[发明专利]获取网络攻击报文的指纹特征的方法以及网络设备

说明书

本申请公开了一种获取网络攻击报文的指纹特征的方法以及网络设备，用以在一定程度上解决现有静态指纹特征获取方式效率较低的问题。该方法包括：接收网络流量，所述网络流量中包含正常报文和网络攻击报文；通过n列、m行的二维数组，记录所述网络流量中的报文在载荷内容的不同位置上，各字符出现的次数，n列中的每列分别与载荷内容的一个位置相对应，m行中的每行分别与ASCII码中的一个字符相对应；根据所述二维数组获得特征字符串，所述特征字符串是指在所述网络流量中的报文载荷内容的固定位置上出现次数超过设定频率阈值的字符串；确定所述网络攻击报文的指纹特征为所述特征字符串以及所述特征字符串在所述载荷内容中的位置。

技术领域

本申请涉及计算机网络技术领域，尤其涉及一种获取网络攻击报文的指纹特征的方法及一种获取网络攻击报文的指纹特征的网络设备。

背景技术

拒绝服务(DoS，Denial of Service)攻击是一种常见的网络攻击手段，DoS 攻击的目的在于使目标设备的网络资源或系统资源耗尽，进而使得目标设备提供的服务暂时中断或停止，导致目标设备对客户不可用。分布式拒绝服务(DDoS,Distributed Denial ofService)攻击是指攻击者使用网络上至少两个受攻击者控制的主机向目标设备发动DoS攻击。相对于DoS攻击而言，DDoS 攻击的隐蔽性和破坏性都更强。

为了防范DoS攻击或DDoS攻击，现有技术提出了一种静态指纹技术。静态指纹技术是指将发生攻击时的网络流量与未发生攻击时的网络流量进行对比识别出攻击报文；并对攻击报文的内容进行人工分析，得到能够对攻击报文进行识别的指纹特征。指纹特征是指在每个攻击报文的固定位置上都会出现的字符串。得到指纹特征后，网络管理者在防火墙、安全网关等网络安全设备上配置指纹特征进而对后续流量中的报文进行内容匹配，实现对可能出现的攻击报文进行识别和过滤，从而提高网络对于DoS攻击或DDoS攻击的防范能力。

然而，攻击者为了逃避检测，会经常性的对攻击报文的内容进行更改，内容更改后的攻击报文无法被已配置的指纹特征检测出来。静态指纹技术在通过人工分析获得更改后的攻击报文的指纹特征时，一方面会耗费大量人力，另一方面由于人工分析耗费时间较长会造成检测的滞后性，即在更改后的攻击报文的指纹特征被获取到之前，防范DoS攻击或DDoS攻击往往已经对网络造成了严重破坏。可见，攻击者可以以较小的成本来逃避检测。

发明内容

本申请实施例提供一种获取网络攻击报文的指纹特征的方法，用以在一定程度上解决现有静态指纹特征获取方式效率较低的问题。

第一方面，提供了一种获取网络攻击报文的指纹特征的方法，包括：

接收网络流量，所述网络流量中包含正常报文和网络攻击报文，所述正常报文是指用户的正常网络行为产生的报文，所述网络攻击报文是指攻击者执行网络攻击时产生的报文；

通过n列、m行的二维数组，记录所述网络流量中的报文在载荷内容的不同位置上，各字符出现的次数，其中，n的取值范围为1至报文载荷的字节数之间的自然数，m的取值范围为1至255之间的自然数，n列中的每列分别与载荷内容的一个位置相对应，m行中的每行分别与ASCII码中的一个字符相对应，各行对应的ASCII码中的字符不同，所述二维数组第i行、第j列的元素 X_ij的值与在以载荷内容起始位置为基准，偏移量为j的位置上，第i行对应的字符出现的次数正相关；

根据所述二维数组获得特征字符串，所述特征字符串是指在所述网络流量中的报文载荷内容的固定位置上出现次数超过设定频率阈值的字符串；

确定所述网络攻击报文的指纹特征为所述特征字符串以及所述特征字符串在所述载荷内容中的位置。

可选地，在某些实现方式中，可以采用逐个字节扫描的方式记录网络流量。具体地，通过n列、m行的二维数组，记录所述网络流量的报文在载荷内容的不同位置上，各字符出现的次数，包括：