[发明专利]针对传统DDOS防火墙SYN FLOOD防护在工业网络中的改进方法

说明书

本发明公开了一种针对传统DDOS防火墙SYN FLOOD防护在工业网络中的改进方法。本发明针对传统DDOS防火墙SYN FLOOD防护在工业网络中的改进方法，包括：步骤一：捕获以太网络中的数据包；步骤二：解析TCP协议SYN报文，针对目的IP地址进行数量统计；步骤三：根据预设值的阈值与SYN报文统计数比对，如果统计数未超过阈值，则进入步骤四，如果超过阈值则进入步骤八。本发明的有益效果：本专利针对未超过阈值部分SYN FLood攻击流量进行主动释放处理，减少被攻击目标内存占用时间，使被攻击目标较快速的恢复到未遭受攻击时的正常工作状态，从而对工业设备达到安全防护的效果。

技术领域

本发明涉及防火墙领域，具体涉及一种针对传统DDOS防火墙SYN FLOOD防护在工业网络中的改进方法。

背景技术

网络状态同步洪水攻击(以下简称：SYN Flood攻击)是利用TCP协议的不合理性而产生的一种网络攻击。TCP协议规定：TCP连接必须经过双方三次握手交换信息，经确认无误后，方进行数据的交换；也就是说，后续的数据交换是基于三次握手产生的的信任关系而进行的。其具体数据交换过程：根据TCP协议，当B主机收到A主机发送的带有SYN标志位的SYN数据包后，应该向A主机回复一个带有SYN和ACK标志位的SYN/ACK数据包，然后B主机开始进入等待A主机发送的带有ACK标志位的ACK数据包状态。根据TCP协议，该状态为SYN_WAIT状态，这个状态将持续一段时间，如果在这段时间内，B主机没有收到A主机发送的ACK数据包，B主机才认为A主机放弃此次连接。一般来说，操作系统会在SYN_WAIT状态的时候就为此次连接分配一定量的内存。

传统DDOS防火墙的SYN Flood攻击检测方式是通过阈值进行判断，超过预先设置的阈值时，防火墙启动SYN Flood防护策略，对攻击进行清洗。

传统技术存在以下技术问题：

然而，工业网络环境中，SYN Flood攻击目标往往具有内存容量小，CPU处理速度不足等情况，传统防火墙未对超过阈值前的攻击流量进行处理，导致攻击流量到达被攻击目标，使被攻击目标内存一定时间的消耗或出现一定时间的拒绝服务的现象。

发明内容

本发明要解决的技术问题是提供一种针对传统DDOS防火墙SYN FLOOD防护在工业网络中的改进方法。

为了解决上述技术问题，本发明提供了一种针对传统DDOS防火墙SYN FLOOD防护在工业网络中的改进方法，包括：

步骤一：捕获以太网络中的数据包；

步骤二：解析TCP协议SYN报文，针对目的IP地址进行数量统计；

步骤三：根据预设值的阈值与SYN报文统计数比对，如果统计数未超过阈值，则进入步骤四，如果超过阈值则进入步骤八；

步骤四：针对目的IP地址进行会话状态统计；

步骤五：对于会话状态变更为已成功建立的，从统计表中删除；

步骤六：对于处于SYN_WAIT状态的会话建立定时老化机制，防止统计表无限扩张。

步骤七：报文处理结束，执行步骤一；

步骤八：根据四、五、六步骤生成的会话统计表，对目的IP发送FIN报文，释放其SYN_WAIT状态所占用内存；

步骤九：执行SYN Flood清洗流程；

步骤十：清洗结束，执行步骤一。

一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现任一项所述方法的步骤。

一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现任一项所述方法的步骤。