[发明专利]一种防攻击的报文转发方法和系统

摘要

本发明实施例提供了一种防攻击的报文转发方法和系统。对于未标记在攻击源列表的IP，根据所述IP的新建数据流的速率与配置的新建速率阀值比较结果或根据所述IP报文转发速率与配置的报文转发速率阀值比较结果，筛选疑似攻击IP；判定所述疑似攻击IP是否是攻击IP，若所述疑似攻击IP是攻击IP，识别所述攻击IP的类别，根据所述攻击IP类别将所述IP加入到对应的攻击源列表中，并针对所述攻击IP类别建立对应的防攻击策略；根据所述对应防攻击策略对所述IP的报文进行丢包处理或转发处理。该方法只要简单的提取出报文头部的五元组信息用来建立流表项和更新流表项。然后基于流表识别攻击源及攻击类型，可以大幅提供设备的转发性能。

主权项

1.一种防攻击的报文转发方法，其特征在于，包括：对于未标记在攻击源列表的IP，根据所述IP的新建数据流的速率与配置的新建速率阀值比较结果或根据所述IP报文转发速率与配置的报文转发速率阀值比较结果，筛选疑似攻击IP；判定所述疑似攻击IP是否是攻击IP，若所述疑似攻击IP是攻击IP，识别所述攻击IP的类别，根据所述攻击IP类别将所述IP加入到对应的攻击源列表中，并针对所述攻击IP类别建立对应的防攻击策略；根据所述对应防攻击策略对所述IP的报文进行丢包处理或转发处理；其中，所述根据所述IP的新建数据流的速率与配置的新建速率阀值比较结果或根据所述IP报文转发速率与配置的报文转发速率阀值比较结果，筛选疑似攻击IP，包括：监控所述IP的数据流的新建速率，当所述IP的新建数据流的速率超过配置的新建速率阀值，将所述IP标记为疑似攻击IP；或，监控所述IP的报文转发速率，当所述IP报文转发速率超过配置的报文转发速率阀值，将该IP标记为疑似攻击IP；当所述IP的新建数据流的速率不超过配置的新建速率阀值，则新建流表项，转发所述IP的报文；或，当所述IP报文转发速率不超过配置的报文转发速率阀值，且所述IP被识别为未识别出虚拟性的IP时，则更新流表项，转发所述IP的报文，并触发对所述IP真实性的识别；其中，所述判定所述疑似攻击IP是否是攻击IP，包括：分析疑似攻击IP的流表项的五元组信息、报文交互信息、建立时间、协议状态判定疑似IP是否是真的攻击IP，若所述疑似攻击IP是攻击IP，标记所述攻击IP的攻击流；若所述疑似攻击IP不是攻击IP，则清除所述IP的疑似攻击IP标记。