[发明专利]网络层DDOS攻击源识别方法、装置及系统

摘要

本发明提供一种网络层DDOS攻击源识别方法，包括：检测服务器在监测到第一服务器受到DDOS攻击时，从第一服务器获取DDOS攻击包，提取DDOS攻击包中的攻击源IP地址与攻击源IP地址的TTL值；向第二服务器发送包含攻击源IP地址的探测指令；接收第二服务器根据探测指令返回的探测响应包，提取探测响应包中的探测源IP地址与探测源IP地址的TTL值；以及判断攻击源IP地址的TTL值与探测源IP地址的TTL值的差值是否大于预置值，若是，则确定攻击源IP地址为伪造的IP地址，若否，则确定攻击源IP地址为真实的IP地址。此外，本发明还提供一种网络层DDOS攻击源识别装置及系统。上述网络层DDOS攻击源识别方法、装置及系统可快速而有效地识别网络层DDOS攻击源。

主权项

1.一种网络层DDOS攻击源识别方法，其特征在于，包括：检测服务器在监测到第一服务器受到DDOS攻击时，从所述第一服务器获取DDOS攻击包，提取所述DDOS攻击包中的攻击源IP地址与所述攻击源IP地址的TTL值；向第二服务器发送包含所述攻击源IP地址的探测指令，所述第二服务器是由所述检测服务器选择的与所述第一服务器同处于一个网络拓扑中的任意一个服务器，所述探测指令用于指示所述第二服务器使用PING命令依次对所有DDOS攻击包中的攻击源IP地址进行探测；接收所述第二服务器根据所述探测指令返回的探测响应包，提取所述探测响应包中的探测源IP地址与所述探测源IP地址的TTL值，所述探测响应包由所述第二服务器根据所述探测指令，使用PING命令对所述攻击源IP地址进行探测时，从所述攻击源IP地址对应的终端获得；所述探测源IP地址与所述攻击源IP地址一致，所述探测源IP地址的TTL值是所述攻击源IP的真实TTL值；以及判断所述攻击源IP地址的TTL值与所述探测源IP地址的TTL值的差值是否大于预置值，若是，则确定所述攻击源IP地址为伪造的IP地址，若否，则确定所述攻击源IP地址为真实的IP地址。