[发明专利]UDP数据包安全检测方法及装置

说明书

技术领域

本发明涉及网络安全技术领域，特别是涉及一种UDP数据包安全检测方法及装置。

背景技术

在DDOS攻击防护中(Distribution Denial Of Service，即分布式拒绝服务，攻击者通过在短时间内向web服务器或应用服务器发送大量的数据包来消耗服务器带宽或CPU资源，使得服务器不能提供正常服务)，依赖于攻击的固有特征进行过滤，比较容易被绕过，尤其是针对游戏业务，当遭受正常业务UDP数据包的重放攻击时，攻击包与业务正常通信包相同或相似，导致无法提取有效特征，使得在防护时，对UDP攻击数据包的检测的准确性不足，从而只能使用对业务体验损伤较大的端口白名单(对于非业务端口上的UDP包全部丢弃)或带宽限速(对UDP数据包进行限速，优先保证链路带宽质量，避免对同链路下其他业务的牵连影响)的方式进行DDOS攻击防护，影响了正常业务数据包的处理。

发明内容

基于此，有必要提供一种能够数据包检测的准确性的UDP数据包安全检测方法。

一种数据包特征提取方法，包括：

接收UDP数据包，提取所述UDP数据包的源地址和业务类型标识；

获取与所述UDP数据包的业务类型标识对应的TCP连接记录；

根据所述获取到的TCP连接记录提取与所述源地址对应的TCP连接状态；

判断所述TCP连接状态是否为正常，若是，则判定所述UDP数据包为安全数据包。

此外，还有必要提供一种能够数据包检测的准确性的UDP数据包安全检测装置。

一种UDP数据包安全检测装置，包括：

UPD包接收模块，用于接收UDP数据包，提取所述UDP数据包的源地址和业务类型标识；

连接记录获取模块，用于获取与所述UDP数据包的业务类型标识对应的TCP连接记录；

连接状态获取模块，用于根据所述获取到的TCP连接记录提取与所述源地址对应的TCP连接状态；

安全检测模块，用于判断所述TCP连接状态是否为正常，若是，则判定所述UDP数据包为安全数据包。

上述UDP数据包安全检测方法及装置中，在接收到TCP数据包之后，将其连接状态配置到与该TCP数据包的业务类型标识对应的TCP连接记录中；在接收到UDP数据包之后，先根据业务相关性查找到对应相同的业务类型标识的TCP连接的历史连接记录，然后在该TCP连接记录中查找UDP包的源地址对应的TCP连接状态来判断UDP数据包是否为攻击数据包。使得攻击者即使伪造正常业务的UDP数据包绕过数据包特征检测发起DDOS攻击，但由于其并没有相应的TCP连接，因此可被轻易识别为DDOS攻击数据包，因此，在传统技术的基础上提高了数据包安全检测的准确性。同时也使得web服务器或应用服务器在面对DDOS攻击时，无需对伪造正常业务的UDP数据包进行限流即可完成相应的DDOS攻击防护，从而提升了用户体验。

附图说明

图1为一个实施例中一种UDP数据包安全检测方法的流程图；

图2为一个实施例中生成TCP连接记录和设置TCP连接状态的流程图；

图3为一个实施例中一种同一个业务下的TCP连接与UDP连接的关联示意图；

图4为一个实施例中一种UDP数据包安全检测装置的结构示意图；

图5为一个实施例中运行上述UDP数据包安全检测方法的服务器硬件环境示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在一个实施例中，为了能够在DDOS攻击防护过程中提高UDP数据包检测的准确度，从而避免端口白名单和带宽限速等降低用户体验的防护方式，特提出了一种UDP数据包安全检测方法，该方法的实现可依赖计算机程序，可运行于基于冯诺依曼体系的计算机系统上。该计算机系统可以是互联网应用的应用服务器或web服务器，该方法可以应用在基于UDP包的web攻击防护或DDOS攻击防护等典型的应用场景。

具体的，如图1所示，该方法包括：

步骤S102：接收UDP数据包，提取UDP数据包的源地址和业务类型标识。

UDP数据包的源地址即为发送该UDP数据包的网络地址(例如IP地址)。与UDP数据包对应的业务类型标识即为接收UDP数据包的业务服务器所处理的业务流程的业务类型标识。