一种会话表项处理方法及装置制造方法及图纸

本申请实施例提供了一种会话表项处理方法及装置，应用于防火墙设备，方法包括：每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值；如果存在所述第一会话表项，则判断所述第一会话表项对应的连接是否为非法连接；如果是非法连接，则检测与所述第一会话表项匹配的正向报文的个数是否大于第二阈值；如果不大于所述第二阈值，则删除所述第一会话表项。应用本申请实施例，能够快速释放非法连接对应的会话表项占用的内存，降低对业务处理效率的影响。

【技术实现步骤摘要】
一种会话表项处理方法及装置
本申请涉及通信
，特别是涉及一种会话表项处理方法及装置。
技术介绍
Flood攻击是一种利用TCP(TransmissionControlProtocol，传输控制协议)缺陷，发送大量伪造的TCP连接请求(如SYN(Synchronize，同步)报文、ACK(Acknowledgment，确认)报文)，使得被攻击方资源耗尽的攻击方式。如图1所示组网，包括客户端100、防火墙设备200、服务器300；客户端100在与服务器300进行通信前，需要与服务器300建立连接。具体的：1、客户端100基于TCP通过防火墙设备200向服务器300发送SYN报文；2、服务器300接收到SYN报文后，通过防火墙设备200向客户端100发送SYN/ACK报文；3、客户端100在接收到SYN/ACK报文后，通过防火墙设备200向服务器300发送ACK报文；4、服务器300接收到ACK报文后，客户端100与服务器300间连接建立完成。其中，客户端100向服务器300发送的报文称为正向报文，如上述SYN报文、ACK报文；服务器300向客户端100发送的报文称为反向报文，如上述本文档来自技高网...

【技术保护点】
一种会话表项处理方法，其特征在于，应用于防火墙设备，所述方法包括：每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值；如果存在所述第一会话表项，则判断所述第一会话表项对应的连接是否为非法连接；如果是非法连接，则检测与所述第一会话表项匹配的正向报文的个数是否大于第二阈值；如果不大于所述第二阈值，则删除所述第一会话表项。

【技术特征摘要】
1.一种会话表项处理方法，其特征在于，应用于防火墙设备，所述方法包括：每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值；如果存在所述第一会话表项，则判断所述第一会话表项对应的连接是否为非法连接；如果是非法连接，则检测与所述第一会话表项匹配的正向报文的个数是否大于第二阈值；如果不大于所述第二阈值，则删除所述第一会话表项。2.根据权利要求1所述的方法，其特征在于，所述判断所述第一会话表项对应的连接是否为非法连接的步骤，包括：检测与所述第一会话表项匹配的报文是否仅有正向报文；或检测与所述第一会话表项匹配的报文是否仅有同步SYN报文和SYN/确认ACK报文；如果检测到仅有正向报文或检测到仅有SYN报文和SYN/ACK报文，则确定所述第一会话表项对应的连接为非法连接。3.根据权利要求1所述的方法，其特征在于，在删除所述第一会话表项之后，所述方法还包括：检测可疑列表包括的网络协议IP地址中是否存在所述第一会话表项包括的源IP地址；所述可疑列表用于存储产生攻击的IP地址，并用于提示产生攻击的IP地址；如果不存在，则将所述源IP地址添加至所述可疑列表中，为所述可疑列表中所述源IP地址配置老化时长；如果存在，则重置所述可疑列表中所述源IP地址的所述老化时长；当所述老化时长超时后，从所述可疑列表中删除所述源IP地址。4.根据权利要求1所述的方法，其特征在于，在删除所述第一会话表项之后，所述方法还包括：检测可疑列表包括的IP地址中是否存在所述第一会话表项包括的源IP地址；所述可疑列表用于存储产生攻击的IP地址和当前时刻前的第二时长内引用次数的对应关系；如果不存在，则将所述源IP地址添加至所述可疑列表中，将所述可疑列表中所述源IP地址的引用次数设置为1；如果存在，则将所述可疑列表中所述源IP地址的引用次数加1；所述方法还包括：每隔第三时长检测所述可疑列表中是否存在引用次数大于第三阈值的第一IP地址；如果存在第一IP地址，则输出包括所述第一IP地址的告警日志；所述告警日志用于提示所述第一IP地址为短时间内多次产生攻击的IP地址。5.根据权利要求1所述的方法，其特征在于，所述方法还包括：若检测到与所述第一会话表项匹配的正向报文的个数大于所述第二阈值，则为所述第一会话表项配置丢弃标识；所述丢弃标识用于指示所述防火墙设备丢弃与所述第一会话表项匹配的报文。6.一种会话表项处理装置，其特征在于，应用于防火墙设备，所述装置包括：第一检测单元，用于每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值；判断单元，用于在所述第一检测单元的检测结果为是时，判断所述第一会话表项对应的连接是否为非法连接...

【专利技术属性】
技术研发人员：易勇平，
申请(专利权)人：新华三信息安全技术有限公司，
类型：发明
国别省市：安徽,34