[发明专利]一种防攻击的报文转发方法和系统

权利要求书

1.一种防攻击的报文转发方法，其特征在于，包括：

对于未标记在攻击源列表的IP，根据所述IP的新建数据流的速率与配置的新建速率阀值比较结果或根据所述IP报文转发速率与配置的报文转发速率阀值比较结果，筛选疑似攻击IP；

判定所述疑似攻击IP是否是攻击IP，若所述疑似攻击IP是攻击IP，识别所述攻击IP的类别，根据所述攻击IP类别将所述IP加入到对应的攻击源列表中，并针对所述攻击IP类别建立对应的防攻击策略；

根据所述对应防攻击策略对所述IP的报文进行丢包处理或转发处理；其中，所述根据所述IP的新建数据流的速率与配置的新建速率阀值比较结果或根据所述IP报文转发速率与配置的报文转发速率阀值比较结果，筛选疑似攻击IP，包括：

监控所述IP的数据流的新建速率，当所述IP的新建数据流的速率超过配置的新建速率阀值，将所述IP标记为疑似攻击IP；

或，

监控所述IP的报文转发速率，当所述IP报文转发速率超过配置的报文转发速率阀值，将该IP标记为疑似攻击IP；

当所述IP的新建数据流的速率不超过配置的新建速率阀值，则新建流表项，转发所述IP的报文；

或，

当所述IP报文转发速率不超过配置的报文转发速率阀值，且所述IP被识别为未识别出虚拟性的IP时，则更新流表项，转发所述IP的报文，并触发对所述IP真实性的识别；

其中，所述判定所述疑似攻击IP是否是攻击IP，包括：

分析疑似攻击IP的流表项的五元组信息、报文交互信息、建立时间、协议状态判定疑似IP是否是真的攻击IP，若所述疑似攻击IP是攻击IP，标记所述攻击IP的攻击流；

若所述疑似攻击IP不是攻击IP，则清除所述IP的疑似攻击IP标记。

2.根据权利要求1所述的一种防攻击的报文转发方法，其特征在于，所述识别攻击IP类别，包括：

当根据报文五元组信息将每一个报文对应建一个流表项，所述流表项没有或者有很少的后续报文，且只有发送报文，没有回应报文时，确定所述攻击IP类别为新建型攻击；

当根据报文五元组信息新建立流表项后，所述流表项后续还有持续性的大量报文，且只有发送报文，没有回应报文时，确定所述攻击IP类别为流量型攻击。

3.根据权利要求2所述的一种防攻击的报文转发方法，其特征在于，所述并针对所述攻击IP类别建立对应的防攻击策略，包括：

对于新建攻击特征建立的处理策略包括：直接对攻击IP的所有报文进行丢包处理；或，对于攻击IP中超过新建速率阀值的报文进行丢包处理，已经建立的流不受影响；

对于流量型攻击特征建立的处理策略包括：直接对攻击IP的所有报文进行丢包处理；或，对于攻击IP中的攻击流直接进行丢包处理，正常流不受影响。

4.根据权利要求3所述的一种防攻击的报文转发方法，其特征在于，包括：

识别虚拟IP，对所述虚拟IP的报文直接进行丢包处理；

对于未识别出虚拟性的IP中在已建立的攻击源列表筛选出的已标记的攻击IP，则

检测所述IP是否在新建型攻击源列表中，若所述IP在新建型攻击源列表中，则执行对于新建攻击特征建立的处理策略；

检测所述IP是否在流量型攻击源列表中，若所述IP在流量型攻击源列表中，则执行对于流量型攻击特征建立的处理策略。