[发明专利]会话处理方法及装置

摘要

本申请提供一种会话处理方法及装置，应用于网络安全设备上，该方法包括：计算接收到的属于同一会话的数据报文中的数据的发送速率；当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。本申请充分利用慢速攻击报文的特点，快速准确地识别出慢速攻击报文，该识别方法更加灵活，不受限于具体的报文特征，便于维护，同时，提高了对慢速攻击报文的处理效率。

主权项

1.一种会话处理方法，应用于网络安全设备上，其特征在于，该方法包括：获取接收到的属于同一会话的数据报文的源IP地址；判断所述源IP地址是否命中预存的黑名单表项；当所述源IP地址命中所述黑名单表项时，断开所述数据报文对应的连接；当所述源IP地址未命中所述黑名单表项时，查询是否存在所述数据报文对应的会话表项；当不存在所述数据报文对应的会话表项时，创建所述数据报文对应的会话表项；记录所述会话表项的创建时间；当存在所述数据报文对应的会话表项时，累积所述数据报文中的数据长度；计算所述接收到的属于同一会话的数据报文中的数据的发送速率；其中，计算速率的方法具体包括：判断当前时间与所述会话表项的创建时间的时间差值是否达到预设的报文检测时长；当所述时间差值达到所述报文检测时长时，根据累积的数据长度以及所述时间差值计算所述数据的发送速率；当所述数据的发送速率小于预设的数据速率阈值时，断开所述数据报文对应的会话连接。