[发明专利]防止链路型DDoS攻击的实现方法和系统

说明书

本发明提出一种防止链路型DDoS攻击的实现方法及系统，该方法包括：网络流量监控系统监控通过被保护网络的主出口链路进入被保护网络的网络流量，被保护网络包括：主出口链路和备份链路；在所述网络流量小于预设的告警值时，判断是否达到DDoS攻击标准，并在达到DDoS攻击标准时，通知内网DDoS系统进行引流；在所述网络流量大于或等于预设的告警值时，通知公网DDoS系统进行引流，以使公网DDoS系统与公网DNS联动，将网络流量牵引到公网DDoS系统进行清洗，并将清洗后的网络流量通过备份链路回注回被保护网络。该方法能够结合企业级DDoS产品和运营商DDoS产品的优点，在不限定网络流量的基础上，尽量保证安全性。

技术领域

本发明涉及通信技术领域，尤其涉及一种防止链路型DDoS攻击的实现方法和系统。

背景技术

分布式拒绝服务(Distributed Denial of Service，DDoS)攻击是指将多个计算机联合起来作为攻击平台，对攻击平台内的一个或多个计算机发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，将代理程序安装在攻击平台内的每个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序收到指令时就发动攻击。

DDoS攻击类型主要有如下几种：让被攻击对象系统满负荷运行导致其他正常用户无法访问，让被攻击对象系统出现异常导致所有用户均无法访问，让被攻击对象的网络链路带宽出现拥塞导致正常用户访问流量无法进入。其中最后一种可以称为链路型DDoS攻击。为了防止链路型DDoS攻击，需要在链路前部署防DDoS攻击产品对网络攻击流量进行拦截。

目前防DDoS攻击产品可以分为企业级DDoS产品和运营商DDoS产品，但是，企业级DDoS产品只能用在网络流量不超过企业出口带宽的场景，运营商DDoS产品存在安全风险。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的一个目的在于提出一种防止链路型DDoS攻击的实现方法，该方法可以结合企业级DDoS产品和运营商DDoS产品的优点，在不限定网络流量的基础上，尽量保证安全性。

本发明的另一个目的在于提出一种防止链路型DDoS攻击的实现系统。

为达到上述目的，本发明第一方面实施例提出的防止链路型DDoS攻击的实现方法，包括：网络流量监控系统监控通过被保护网络的主出口链路进入被保护网络的网络流量，所述被保护网络包括：主出口链路和备份链路；网络流量监控系统在所述网络流量小于预设的告警值时，判断是否达到DDoS攻击标准，并在达到DDoS攻击标准时，通知所述被保护网络的内网DDoS系统进行引流；网络流量监控系统在所述网络流量大于或等于预设的告警值时，通知公网DDoS系统进行引流，以使所述公网DDoS系统与公网DNS联动，将网络流量牵引到公网DDoS系统进行清洗，并将清洗后的网络流量通过所述备份链路回注回所述被保护网络。

本发明第一方面实施例提出的防止链路型DDoS攻击的实现方法，通过在网络流量大于或等于告警值时，由公网DDoS系统进行处理，可以解决企业级DDoS产品不能用于网络流量大于出口带宽的情况，实现在网络流量较大时依然可以处理链路型DDoS攻击；通过在网络流量小于告警值时，由内网DDoS系统进行处理，可以在此场景下不需要运营商DDoS产品的参与，避免安全隐患。从而通过在网络流量不同情况下由不同的DDoS产品进行处理，可以结合企业级DDoS产品和运营商DDoS产品的优点，在不限定网络流量的基础上，尽量保证安全性。