[发明专利]网络攻击防护方法、装置及系统

权利要求书

1.一种基于旁路模式的网络攻击防护方法，可用于检测设备，其特征在于，包括：

获取网络中的双向流量数据；

基于五元组信息确定所述双向流量数据的目的IP地址；

在预设周期内的所述目的IP地址对应的状态信息错误的计数值大于阈值时，生成警告信息，在预设周期内的所述目的IP地址对应的状态信息错误的数据计数值小于阈值时，生成删除信息；

将所述警告信息发送给防护设备，获取所述防护设备返回的牵引信息，基于所述牵引信息获取所述双向流量数据的三元组状态，将所述三元组状态发送给所述防护设备，以使得所述防护设备对网络攻击进行防护，所述三元组状态为关于包括源IP，源端口以及协议的三元组的增加和删除两种指令的信息；以及

将所述删除信息通过传输控制协议发送给所述防护设备，以使得所述防护设备删除对应于所述目的IP地址的防护策略。

2.如权利要求1所述的方法，其特征在于，获取网络中的双向流量数据，包括：

通过镜像或流模式获取网络中的实时的双向流量数据。

3.如权利要求1所述的方法，其特征在于，在预设周期内的所述目的IP地址对应的状态信息错误的计数值大于阈值，包括：

在所述目的IP地址对应的双向流量数据中存在异常会话状态时，增加所述目的IP地址对应的状态信息错误的计数值。

4.如权利要求1所述的方法，其特征在于，基于所述牵引信息获取所述双向流量数据的三元组状态，包括：

基于所述牵引信息获取预设周期内的所述双向流量数据的三元组状态。

5.一种基于旁路模式的网络攻击防护方法，可用于防护设备，其特征在于，包括：

获取来自于检测设备的警告信息和删除信息，所述警告信息由检测设备在预设周期内的目的IP地址对应的状态信息错误的计数值大于阈值时生成，所述删除信息在预设周期内的所述目的IP地址对应的状态信息错误的数据计数值小于阈值时生成；

由所述警告信息获取目的IP地址，以及由所述删除信息中获取目的IP地址；

基于由所述警告信息获取的目的IP地址生成防护策略，以及删除由所述删除信息中获取的目的IP地址对应的所述防护策略；

基于所述防护策略获取流量数据；

在基于三元组数据表中的三元组状态判断出所述流量数据满足预设条件时，丢弃所述流量数据，所述三元组状态为关于包括源IP，源端口以及协议的三元组的增加和删除两种指令的信息。

6.如权利要求5所述的方法，其特征在于，还包括：

获取来自于所述检测设备的三元组状态和其对应的目的IP地址；

基于所述三元组状态和其对应的目的IP地址更新所述三元组数据表。

7.如权利要求5所述的方法，其特征在于，还包括：

定时删除所述目的IP地址对应的所述防护策略。

8.一种基于旁路模式的网络攻击防护装置，可用于检测设备，其特征在于，包括：

数据模块，用于获取网络中的双向流量数据；

信息模块，用于基于五元组信息确定所述双向流量数据的目的IP地址；

判断模块，用于在预设周期内的所述目的IP地址对应的状态信息错误的计数值大于阈值时，生成警告信息，以及在预设周期内的所述目的IP地址对应的状态信息错误的数据计数值小于阈值时，生成删除信息；

发送模块，用于将所述警告信息发送给防护设备，获取所述防护设备返回的牵引信息，基于所述牵引信息获取所述双向流量数据的三元组状态，将所述三元组状态发送给所述防护设备，以使得所述防护设备对网络攻击进行防护，所述三元组状态为关于包括源IP，源端口以及协议的三元组的增加和删除两种指令的信息；以及将所述删除信息通过传输控制协议发送给所述防护设备，以使得所述防护设备删除对应于所述目的IP地址的防护策略。