[发明专利]异常网络流量的拦截方法、装置、拦截设备及介质

权利要求书

1.一种异常网络流量的拦截方法，其特征在于，由与网络交换设备并联的拦截设备执行，所述方法包括：

从网络交换设备上旁路采集复制数据流量，并在复制数据流量中，识别用于建立传输控制协议TCP连接的连接建立过程信息，连接建立过程信息为非加密信息；

在连接建立过程信息中，提取终端所需访问的网站的域名信息，并根据域名信息进行异常网站的检测；

在根据目标连接建立过程信息确定目标终端所需访问的目标网站为异常网站时，生成与所述目标终端匹配的TCP连接终端阻断信息；

将TCP连接终端阻断信息发送至目标终端，以对目标终端访问目标网站的行为进行拦截。

2.根据权利要求1所述的方法，其特征在于，从网络交换设备上旁路采集复制数据流量，包括：

采用链路分光，或者交换机镜像的方式，从网络交换设备上旁路采集复制数据流量。

3.根据权利要求2所述的方法，其特征在于，从网络交换设备上旁路采集复制数据流量，包括：

从网络交换设备上旁路采集基于超文本传输协议HTTP的复制数据流量。

4.根据权利要求1所述的方法，其特征在于，在复制数据流量中，识别用于建立TCP连接的连接建立过程信息，包括：

在所述复制数据流量中，获取终端和/或网站所发送的，与TCP三次握手过程匹配的连接建立过程信息。

5.根据权利要求1所述的方法，其特征在于，根据域名信息进行异常网站的检测，包括：

将所述域名信息与预先建立的异常网站域名库进行比对，检测所述异常网站域名库中是否存储所述域名信息。

6.根据权利要求1-5任一项所述的方法，其特征在于，在生成与所述目标终端匹配的TCP连接终端阻断信息的同时，还包括：

生成与所述目标网站匹配的TCP连接网站阻断信息；

将所述TCP连接网站阻断信息发送至所述目标网站，以对所述目标网站向目标终端反馈响应信息的行为进行拦截。

7.根据权利要求1-5任一项所述的方法，其特征在于，生成与所述目标终端匹配的TCP连接终端阻断信息，包括：

根据所述目标终端和所述目标网站的身份识别信息，构建由所述目标网站指向所述目标终端的拒绝服务信息，作为所述TCP连接终端阻断信息；

生成与所述目标网站匹配的TCP连接网站阻断信息，包括：

根据所述目标终端和所述目标网站的身份识别信息，构建由所述目标终端指向所述目标网站的断开连接信息，作为所述TCP连接网站阻断信息。

8.一种异常网络流量的拦截装置，其特征在于，配置于与网络交换设备并联的拦截设备上，包括：

复制数据流量采集模块，用于从网络交换设备上旁路采集复制数据流量，并在复制数据流量中，识别用于建立传输控制协议TCP连接的连接建立过程信息，连接建立过程信息为非加密信息；

域名提取模块，用于在连接建立过程信息中，提取终端所需访问的网站的域名信息，并根据域名信息进行异常网站的检测；

终端阻断信息生成模块，用于在根据目标连接建立过程信息确定目标终端所需访问的目标网站为异常网站时，生成与所述目标终端匹配的TCP连接终端阻断信息；

终端阻断信息发送模块，用于将TCP连接终端阻断信息发送至目标终端，以对目标终端访问目标网站的行为进行拦截。

9.一种拦截设备，其特征在于，所述拦截设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-7中任一项所述的异常网络流量的拦截方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-7中任一项所述的异常网络流量的拦截方法。