[发明专利]快速检测SYN Flood攻击的方法及装置

权利要求书

1.一种快速检测SYN Flood攻击的方法，其特征在于，包括：

获取TCP协议会话信息，其中，所述TCP协议会话信息为目标IP与监测主机之间的至少一个会话信息；

对所述TCP协议会话信息进行分析，得到SYN请求数据包的数量；

在判断出所述数量满足预设条件的情况下，对SYN请求中的源IP地址和物理地址进行分析，以确定所述源IP地址和所述物理地址是否符合平均分布；

在确定出符合所述平均分布的情况下，基于目标会话数量确定当前时刻所述监测主机是否被SYN Flood攻击，其中，所述目标会话数量为当前时刻网络流量中的全部IP地址会话中应用层流量为零的会话数量；

其中，对所述TCP协议会话信息进行分析，得到SYN请求数据包的数量包括：

按照预设单位时间段对所述TCP协议会话信息进行划分，得到至少一个所属于不同预设单位时间段的目标TCP协议会话信息；

基于所述目标TCP协议会话信息统计每个所述预设单位时间段内所述SYN请求数据包的会话请求数量，得到多个会话请求数量；

判断每个所述会话请求数量是否满足所述预设条件，

其中，在判断出满足的情况下，对每个所述预设单位时间段内SYN请求中的源IP地址和物理地址进行分析；

其中，判断每个所述会话请求数量是否满足所述预设条件包括：

判断每个所述会话请求数量是否大于最大值基线；

在判断出是的情况下，则判断每个所述会话请求数量是否大于N倍的最大值基线，其中，N大于1；

在判断出是的情况下，判断每个所述会话请求数量是否大于M倍的平均值基线；

在判断出是的情况下，确定所述会话请求数量满足所述预设条件，其中，M大于1。

2.根据权利要求1所述的方法，其特征在于，在基于所述目标TCP协议会话信息统计每个所述预设单位时间段内SYN请求数据包的会话请求数量之后，所述方法还包括：

将所述多个会话请求数量中最大会话请求数量作为所述最大值基线；

将所述多个会话请求数量的平均值作为所述平均值基线。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当满足以下至少一种条件时，对所述最大值基线和所述平均值基线进行更新：在判断出所述会话请求数量不大于N倍的所述最大值基线的情况下；在判断出所述会话请求数量不大于M倍的所述平均值基线的情况下；在确定出不符合所述平均分布的情况下；以及，在确定出所述当前时刻所述监测主机未被所述SYN Flood攻击的情况下。

4.根据权利要求1所述的方法，其特征在于，对SYN请求中的源IP地址和物理地址进行分析，以确定所述源IP地址和所述物理地址是否符合平均分布包括：

计算第一比例和第二比例的差值，其中，所述第一比例为所述源IP地址产生的会话数量占比第K大的比例，所述第二比例为所述源IP地址产生的会话数量占比第K小的比例，K等于P与所述源IP地址数量的乘积，P为预设常数；

在所述差值小于预设数值的情况下，确定所述源IP地址和所述物理地址是否符合平均分布。

5.根据权利要求1所述的方法，其特征在于，在确定出符合所述平均分布的情况下，基于目标会话数量确定当前时刻所述监测主机是否被SYN Flood攻击包括：

计算所述目标会话数量与所述全部IP地址会话之间的会话比例；

判断所述会话比例是否大于或者等于预设比例；

在判断出是的情况下，则确定所述监测主机被SYN Flood攻击。