[发明专利]一种异常流量处理方法、装置、计算机设备及存储介质

权利要求书

1.一种异常流量处理方法，其特征在于，包括：

获取待检测的流量，所述流量包括目的地址和源地址；

对所述流量进行异常检测；

当检测到所述流量存在攻击异常时，基于所述目的地址执行初始防护操作，并获取所述初始防护操作对应的防护日志；

基于所述防护日志对所述流量进行异常类型检测；

当检测到所述流量的异常类型为目标类型时，基于防护升级策略升级所述初始防护操作，得到目标防护操作；

执行所述目标防护操作，以拦截所述源地址对应的异常流量。

2.根据权利要求1所述的异常流量处理方法，其特征在于，所述获取所述初始防护操作对应的防护日志包括：

统计预设时间段内所述目的地址对应的握手信号报文传输的总包量、传输控制协议报文传输的总包量、被信任握手信号的包量、新建传输控制协议连接数、以及传输控制协议载荷出现异常特征的包量，得到防护信息；

基于所述防护信息生成所述初始防护操作对应的防护日志。

3.根据权利要求2所述的异常流量处理方法，其特征在于，所述目标类型包括第一目标类型，所述基于所述防护日志对所述流量进行异常类型检测包括：

当所述握手信号报文传输的总包量大于第一预设阈值、所述握手信号报文传输的总包量与所述传输控制协议报文传输的总包量之间的比值大于第二预设阈值、且所述被信任握手信号的包量等于所述握手信号报文传输的总包量时，确定所述流量的异常类型为第一目标类型。

4.根据权利要求2所述的异常流量处理方法，其特征在于，所述目标类型包括第二目标类型，所述基于所述防护日志对所述流量进行异常类型检测包括：

当所述传输控制协议报文传输的总包量大于第三预设阈值、所述新建传输控制协议连接数大于预设连接数阈值、且所述传输控制协议载荷出现异常特征的包量大于第四预设阈值时，确定所述流量的异常类型为第二目标类型。

5.根据权利要求3所述的异常流量处理方法，其特征在于，所述当检测到所述流量的异常类型为目标类型时，基于防护升级策略升级所述初始防护操作，得到目标防护操作包括：

当所述流量的异常类型为第一目标类型时，基于对所述源地址新建连接数限制、所述源地址并发连接数限制、以及连接异常行为拦截的防护升级策略升级所述初始防护操作，得到目标防护操作。

6.根据权利要求5所述的异常流量处理方法，其特征在于，所述执行所述目标防护操作，以拦截所述源地址对应的异常流量包括：

对所述源地址新建连接数大于第一预设连接数、所述源地址并发连接数大于第二预设连接数、以及所述连接异常行为对应的异常流量进行拦截。

7.根据权利要求4所述的异常流量处理方法，其特征在于，所述当检测到所述流量的异常类型为目标类型时，基于防护升级策略升级所述初始防护操作，得到目标防护操作包括：

当异常类型为第二目标类型时，基于对所述源地址新建连接数限制、所述源地址并发连接数限制、传输控制协议报文限速、以及传输控制协议报文异常特征拦截的防护升级策略升级所述初始防护操作，得到目标防护操作。

8.根据权利要求7所述的异常流量处理方法，其特征在于，所述执行所述目标防护操作，以拦截所述源地址对应的异常流量包括：

对所述源地址新建连接数大于第三预设连接数、所述源地址并发连接数大于第四预设连接数、传输控制协议报文的速度大于预设速度阈值、以及传输控制协议报文中存在异常特征对应的异常流量进行拦截。

9.根据权利要求1至8任一项所述的异常流量处理方法，其特征在于，所述对所述流量进行异常检测包括：

当基于特征过滤策略检测所述流量中携带有目标异常特征时，确定所述流量存在攻击异常；或者，

基于反向探测策略向所述流量对应的目的地址发送探测指令，当所述探测指令未被执行时，确定所述流量存在攻击异常。