[发明专利]网络攻击的检测方法、装置、主机及存储介质

说明书

本申请提供了一种网络攻击的检测方法、装置、主机及存储介质，涉及通信网络技术领域。该网络攻击的检测方法，应用于主机，包括：查询主机发送的网络数据包中报文携带的主机地址；判断主机地址是否属于预设的安全主机地址集合；若主机地址不属于预设的安全主机地址集合，则确定发送网络数据包的主机为攻击源主机。利用本申请的技术方案能够准确定位攻击源主机，降低网络安全风险。

技术领域

本发明涉及通信网络技术领域，尤其涉及一种网络攻击的检测方法、装置、主机及存储介质。

背景技术

随着网络技术的发展，不同的局域网可通过因特网连接，从而形成巨大且连通的网络。而局域网中的主机连接因特网后，面临各种黑客攻击。主机在遭受黑客攻击后，可能成为攻击源。黑客可以利用攻击源实施其他攻击，比如拒绝服务(Denial of Service，DoS)攻击，拒绝服务攻击为目的是使被攻击对象停止提供正常的服务的攻击手段。比如，迫使被攻击对象的缓冲区慢，不接收新的请求。或者，攻击源使用网络地址(Internet Protocol，IP)欺骗，迫使被攻击对象将非法用户连接复位，从而影响合法用户的连接。因此，如何检测DoS攻击成为了网络安全中的一个重要问题。

现阶段检测DoS攻击的技术为，通过对经过边界路由器、网络传输节点(比如交换机或中间路由器)或防火墙的异常网络数据包进行捕获和分析，由边界路由器、网络传输节点(比如交换机或中间路由器)或防火墙判定发送网络数据包的行为是否为DoS攻击。确定发送网络数据包的行为是DoS攻击后，分析异常网络数据包，根据异常网络数据包中携带的主机地址，将主机地址对应的主机确定为攻击源主机。如果DoS攻击伪造异常网络数据包携带的主机地址，则会将伪造的主机地址对应的主机确定为攻击源主机，但由于主机地址为伪造的地址，因此无法定位真正的攻击源主机，从而无法阻止DoS攻击，网络安全风险依然较大。

发明内容

本申请提供了一种网络攻击的检测方法、装置、主机及存储介质，能够准确定位攻击源主机，降低网络安全风险。

第一方面，本申请提供了一种网络攻击的检测方法，应用于主机，方法包括：查询主机发送的网络数据包中报文携带的主机地址；判断主机地址是否属于预设的安全主机地址集合；若主机地址不属于预设的安全主机地址集合，则确定发送网络数据包的主机为攻击源主机。

在本申请中，将DoS攻击的检测功能设置于主机中，由主机查询主机自身发送的网络数据包中报文的主机地址，并判断报文的主机地址是否属于预设的安全主机地址集合，若主机判定自身发送的网络数据包中报文携带的主机地址不属于安全主机地址集合，则表明主机发送网络数据包的行为出现异常，伪造了主机地址。主机可判断自身已经成为攻击源主机。从而在伪造主机地址的条件下，依然可溯源定位攻击源主机，便于后续从源头上阻止DoS攻击，降低网络安全风险。

而且，若主机为虚拟主机，则一台物理机中可包括多个虚拟主机。由于多个虚拟机之间并没有实体的边界路由器，因此现有技术无法定位产生DoS攻击的攻击源虚拟主机。在本申请实施例中，DoS攻击的检测功能设置在虚拟主机中，由虚拟主机完成检测功能，从而实现识别虚拟主机的DoS攻击，以及定位攻击源虚拟主机的功能。

在第一方面的一些实施例中，主机地址包括物理地址和网络协议地址；预设的安全主机地址集合包括主机的每个网卡的物理地址和与网卡的物理地址对应的网络协议地址；或者，预设的安全主机地址集合包括主机的每个网卡的物理地址和与网卡的物理地址对应的网络协议地址，以及用户设置的物理地址和与用户设置的物理地址对应的网络协议地址。

在第一方面的一些实施例中，查询主机发送的网络数据包中报文携带的主机地址之前，还包括：检测主机发送的网络数据包对应的通信信息是否符合预设规则；若主机发送的网络数据包对应的通信信息不符合预设规则，查询主机发送的网络数据包中报文携带的主机地址。