一种ACK Flood攻击的防护方法及装置制造方法及图纸

本发明专利技术公开了一种ACK Flood攻击的防护方法及装置，用以解决在不断开客户端和服务器之间的连接的前提下，提高识别非法客户端的精确度的问题。该方法包括：中间防护设备针对拦截的每一客户端发送的ACK报文，基于在客户端发送ACK报文之前中间防护设备返回给客户端的ACK响应报文中的一段报文段，生成探测报文；丢弃ACK报文，将探测报文返回客户端；当确定客户端返回探测响应报文时，检测其中是否包含SACK选项；如果是，则根据SACK信息判定客户端是否为合法客户端；当确定客户端为合法客户端时，将客户端重传的ACK报文发送至相应的目标服务器；否则，将重传的ACK报文丢弃；如果否，则将客户端重传的ACK报文丢弃。

【技术实现步骤摘要】
一种ACKFlood攻击的防护方法及装置
本专利技术涉及信息安全
，尤其涉及一种ACKFlood攻击的防护方法及装置。
技术介绍
在使用TCP(TransmissionControlProtocol，传输控制协议)传输数据时，客户端和服务器需要先通过三次握手建立TCP连接，在建立TCP连接后，客户端和服务器就可以通过确认(Acknowledgement，ACK)报文(即：带确认标志位的传输控制协议报文)进行数据传输。服务器接收到客户端发送的ACK报文后，判断该ACK报文中携带的源IP(InternetProtocol，互联网协议)地址和源端口是否保存在本地会话列表中，如果未保存在本地会话列表中，则判定该ACK报文是非法报文，并将其丢弃。一般情况下，攻击者通过向服务器发送大量携带有虚假源IP地址和端口的ACK报文，向服务器发起攻击，这种攻击即为ACKFlood攻击(即：带确认标志位的传输控制协议报文泛洪攻击)，ACKFlood攻击是最常用的DDoS(Distributeddenialofserviceattack，分布式拒绝服务攻击本文档来自技高网...

【技术保护点】
1.一种ACK Flood攻击的防护方法，其特征在于，包括：/n中间防护设备针对拦截的每一客户端发送的ACK报文，基于在所述客户端发送所述ACK报文之前所述中间防护设备返回给所述客户端的ACK响应报文中的一段报文段，生成探测报文，其中，所述ACK响应报文为目标服务器通过所述中间防护设备返回给所述客户端的；/n丢弃所述ACK报文，并将生成的探测报文返回至所述客户端；/n当确定所述客户端基于接收到的所述探测报文返回相应的探测响应报文时，检测所述探测响应报文中是否包含SACK选项；/n当检测到所述探测响应报文中包含所述SACK选项，根据所述SACK选项相应的SACK信息判定所述客户端是否为合法客户端...

【技术特征摘要】
1.一种ACKFlood攻击的防护方法，其特征在于，包括：
中间防护设备针对拦截的每一客户端发送的ACK报文，基于在所述客户端发送所述ACK报文之前所述中间防护设备返回给所述客户端的ACK响应报文中的一段报文段，生成探测报文，其中，所述ACK响应报文为目标服务器通过所述中间防护设备返回给所述客户端的；
丢弃所述ACK报文，并将生成的探测报文返回至所述客户端；
当确定所述客户端基于接收到的所述探测报文返回相应的探测响应报文时，检测所述探测响应报文中是否包含SACK选项；
当检测到所述探测响应报文中包含所述SACK选项，根据所述SACK选项相应的SACK信息判定所述客户端是否为合法客户端；当确定所述客户端为合法客户端时，将所述客户端重传的ACK报文以及后续发送的所有ACK报文发送至相应的目标服务器；否则，将所述客户端重传的ACK报文以及后续发送的所有ACK报文丢弃；
当检测到所述探测响应报文中不包含所述SACK选项时，将所述客户端重传的ACK报文以及后续发送的所有ACK报文丢弃。


2.如权利要求1所述的方法，其特征在于，基于在所述客户端发送所述ACK报文之前所述中间防护设备返回给所述客户端的ACK响应报文中的一段报文段，生成探测报文，具体包括：
获取所述ACK报文携带的第一源IP地址、第一目的IP地址、第一源端口、第一目的端口、第一序列号和第一确认号；
将所述第一源IP地址作为第二目的IP地址，将所述第一目的IP地址作为第二源IP地址，将所述第一源端口作为第二目的端口，将所述第一目的端口作为第二源端口；
将所述第一确认号减去X作为第二序列号，其中，X为大于或等于2的整数，将所述第一序列号减去Y作为第二确认号，其中，Y为大于或等于0的整数，并设置报文长度为大于或等于1且小于X的整数，所述报文长度为所述报文段的长度；
根据所述第二源IP地址、所述第二目的IP地址、所述第二源端口、所述第二目的端口、所述第二序列号、所述第二确认号以及所述报文长度，生成所述探测报文。


3.如权利要求2所述的方法，其特征在于，根据所述SACK选项相应的SACK信息判定所述客户端是否为合法客户端，具体包括：
获取所述SACK信息中包含的起始序列号以及结束序列号；
当确定所述起始序列号的值与所述第二序列号相同，且所述结束序列号的值等于所述第二序列号与所述报文长度之和时，则判定所述客户端是合法客户端；否则，判定所述客户端是非法客户端。


4.如权利要求1所述的方法，其特征在于，还包括：
当确定在预设时间段内未收到所述客户端发送的探测响应报文时，向所述客户端重新发送所述探测报文。


5.一种ACKFlood攻击的防护装置，其特征在于，包括：
生成单元，用于针对拦截的每一客户端发送的ACK报文，基于在所述客...

【专利技术属性】
技术研发人员：李明，樊宇，叶晓虎，
申请(专利权)人：绿盟科技集团股份有限公司，北京神州绿盟科技有限公司，
类型：发明
国别省市：北京;11