[发明专利]一种攻击处理方法及装置

权利要求书

1.一种攻击处理方法，其特征在于，包括：

从接收的报文流中搜索请求响应报文对；

基于所述请求响应报文对制定流表；

将所述流表下发至交换机，以使所述交换机按照所述流表对所述报文流执行相应操作。

2.根据权利要求1所述的攻击处理方法及装置，其特征在于，所述基于所述请求响应报文对制定流表，包括：

将符合所述请求响应报文对四元组信息的用户设置为白名单；

确定报文流表规则；其中，所述报文流表规则为对报文发送用户或报文接收用户位于所述白名单的报文执行转发操作，对报文发送用户或报文接收用户没有位于所述白名单的报文执行丢弃操作；

基于所述白名单和所述报文流表规则获得所述流表。

3.根据权利要求2所述的攻击处理方法及装置，其特征在于，将所述转发操作设置为第一优先级，将所述丢弃操作设置为第二优先级。

4.根据权利要求1所述的攻击处理方法及装置，其特征在于，所述从接收的报文流中搜索请求响应报文对，包括：

接收所述报文流；

从所述报文流中提取四元组信息；其中，所述四元组信息包括源IP、目标IP、源端口和目的端口；

搜索所述四元组信息，并将所述源IP与所述目标IP相同，且所述源端口与所述目的端口相同的报文对作为所述请求响应报文对。

5.根据权利要求1所述的攻击处理方法及装置，其特征在于，所述从接收的报文流中搜索请求响应报文对之前，还包括：

判断接收的所述报文流中是否存在定向攻击报文；

当确定存在所述定向攻击报文时，搜索所述报文流以获取所述请求响应报文对。

6.根据权利要求5所述的攻击处理方法及装置，其特征在于，所述判断接收的所述报文流中是否存在定向攻击报文，包括：

在预设时间窗口内接收所述报文流；

从所述报文流中提取四元组信息；其中，所述四元组信息包括源IP、目标IP、源端口和目的端口；

计算所述源IP的熵、所述目的IP的熵、所述源端口的熵和所述目的端口的熵；

将所述源IP的熵、所述目的IP的熵、所述源端口的熵、所述目的端口的熵分别与对应的源IP熵阈值、目的IP熵阈值、源端口熵阈值和目的端口熵阈值比较；

根据比较结果判断接收的所述报文流中是否存在所述定向攻击报文。

7.根据权利要求6所述的攻击处理方法及装置，其特征在于，所述根据比较结果判断接收的所述报文流中是否存在所述定向攻击报文，包括：

若所述源IP的熵大于所述源IP熵阈值，且所述目的IP的熵小于所述目的IP熵阈值，且所述源端口的熵大于所述源端口熵阈值，且所述目的端口的熵小于所述目的端口熵阈值，则判定报文流中存在所述定向攻击报文。

8.根据权利要求6所述的攻击处理方法及装置，其特征在于，所述在预设时间窗口内接收所述报文流，从所述报文流中提取四元组信息，包括：

接收所述交换机上传的请求报文流；其中，所述请求报文流包括正常请求报文流和定向攻击请求报文流；

对所述请求报文流进行报文解析，提取所述请求报文流的四元组信息，并将所述请求报文流下发至所述交换机以执行转发操作；

接收响应报文流；其中，所述响应报文流为响应于所述正常请求报文流返回的报文；

对所述响应报文流进行报文解析，提取所述响应报文流的四元组信息，并将所述响应报文流下发至所述交换机以执行转发操作。

9.根据权利要求8所述的攻击处理方法及装置，其特征在于，所述接收所述交换机上传的请求报文流之前，还包括：

清空所述交换机中所述流表的流表项。

10.一种攻击处理方法，其特征在于，包括：

搜索模块，用于从接收的报文流中搜索请求响应报文对；

制定模块，用于基于所述请求响应报文对制定流表；

下发模块，用于将所述流表下发至交换机，以使所述交换机按照所述流表对所述报文流执行相应操作。