，在上述发明中，所述死亡连接判定单元将被判定为死亡连接的用户判定为死亡连接用户，将死亡连接用户的连接状态未变化的计数判定为死亡连接数。