[发明专利]攻击防御方法和攻击防御设备

说明书

本发明公开了一种攻击防御方法和攻击防御设备，应用于攻击防御系统中。攻击防御系统包括一个调度设备和至少一个防护设备，防护设备提供多个防护IP地址，终端设备通过防护IP地址访问网站服务器。调度设备接收来自于第一终端设备的防护地址获取请求，根据第一终端设备的标识，获得对应的第一防护地址序列，从第一防护地址序列中获取第一个未使用的防护IP地址，向第一终端设备返回获取的防护IP地址。调度设备获取被攻击的防护IP地址，判断第一防护地址序列中已使用的防护IP地址是否先后依次均被攻击；如果被攻击，则获取与第一防护地址序列对应的所述第一终端设备的标识，并确定第一终端设备为攻击源。

技术领域

本申请涉及计算机及通信技术领域，尤其涉及一种攻击的防御方法及一种攻击防御设备。

背景技术

拒绝服务(denial of service,DoS)攻击是一种网络攻击手段，拒绝服务攻击的目的在于使目标计算机的网络资源或者系统资源耗尽，使目标计算机提供的服务暂时中断或停止，导致正常用户无法访问目标计算机。当攻击者(也被称为黑客)使用网络上两个或两个以上受控计算机作为攻击发起方向目标计算机发动DoS攻击时，这种攻击方式被称为分布式拒绝服务攻击(distributed denial-of-service attack,DDoS)。

近年来，出现了一种名为挑战黑洞(challenge collapsar，CC)的攻击方式。CC攻击本质上属于DDoS攻击，其特点是攻击对象是提供大量动态网页的目标网站服务器，例如购物网站服务器或者游戏网站服务器。

CC攻击的原理是攻击者通过代理服务器、或者大量受控计算机模拟多个用户访问目标网站服务器提供的动态网页，从而制造大量的后台数据库查询操作，以此来消耗目标网站服务器的中央处理器(central processing unit，CPU)资源，造成目标网站服务器瘫痪，无法为正常用户提供服务。

传统的DDoS攻击防御主要是依赖于防火墙的包过滤机制。以同步序列编号洪泛(Synchronize Sequence Numbers Flood，SYN Flood)攻击为例，在防火墙上配置过滤规则和阈值，当监控到流量发生异常时，及时进行流量阻断或清洗。例如部署于目标计算机前的防火墙监控到单位时间(例如1秒)内访问目标计算机80端口的SYN报文数量持续超过阈值(例如，5000)时，丢弃后续访问目标计算机80端口的SYN报文，或者将后续访问目标计算机的流量转发到流量清洗设备进行清洗，将清洗后得到的正常流量再发送给目标计算机。然而传统的DDoS攻击防御手段对于CC攻击效果不佳。这是因为CC攻击本身发送的是正常的网页访问请求，CC攻击造成的流量往往达不到传统防火墙设置的异常流量阈值，因为其攻击的发挥作用的重点是制造大量的后台数据库查询。

传统的应对CC攻击的防御方案是提供服务的站服务器尽量少用动态网页，尽可能用静态网页取代动态网页。然而这种方式显然无法满足一些所提供的服务主要依赖于用户交互实现的网站的需求，例如购物网站或者游戏网站。如何有效地防御CC攻击成为一个热点问题。

发明内容

本申请实施例提供一种攻击防御方法，用以在不影响网页服务功能的前提下，降低CC攻击对网站服务器的影响。

第一方面，提供了一种攻击防御方法，所述防御方法应用于防御系统中，所述防御系统包括一个调度设备和至少一个防护设备，所述防护设备部署于第一终端设备与受保护的网站服务器之间，所述至少一个防护设备提供多个防护网际协议(Internet Protocol，IP)地址，所述第一终端设备通过所述防护IP地址访问所述网站服务器。