[发明专利]处理ACK洪泛攻击的方法和装置

说明书

技术领域

本发明涉及计算机通信技术领域，尤其涉及一种处理ACK洪泛攻击的 方法和装置。

背景技术

目前，网络设备经常会受到分布式拒绝服务(DistributedDenialofService， DDoS)攻击。在DDoS攻击中，多个攻击源同时利用合理的服务请求来占用同 一台网络设备过多的服务资源，从而使该网络设备无法处理合法用户的指令。 其中，传输控制协议/因特网互联协议(TransmissionControlProtocol/Internet Protocol，TCP/IP)被网络设备广泛使用。根据TCP/IP协议，在连接建立和数据 传输的过程中，网络设备都会收到用于不同服务请求的ACK报文。因此，ACK 洪泛攻击是DDoS攻击的常用形式。在ACK洪泛攻击中，多个攻击源可以同时 向网络设备发送大量的ACK报文，从而使该网络设备无法响应正常的ACK报 文。

为了保护网络设备，通常在检测到ACK洪泛攻击后，将该网络设备接收的 所有ACK报文转发给预先设置的防御设备，由防御设备对ACK报文进行处理。 防御设备在处理ACK洪泛攻击时，主要采用丢弃方式和触发重传方式。

在丢弃方式中，防御设备不对合法用户进行识别，直接将所有ACK报文直 接丢弃。在丢弃用于攻击的ACK报文的同时，也将合法用户的ACK报文全部 丢弃，造成合法用户与网络设备的连接断开。合法用户需要通过手动方式重新 与网络设备建立连接，影响合法用户的网络体验。

在触发重传方式中，防御设备从某个终端第一次收到ACK报文后，记录接 收该ACK报文的时间并将该ACK报文丢弃，后续又从该终端接收到ACK报文 时，判断两次接收ACK报文的时间间隔是否合理，当时间间隔合理时，确定该 发送方为合法用户。由于不同的操作系统的需求不同，该时间间隔的设置也比 较复杂。为了防止ACK洪泛攻击，该时间间隔通常设置为2-5秒，造成很多合 法用户在这个时间段内发送的ACK报文被丢弃，合法用户的服务请求被中断， 影响正常用户的网络体验。另外，根据TCP/IP协议，终端在发出ACK报文后， 即使没有收到反馈，也会继续在预设的TCP窗口范围内传输尽可能多的数据报 文。在触发重传方式中，这些数据报文都将被丢弃，直到该终端再次发送ACK 报文并被确定为合法用户，从而浪费更多的网络资源。

发明内容

本发明实施例提供了一种处理ACK洪泛攻击的方法和装置，能够在处 理ACK洪泛攻击时，及时地分辨出合法用户，提高合法用户的网络体验， 避免大量合法用户的报文被丢弃，节约网络资源。

本发明实施例的技术方案是这样实现的：

一种处理ACK洪泛攻击的方法，包括：

防御设备从终端接收到第一ACK报文后，存储所述第一ACK报文的信 息；

所述防御设备向所述终端发送用于指示重传的ACK报文；

所述防御设备根据所述第一ACK报文的信息，确定接收到的第二ACK 报文是否与所述第一ACK报文匹配；

当接收到的所述第二ACK报文与所述第一ACK报文匹配，所述防御设 备确定所述终端为合法用户；并将所述第二ACK报文发送给所述防御设备 对应的网络设备；

当接收到来自所述合法用户的第三ACK报文时，将所述第三ACK报文 发送给所述防御设备对应的网络设备。

一种处理ACK洪泛攻击的装置，包括：

确定模块，用于从终端接收到第一ACK报文后，发送存储指令给存储模 块，发送重传指令给发送模块；根据所述第一ACK报文的信息，确定接收 的第二ACK报文是否与所述第一ACK报文匹配；当接收到的所述第二ACK 报文与所述第一ACK报文匹配，确定所述终端为合法用户，并将所述第二 ACK报文发送给所述发送模块；当接收到来自所述合法用户的第三ACK报 文时，将所述第三ACK报文发送给所述发送模块；

所述发送模块用于根据所述确定模块的重传指令，向所述终端发送用于 指示重传的ACK报文；将来自所述确定模块的所述第二ACK报文和所述第 三ACK报文发送给所述装置对应的网络设备；

所述存储模块用于根据所述确定模块的存储指令，存储所述第一ACK 报文的信息。