[发明专利]快速检测SYN Flood攻击的方法及装置

说明书

本发明提供了一种快速检测SYN Flood攻击的方法及装置，涉及网络信息安全的技术领域，该方法包括：获取TCP协议会话信息，其中，TCP协议会话信息为目标IP与监测主机之间的至少一个会话信息；对TCP协议会话信息进行分析，得到SYN请求数据包的数量；在判断出数量满足预设条件的情况下，对SYN请求中的源IP地址和物理地址进行分析，以确定源IP地址和物理地址是否符合平均分布；在确定出符合平均分布的情况下，基于目标会话数量确定当前时刻监测主机是否被SYN Flood攻击，其中，目标会话数量为当前时刻网络流量中的全部IP地址会话中应用层流量为零的会话数量，缓解现有技术中SYN Flood的检测方法成本较高的技术问题。

技术领域

本发明涉及网络信息安全的技术领域，尤其是涉及一种快速检测SYN Flood攻击的方法及装置。

背景技术

SYN Flood是一种广为人知的DoS(拒绝服务攻击)，SYN Flood是DDoS(分布式拒绝服务攻击)的方式之一。这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽(CPU满负荷或内存不足)的攻击方式。

SYN Flood攻击原理如图1所示。一个正常的TCP连接需要进行三次握手操作。首先，客户端向服务器发送一个SYN数据包。而后，服务器分配一个控制块，并响应一个SYN+ACK数据包。服务器随后将等待客户端发送一个ACK数据包给它。如果服务器没有收到ACK数据包，TCP连接将处于半开状态，直到服务器从客户端收到ACK数据包，或者因为time-to-live(TTL)计时器超时为止，超时时间可以在系统参数中自行调节，通常为几分钟到半小时。在连接超时的情况下，事先分配的控制块将被释放。当一个攻击者有意地、重复地向服务器发送SYN数据包，但不对服务器发回的SYN+ACK数据包答复时，就会发生SYN Flood攻击。不同源地址的SYN包会被分配到不同的数据区。

因此攻击者都会使用大量的伪造IP地址来保证SYN Flood攻击效果。SYN Flood攻击时服务器将会失去对资源的控制，无法建立任何新的合法TCP连接。目前已有SYN Flood的方法大多数是根据TCP协议包头中的SYN和ACK标志来精确判断半连接状态数量。这种方法对数据要求更多，需要数据采集设备能够详细解析TCP报头，而此类设备价格比较高。

发明内容

有鉴于此，本发明的目的在于提供一种快速检测SYN Flood攻击的方法及装置，以缓解现有技术中SYN Flood的检测方法成本较高的技术问题。

第一方面，本发明实施例提供了一种快速检测SYN Flood攻击的方法，包括：获取TCP协议会话信息，其中，所述TCP协议会话信息为目标IP与监测主机之间的至少一个会话信息；对所述TCP协议会话信息进行分析，得到SYN请求数据包的数量；在判断出所述数量满足预设条件的情况下，对SYN请求中的源IP地址和物理地址进行分析，以确定所述源IP地址和所述物理地址是否符合平均分布；在确定出符合所述平均分布的情况下，基于目标会话数量确定当前时刻所述监测主机是否被SYN Flood攻击，其中，所述目标会话数量为当前时刻网络流量中的全部IP地址会话中应用层流量为零的会话数量。

进一步地，对所述TCP协议会话信息进行分析，得到SYN请求数据包的数量包括：按照预设单位时间段对所述TCP协议会话信息进行划分，得到至少一个所属于不同预设单位时间段的目标TCP协议会话信息；基于所述目标TCP协议会话信息统计每个所述预设单位时间段内所述SYN请求数据包的会话请求数量，得到多个会话请求数量；判断每个所述会话请求数量是否满足所述预设条件，其中，在判断出满足的情况下，对每个所述预设单位时间段内SYN请求中的源IP地址和物理地址进行分析。