[发明专利]防止链路型DDoS攻击的实现方法和系统

权利要求书

1.一种防止链路型DDoS攻击的实现方法，其特征在于，包括：

网络流量监控系统监控通过被保护网络的主出口链路进入被保护网络的网络流量，所述被保护网络包括：主出口链路和备份链路；其中，所述备份链路用于引入公网DDoS系统回注的网络流量，所述主出口链路用于引入正常业务或DDoS攻击产生的网络流量；

网络流量监控系统在所述网络流量小于预设的告警值时，判断是否达到DDoS攻击标准，并在达到DDoS攻击标准时，通知所述被保护网络的内网DDoS系统进行引流；

网络流量监控系统在所述网络流量大于或等于预设的告警值时，通知公网DDoS系统进行引流，以使所述公网DDoS系统与公网DNS联动，将网络流量牵引到公网DDoS系统进行清洗，并将清洗后的网络流量通过所述备份链路回注回所述被保护网络；

所述网络流量监控系统通知公网DDoS系统进行引流之后，所述网络流量监控系统对所述出口设备进行配置，使得配置后的出口设备对主出口链路上的网络流量进行丢弃处理。

2.根据权利要求1所述的方法，其特征在于，所述网络流量监控系统监控通过被保护网络的主出口链路进入被保护网络的网络流量，包括：

网络流量监控系统接收被保护网络的出口设备产生的镜像流量，对所述镜像流量进行监控，得到进入被保护网络的网络流量，其中，镜像流量是出口设备对主出口链路的网络流量进行镜像或分光处理后得到的。

3.根据权利要求2所述的方法，其特征在于，在通知所述被保护网络的内网DDoS系统进行引流之后，所述方法还包括：

网络流量监控系统停止对镜像流量的监控。

4.根据权利要求2所述的方法，其特征在于，在通知公网DDoS系统进行引流之后，所述方法还包括：

网络流量监控系统停止对镜像流量的监控。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述通知所述被保护网络的内网DDoS系统进行引流，包括：

网络流量监控系统向所述被保护网络的内网DDoS系统发送启动引流消息；

所述方法还包括：

内网DDoS系统接收网络流量监控系统发送的启动引流消息；

内网DDoS系统接收网络流量监控系统发送的启动引流消息后，对所述被保护网络的出口设备进行引流配置，使得引流配置后的出口设备将主出口链路的网络流量牵引到内网DDoS系统上；

内网DDoS系统对牵引过来的网络流量进行清洗，并将清洗后的网络流量回注到所述出口设备上，使得所述出口设备将回注的网络流量发送到内网服务器上；

内网DDoS系统检查是否存在DDoS攻击，如果预设时间内都没有DDoS攻击，则取消所述出口设备上的引流配置，并通知所述网络流量监控系统重新启动监控。

6.根据权利要求5所述的方法，其特征在于，所述对所述被保护网络的出口设备进行引流配置，包括：

向所述出口设备配置BGP。

7.根据权利要求1-4任一项所述的方法，其特征在于，所述通知公网DDoS系统进行引流，包括：

网络流量监控系统向公网DDoS系统发送启动引流消息；

所述方法还包括：

公网DDoS系统接收网络流量监控系统发送的启动引流消息；

公网DDoS系统接收网络流量监控系统发送的启动引流消息后，对公网DNS进行引流配置，使得引流配置后的公网DNS将原本要发送到所述被保护网络的网络流量牵引到公网DDoS系统上；

公网DDoS系统对牵引过来的网络流量进行清洗，并将清洗后的网络流量通过所述备份链路回注到所述被保护网络上；

公网DDoS系统检查清洗后的网络流量，如果预设时间内清洗后的网络流量都低于所述预设的告警值，则取消所述公网DNS上的引流配置，并通知所述网络流量监控系统重新启动监控。