网络攻击识别方法、装置、计算机设备及介质制造方法及图纸

本申请公开了一种网络攻击识别方法、装置、计算机设备及介质，所述方法包括：根据监测到的多个TCP连接数据包生成连接请求记录表之后，获取当前时间戳，并根据当前时间戳，查询连接请求记录表，以从连接请求记录表记录的目的地址中，识别出起始时间戳与当前时间戳之差大于设定阈值时长的目标地址，并根据目标地址的半连接总数，识别网络攻击，从而该方法能够在网络环境下根据目标地址的半连接总数准确的识别出网络攻击，大大提高服务器的安全性。

【技术实现步骤摘要】
网络攻击识别方法、装置、计算机设备及介质
本申请涉及网络安全
，尤其涉及一种网络攻击识别方法、装置、计算机设备及介质。
技术介绍
随着因特网和其他互联网承载的通信量持续增长和变化，例如，当今网络带宽由1Gbps发展到10Gbps、40Gbps，甚至100Gbps。尽管网络带宽不断增加，但随之而来也产生了各式各样的网络攻击，占用了网络带宽，从而降低了网络的利用效率。在各种网络攻击中，SYNflood(洪水攻击)是基于TCP协议栈发起的攻击，据统计，SYNflood攻击的占比高达79％。因此，如何在网络环境中准确的识别出SYNflood网络攻击迫在眉睫。
技术实现思路
本申请提出一种网络攻击识别方法，该方法能够在网络环境下，根据目标地址的半连接总数准确的识别出网络攻击，大大提高服务器的安全性。本申请第一方面实施例提出了一种网络攻击识别方法，所述方法包括：根据监测到的多个TCP(TransmissionControlProtocol，传输控制协议)连接数据包，生成连接请求记录表，其中，所述连接请求记录表用于指示发送至同一目的地址的TCP连接数据包产生的半连接总数，以及发送至所述目的地址的首个TCP连接数据包所携带的起始时间戳；获取当前时间戳；根据所述当前时间戳，查询所述连接请求记录表，以从所述连接请求记录表记录的目的地址中，识别出所述起始时间戳与所述当前时间戳之差大于设定阈值时长的目标地址；根据所述目标地址的半连接总数，识别网络攻击。根据本申请实施例的网络攻击识别方法，根据监测到的多个TCP连接数据包，生成连接请求记录表之后，获取当前时间戳，并根据当前时间戳，查询连接请求记录表，以从连接请求记录表记录的目的地址中，识别出起始时间戳与当前时间戳之差大于设定阈值时长的目标地址，并根据目标地址的半连接总数，识别网络攻击，从而该方法能够在网络环境下准确的识别出网络攻击，大大提高服务器的安全性。本申请第二方面实施例提出了一种网络攻击识别装置，所述装置包括：生成模块，用于根据监测到的多个TCP连接数据包，生成连接请求记录表，其中，所述连接请求记录表用于指示发送至同一目的地址的TCP连接数据包产生的半连接总数，以及发送至所述目的地址的首个TCP连接数据包所携带的起始时间戳；获取模块，用于获取当前时间戳；查询模块，用于根据所述当前时间戳，查询所述连接请求记录表，以从所述连接请求记录表记录的目的地址中，识别出所述起始时间戳与所述当前时间戳之差大于设定阈值时长的目标地址；识别模块，用于根据所述目标地址的半连接总数，识别网络攻击。根据本申请实施例的网络攻击识别装置，通过生成模块根据监测到的多个TCP连接数据包生成连接请求记录表之后，通过获取模块获取当前时间戳，并通过查询模块根据当前时间戳，查询连接请求记录表，以从连接请求记录表记录的目的地址中，识别出起始时间戳与当前时间戳之差大于设定阈值时长的目标地址，以便识别模块根据目标地址的半连接总数，识别网络攻击，从而该装置能够在网络环境下准确的识别出网络攻击，大大提高服务器的安全性。本申请第三方面实施例提出了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时，实现上述的网络攻击识别方法。本申请实施例的计算机设备，通过实现上述的网络攻击识别方法，从而能够在网络环境下准确的识别出网络攻击，大大提高服务器的安全性。本申请第四方面实施例提出了一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述的网络攻击识别方法。本申请实施例的非临时性计算机可读存储介质，通过执行上述的网络攻击识别方法，从而能够在网络环境下准确的识别出网络攻击，大大提高服务器的安全性。本申请附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本申请的实践了解到。附图说明本申请上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：图1是根据本申请一个实施例的客户端与服务器之间三次握手的示意图；图2是根据本申请一个实施例的攻击者向服务器发送大量SYN报文请求的示意图；图3是根据本申请实施例的网络攻击识别方法的流程图；图4是根据本申请一个具体实施例的网络攻击识别方法的流程图；图5是根据本申请实施例的网络攻击识别装置的流程图。具体实施方式下面详细描述本申请的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本申请，而不能理解为对本申请的限制。下面参考附图描述本申请实施例的网络攻击识别方法、装置、计算机设备及介质。需要说明的是，TCP是主机对主机层的传输控制协议，能够提供可靠的连接服务。如图1所示，客户端和服务器在传输数据前，先在双方之间建立一条接通通道，即TCP三次握手。其中，第一次握手：客户端向服务器发送一个SYN(Synchronize，请求)报文，指明想要建立连接的服务器端口，以及序列号；第二次握手：服务器在接收到客户端的SYN报文后，将返回一个SYN-ACK(Acknowledge，应答)报文，表示客户端的请求被接收，同时在SYN-ACK报文中将确认号设置为客户端的序列号加一；第三次握手：客户端接收到服务器的SYN-ACK报文，向服务器发送ACK报文进行确认，ACK报文发送完毕，三次握手建立成功。而SYNflood攻击正是利用了TCP三次握手的这种机制。如图2所示，攻击者向服务器发送大量的SYN报文请求(该报文一般为源IP地址不存在或不可达)，当服务器回应SYN-ACK报文时，不再继续回应ACK报文，导致服务器上建立大量的半连接，直至老化。这样，服务器的资源会被这些半连接耗尽，导致服务器无法处理正常的连接请求。为解决上述问题，本申请提出了一种能够在网络环境下，根据目标地址的半连接总数准确的识别出网络攻击的网络攻击识别方法，进而大大提高服务器的安全性。图3是根据本申请实施例的网络攻击识别方法的流程图。如图3所示，本申请实施例的网络攻击识别方法，包括：S1，根据监测到的多个TCP连接数据包，生成连接请求记录表，其中，连接请求记录表用于指示发送至同一目的地址的TCP连接数据包产生的半连接总数，以及发送至目的地址的首个TCP连接数据包所携带的起始时间戳。本实施例中，执行步骤S1的过程例如可以为：每当监测到一个TCP连接数据包，查询当前TCP连接数据包携带的TCP标志位；若TCP标志位中设置为有效的字段用于指示开始会话，则根据当前TCP连接数据包中携带的目的地址，在连接请求记录表中创建对应的第一记录，其中，在第一记录中，半连接总数设定为初始值；若TCP标志位中设置为有效的字段用于指示应答，则获取当前TCP连接数据包中携带的目的地址所对应的第二记录，以根据当前TCP连接数据包中携带本文档来自技高网...

【技术保护点】
1.一种网络攻击识别方法，其特征在于，所述方法包括：/n根据监测到的多个TCP连接数据包，生成连接请求记录表，其中，所述连接请求记录表用于指示发送至同一目的地址的TCP连接数据包产生的半连接总数，以及发送至所述目的地址的首个TCP连接数据包所携带的起始时间戳；/n获取当前时间戳；/n根据所述当前时间戳，查询所述连接请求记录表，以从所述连接请求记录表记录的目的地址中，识别出所述起始时间戳与所述当前时间戳之差大于设定阈值时长的目标地址；/n根据所述目标地址的半连接总数，识别网络攻击。/n

【技术特征摘要】
1.一种网络攻击识别方法，其特征在于，所述方法包括：
根据监测到的多个TCP连接数据包，生成连接请求记录表，其中，所述连接请求记录表用于指示发送至同一目的地址的TCP连接数据包产生的半连接总数，以及发送至所述目的地址的首个TCP连接数据包所携带的起始时间戳；
获取当前时间戳；
根据所述当前时间戳，查询所述连接请求记录表，以从所述连接请求记录表记录的目的地址中，识别出所述起始时间戳与所述当前时间戳之差大于设定阈值时长的目标地址；
根据所述目标地址的半连接总数，识别网络攻击。


2.根据权利要求1所述的网络攻击识别方法，其特征在于，所述根据监测到的多个TCP连接数据包，生成连接请求记录表，包括：
每当监测到一个TCP连接数据包，查询当前TCP连接数据包携带的TCP标志位；
若所述TCP标志位中设置为有效的字段用于指示开始会话，则根据当前TCP连接数据包中携带的目的地址，在所述连接请求记录表中创建对应的第一记录，其中，在所述第一记录中，所述半连接总数设定为初始值；
若所述TCP标志位中设置为有效的字段用于指示应答，则获取当前TCP连接数据包中携带的目的地址所对应的第二记录，以根据当前TCP连接数据包中携带的序列号，更新所述第二记录的所述半连接总数。


3.根据权利要求2所述的网络攻击方法，其特征在于，所述第二记录还包括会话跟踪项，用于指示五元组信息和序列号；
所述根据当前TCP连接数据包中携带的序列号，更新所述第二记录中的所述半连接总数，包括：
将当前TCP连接数据包中携带的五元组信息作为搜索条件，搜索所述第二记录中的会话跟踪项，以得到所述五元组信息匹配的会话跟踪项；
将所述五元组信息匹配的会话跟踪项中的所述序列号作为参考序列号；
所述当前TCP连接数据包中携带的序列号大于所述参考序列号，且所述当前TCP连接数据包中携带的序列号与所述参考序列号相邻，则将所述第二记录中所述半连接总数减一。


4.根据权利要求3所述的网络攻击识别方法，其特征在于，所述在所述连接请求记录表中创建对应的第一记录之后，还包括：
根据所述一个TCP连接数据包中携带的五元组信息和序列号，生成所述第一记录中的会话跟踪项。


5.根据权利要求2所述的网络攻击识别方法，其特征在于，所述在所述连接请求记录表中创建对应的第一记录之前，还包括：
根据当前TCP连接数据包中携带的目的地...

【专利技术属性】
技术研发人员：杨洋，
申请(专利权)人：OPPO重庆智能科技有限公司，
类型：发明
国别省市：重庆;50