[发明专利]一种网络泛洪攻击的检测方法及装置

权利要求书

1.一种网络泛洪攻击的检测方法，其特征在于，所述方法包括：

设置检测启动参数，所述检测启动参数包括待检测服务器的网络互联协议IP地址和预置防护阈值；

根据所述IP地址，统计预置学习时间内所述待检测服务器建立传输控制协议TCP连接的最大频率值，所述最大频率值为在预置周期内建立的TCP连接的最大值；

根据所述最大频率值，计算所述待检测服务器的检测阈值；

所述根据所述最大频率值，计算所述待检测服务器的检测阈值，包括：

判断所述预置防护阈值是否小于所述最大频率值；

如果判断结果为是，则确定所述最大频率值为所述检测阈值；

如果判断结果为否，则计算所述预置防护阈值与所述最大频率值的流量偏差；

确定所述检测阈值为所述最大频率值与预置比例的所述流量偏差的和；

按照所述预置周期，统计所述待检测服务器建立TCP连接的实时频率；

判断所述实时频率是否大于所述检测阈值；

如果判断结果为是，则确定所述待检测服务器发生泛洪攻击；

所述方法还包括：

生成告警信息；

获取所述实时频率对应的TCP连接；

开启cookie校验机制，校验所述实时频率对应的TCP连接；

如果校验成功，则确定所述实时频率对应的TCP连接为正常连接；

如果检验失败，则确定所述实时频率对应的TCP连接为攻击源；

冻结所述攻击源，禁止所述攻击源访问互联网。

2.如权利要求1所述的方法，其特征在于，所述根据所述最大频率值，计算所述待检测服务器的检测阈值，包括：

确定所述检测阈值为所述最大频率值。

3.一种网络泛洪攻击的检测装置，其特征在于，所述装置包括：

设置单元，用于设置检测启动参数，所述检测启动参数包括待检测服务器的网络互联协议IP地址和预置防护阈值；

第一统计单元，用于根据所述IP地址，统计预置学习时间内所述待检测服务器建立传输控制协议TCP连接的最大频率值，所述最大频率值为在预置周期内建立的TCP连接的最大值；

计算单元，用于根据所述最大频率值，计算所述待检测服务器的检测阈值；

所述计算单元，包括：

判断模块，用于判断所述预置防护阈值是否小于所述最大频率值；

确定模块，用于如果判断结果为是，则确定所述最大频率值为所述检测阈值；

计算模块，用于如果判断结果为否，则计算所述预置防护阈值与所述最大频率值的流量偏差；

所述确定模块，还用于确定所述检测阈值为所述最大频率值与预置比例的所述流量偏差的和；

第二统计单元，用于按照所述预置周期，统计所述待检测服务器建立TCP连接的实时频率；

判断单元，用于判断所述实时频率是否大于所述检测阈值；

确定单元，用于如果判断结果为是，则确定所述待检测服务器发生泛洪攻击；

所述装置还包括：

生成单元，用于所述确定所述待检测服务器发生泛洪攻击之后，生成告警信息；

获取单元，用于所述确定所述待检测服务器发生泛洪攻击之后，获取所述实时频率对应的TCP连接；

开启单元，用于开启cookie校验机制，校验所述实时频率对应的TCP连接；

确定单元，用于如果校验成功，则确定所述实时频率对应的TCP连接为正常连接；

所述确定单元，还用于如果检验失败，则确定所述实时频率对应的TCP连接为攻击源；

冻结单元，用于冻结所述攻击源，禁止所述攻击源访问互联网。

4.如权利要求3所述的装置，其特征在于，所述计算单元，用于：

确定所述检测阈值为所述最大频率值。