专利名称：网络攻击防护方法、设备及系统的制作方法
技术领域：
本发明涉及网络安全技术领域，具体涉及一种网络攻击防护方法、设备及系统。
背景技术：
分布式拒绝服务(DDOS，Distribution Denial Of Service)攻击是一种主控者利 用攻击控制主机做跳板，控制大量受感染而被控制的攻击主机组成攻击网络来对受害主机 进行大规模的拒绝服务攻击的网络攻击行为。分布式拒绝服务攻击通常利用攻击网络对受 害主机发起大量服务请求报文，使得受害主机忙于处理这些突发请求，而无法正常响应合 法用户请求，从而造成受害主机瘫痪。现有技术中提出了一种通过DDOS清洗设备来对服务请求进行清洗的网络攻击防 护方法。该方法主要通过攻击探测设备对网络攻击行为进行探测，在探测到网络攻击后，通 知DDOS清洗设备，DDOS清洗设备向路由器发送指令，使得目标服务器(即受害主机)的数 据包全部从路由器引流到DDOS清洗设备，在DDOS清洗设备对数据包进行清洗后，再返回给 路由器，最终由路由器将清洗后的数据发送给目标服务器。发明人在研究现有技术的过程中发现，现有的网络攻击防护方法主要对受害主机 进行保护，只能在大流量的DDOS攻击到达了受害主机才进行清洗，而此时大流量的DDOS攻 击已经造成了受害主机的上游网络堵塞，浪费了网络带宽。
发明内容
本发明提供一种防止受害主机的上游网络发生堵塞的网络攻击防护方法、设备及 系统。本发明实施例提供的网络攻击防护方法，包括接收攻击源信息，所述攻击源信息中携带有攻击主机的地址信息；根据所述攻击主机的地址信息以及预设的主机与网关之间的对应关系获得所述 攻击主机对应的网关的地址信息；根据所述攻击主机对应的网关的地址信息向所述攻击主机对应的网关发送第一 控制消息，所述第一控制消息指示所述攻击主机对应的网关对所述攻击主机的流量进行控 制。本发明实施例还提供一种网络攻击防护方法，该方法包括接收攻击源信息，所述攻击源信息中携带有攻击主机的地址信息；根据所述攻击主机的地址信息获得所述攻击主机所属的攻击网络中攻击控制主 机的地址信息；根据所述攻击控制主机的地址信息以及预设的主机与网关之间的对应关系获得所述攻击控制主机对应的网关的地址信息；根据所述攻击控制主机对应的网关的地址信息向所述攻击控制主机对应的网关 发送第二控制消息，所述第二控制消息指示所述攻击控制主机对应的网关对所述攻击控制主机的流量进行控制。本发明实施例还提供一种网络攻击防护设备，包括接收单元，用于接收攻击源信息，所述攻击源信息中携带有攻击主机的地址信 息；第一获取单元，用于根据所述攻击主机的地址信息以及预设的主机与网关之间的对应关系，获得所述攻击主机对应的网关的地址信息；处理单元，用于根据所述攻击主机对应的网关的地址信息向所述攻击主机对应的 网关发送第一控制消息，所述第一控制消息指示所述攻击主机对应的网关对所述攻击主机 的流量进行控制。本发明实施例还提供一种网络攻击防护设备，包括接收模块，用于接收攻击源信息，所述攻击源信息携带攻击主机的地址信息；第一获取模块，用于根据所述接收模块所接收的所述攻击主机的地址信息获得所 述攻击主机所属的攻击网络中攻击控制主机的地址信息；第二获取模块，用于根据所述攻击控制主机的地址信息以及预设的主机与网关之 间的对应关系获得所述攻击控制主机对应的网关的地址信息；处理模块，用于根据所述攻击控制主机对应的网关的地址信息向所述攻击控制主 机对应的网关发送第二控制消息，所述第二控制消息指示所述攻击控制主机对应的网关对 所述攻击控制主机的流量进行控制。本发明实施例还提供一种网络攻击防护系统，包括网络攻击检测设备、网络攻击 防护设备、攻击网络监控设备以及网关，其中所述网络攻击检测设备，用于检测网络中的攻击源，并向网络攻击防护设备发送 攻击源信息，所述攻击源信息中携带有攻击主机的地址信息；所述网络攻击防护设备，用于接收所述网络攻击检测设备发送的攻击源信息，根 据所述攻击源信息向所述攻击网络监控设备查询所述攻击主机所属攻击网络中的攻击控 制主机的地址信息，并根据所述攻击控制主机的地址信息以及预设的主机与网关之间的对 应关系获得所述攻击控制主机对应的网关的地址信息，向所述攻击控制主机对应的网关发 送控制消息，所述控制消息指示所述攻击控制主机对应的网关对所述攻击控制主机的流量 进行控制；所述攻击网络监控设备，用于接收所述网络攻击防护设备发送的查询请求，所述 查询请求携带所述攻击主机的地址信息，并向所述网络攻击防护设备返回所述攻击主机所 属的攻击网络中攻击控制主机的地址信息；所述网关，用于接收所述网络攻击防护设备发送的控制消息，根据所述控制消息 对所述攻击控制主机的流量进行控制。在本发明实施例中，通过向攻击主机对应的网关发送第一控制消息，可以使得网 关根据该消息对攻击主机进行流量控制，限制攻击主机接收或发送数据，从而从源头上避 免了攻击主机对网络中的受害主机进行攻击，防止受害主机的上游网络发生堵塞，从而节 约网络资源，提高网络的利用效率。
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使 用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于 本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其 他的附图。图1是本发明实施例一提供的网络攻击防护方法的流程图；图2是本发明实施例二提供的网络攻击防护方法的流程图；图3是本发明实施例二提供的网络攻击防护方法中获取攻击控制主机的地址信 息的方法流程图；图4是本发明实施例三提供的网络攻击防护方法的流程图；图5是本发明实施例四提供的网络攻击防护方法的流程图；图6是本发明实施例五提供的网络攻击防护设备实施例的示意图；图7是本发明实施例五提供的网络攻击防护设备中第二获取单元的示意图；图8是本发明实施例六提供的网络攻击防护设备的示意图；图9是本发明实施例六提供的网络攻击防护设备中第一获取模块的示意图；图10是本发明实施例七提供的网络攻击防护系统的示意图。
具体实施例方式下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完 整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于 本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他 实施例，都属于本发明保护的范围。本发明提供了一种网络攻击防护方法和实现该方法的设备以及系统。为了更好的 理解本发明实施例的技术方案，下面结合附图对本发明提供的实施例进行详细地描述。参见图1，图1是本发明实施例一提供的网络攻击防护方法的流程图。本发明实施 例提供的网络攻击防护方法可以包括Al、接收攻击源信息，攻击源信息中携带有攻击主机的地址信息。具体的，本发明实施例可以接收网络攻击检测设备，例如DDOS清洗设备发送的 攻击源信息，该攻击源信息中携带有攻击主机的地址信息，例如攻击主机的网际协议(IP， Internet Protocol)地址或其它可以标识网络主机的信息。A2、根据攻击主机的地址信息以及预设的主机与网关之间的对应关系获得攻击主 机对应的网关的地址信息。具体的，本发明实施例可以根据攻击主机的地址信息查询预设的主机到控制该主 机的网关之间的对应关系，获得攻击主机对应的网关的地址信息。其中，网关可以控制相应 的主机的网络流量，某一攻击主机可以被多个网关控制，即攻击主机对应的网关的地址信 息可以为多个。A3、根据攻击主机对应的网关的地址信息向攻击主机对应的网关发送第一控制消 息，第一控制消息指示攻击主机对应的网关对攻击主机的流量进行控制。具体的，本发明实施例可以根据攻击主机对应的网关的地址信息向攻击主机对应网关发送第一控制消息，第一控制消息中携带有攻击主机的地址信息，第一控制信息指示 攻击主机对应的网关对攻击主机的流量进行控制。攻击主机对应的网关在接收到第一控制 消息后，根据该消息中携带的攻击主机的地址信息对攻击主机进行流量控制，例如阻断攻 击主机的网络流量或隔离该攻击主机或限制该攻击主机的流量等。在本发明实施例中，通过向攻击主机对应的网关发送第一控制消息，可以使得网 关根据该消息对攻击主机进行流量控制，限制攻击主机接收或发送数据，可以从攻击主机 的源头上避免了攻击主机对网络中的受害主机进行攻击，防止受害主机的上游网络发生堵 塞，从而节约网络资源，提高网络的利用效率。参见图2，图2是本发明实施例二提供的网络攻击防护方法的流程图。在本发明实施例中，可以根据攻击源信息对攻击主机和攻击控制主机均进行流量 控制，具体的，在上述实施例一的基础上，还可以包括以下步骤Bi、根据攻击主机的地址信息获取攻击主机所属的攻击网络中攻击控制主机的地
址f曰息。具体的，本发明实施例可以根据攻击主机的地址信息来查询攻击网络检测系统检 测到的攻击网络的结果，从而获取攻击主机所属的攻击网络中攻击控制主机的地址信息。 其中，攻击网络可以为僵尸网络，还可以为反弹攻击网络。B2、根据攻击控制主机的地址信息以及预设对应关系，获得攻击控制主机对应的 网关的地址信息。具体的，本发明实施例可以根据攻击控制主机的地址信息查询预设的主机与网关 之间的对应关系，获得攻击控制主机对应的网关的地址信息。其中，网关可以控制相应的主 机的网络流量，某一攻击控制主机可以受多个网关控制。另外，攻击主机和攻击控制主机可 以对应相同的网关。B3、根据攻击控制主机对应的网关的地址信息向攻击控制主机对应的网关发送第 二控制消息，指示攻击控制主机对应的网关对攻击控制主机的流量进行控制。具体的，本发明实施例可以根据攻击控制主机对应的网关的地址信息向攻击控制 主机对应的网关发送第二控制消息，第二控制消息中携带有攻击控制主机的地址信息，第 二控制消息指示攻击控制主机对应的网关对攻击控制主机的流量进行控制。攻击控制主机对应的网关在接收到第二控制消息后，针对该消息中携带的攻击控 制主机的地址信息对攻击控制主机进行流量控制，例如阻断该攻击控制主机的网络流量或 隔离该攻击控制主机或限制该攻击控制主机的流量。在本发明实施例中，当接收到攻击源信息后，进一步查询攻击控制主机的地址信 息，并通过向攻击控制主机对应的网关发送第二控制消息，可以使得攻击控制主机对应的 网关根据该消息对攻击控制主机进行流量控制，限制攻击控制主机接收或发送数据，从而 避免攻击控制主机向攻击主机发送控制指令，本发明实施例不仅可以从攻击主机的源头上 避免了攻击主机对网络中的受害主机进行攻击，而且可以从该攻击主机所属的攻击网络的 控制源头上阻断攻击控制主机向攻击主机发送控制指令，从而防止攻击主机对网络中的受 害主机进行攻击，防止了受害主机的上游网络发生堵塞，节约网络资源，进一步提高了网络 的安全性。进一步的，在本发明实施例中，第一控制消息和/或第二控制消息中还可以携带控制策略信息，控制策略信息可以包括阻断持续时间、阻断协议类型或动作模式。此时，网 关接收到第一控制消息或第二控制消息后，根据控制策略来对攻击主机或攻击控制主机进 行阻断控制，例如限制阻断时间，限制阻断的协议类型，如传输控制协议或用户数据报协议 等。另外，控制策略信息中可以包括攻击主机或攻击控制主机的端口号等信息，网关根据对 攻击主机或攻击控制主机的端口号信息对端口的流量进行控制。与上述实施例中第一控制消息和第二控制消息中仅携带攻击主机或攻击控制主 机的地址信息相比，本发明实施例可以更准确的阻断攻击主机向网络发出攻击消息，或阻 断攻击控制主机向攻击主机发送控制指令，从而在保证攻击主机或攻击控制主机的正常通 信的基础上阻断网络攻击行为，提高了网络攻击防护的效率，也提高了攻击主机或攻击控 制主机上用户的业务体验。参见图3，图3是本发明实施例二提供的网络攻击防护方法中获取攻击控制主机 的地址信息的方法流程图。在本发明实施例中，获取攻击网络中攻击控制主机的地址信息的步骤可以包括Cl、向攻击网络监控设备发送查询请求，查询请求中携带有攻击主机的地址信息。具体的，本发明实施例可以向攻击网络监控设备发送查询请求，该查询请求中携 带攻击主机的地址信息。其中，攻击网络监控设备可以汇聚现有的各个攻击网络检测系统检测到的攻击网 络的检测结果，从而根据查询请求获得攻击网络中攻击控制主机或者攻击网络中其它攻击 主机的地址信息，并返回查询结果。C2、接收攻击网络监控设备返回的查询结果，查询结果中携带攻击主机所属的攻 击网络中攻击控制主机的地址信息。具体的，本发明实施例可以接收攻击网络监控设备返回的查询结果，该查询结果 中携带有攻击主机所属的攻击网络中攻击控制主机的地址信息，从而获得攻击控制主机的 地址信息，进而对这些攻击控制主机进行流量控制。在本发明实施例中，根据某一攻击主机的地址信息查询预设的主机到网关之间的 对应关系，可以得到多个网关，即某一攻击主机可以同时受到多个网关控制。此时本发明实 施例根据攻击主机对应的网关的地址信息向攻击主机对应的网关发送第一控制消息的步 骤(上述步骤A3)可以包括根据攻击主机对应的网关的地址信息向距离攻击主机的网络 路径最短的网关发送第一控制消息。本发明实施例向到攻击主机的网络路径最短的网关发送第一控制消息，可以使得 距离攻击主机最近的网关接收到第一控制消息，从而快速控制攻击主机的网络流量，因此 本发明实施例可以更好的对网络攻击进行防护，提高网络攻击的防护效率。需要说明的是，本发明实施例也可以根据攻击控制主机对应的网关的地址信息向 距离攻击控制主机的网络路径最短的网关发送第二控制消息，可以使得距离攻击控制主机 最近的网关接收到第二控制消息，从而快速控制攻击控制主机的网络流量，实现对网络攻 击更好的防护，提高网络攻击的防护效率。参见图4，图4是本发明实施例三提供的网络攻击防护方法的流程图。本发明实施 例提供的网络攻击防护方法可以包括D1、接收攻击源信息，攻击源信息中携带有第一攻击主机的地址信息和受害主机的地址信息。具体的，本发明实施例可以接收网络攻击检测设备发送的攻击源信息，该攻击源 信息中携带有第一攻击主机的地址信息和受害主机的地址信息，例如主机的网际协议地址 或其它可以标识网络主机的信息。D2、根据第一攻击主机的地址信息和受害主机的地址信息获得第一攻击主机所属 的攻击网络中第二攻击主机的地址信息。具体的，本发明实施例可以根据第一攻击主机的地址信息和受害主机的地址信息 通过向攻击网络监控设备查询，从而获得第一攻击主机所属的攻击网络中第二攻击主机的 地址信息，当然还可以通过其它的途径来获取第二攻击主机的地址信息。D3、根据第二攻击主机的地址信息和预设的主机和网关之间的对应关系，获得第 二攻击主机对应的网关的地址信息。具体的，本发明实施例可以根据第二攻击主机的地址信息查询预设的主机到控制 该主机的网关之间的对应关系，获得第二攻击主机对应的网关的地址信息。其中，网关可以 控制相应的攻击主机的网络流量，同一攻击主机也可以被多个网关控制。D4、根据第二攻击主机对应的网关的地址信息向第二攻击主机对应的网关发送第 三控制消息，第三控制消息指示第二攻击主机对应的网关对第二攻击主机的流量进行控制。具体的，本发明实施例可以向第二攻击主机对应的网关发送第三控制消息，第三 控制消息中携带有第二攻击主机的地址信息，第三控制消息指示第二攻击主机对应的网关 对第二攻击主机的流量进行控制。网关在接收到第三控制消息后，对该消息中携带的第二攻击主机的地址信息对应 的主机进行流量控制，例如阻断第二攻击主机的网络流量或隔离第二攻击主机或限制第二 攻击主机的流量等。在本发明实施例中，通过向控制第二攻击主机对应的网关发送第三控制消息，可 以使得网关根据该消息对第二攻击主机进行流量控制，限制第二攻击主机接收或发送数 据，从而避免第二攻击主机对网络中的受害主机进行攻击。和上述网络攻击防护方法第一 实施例相比，本发明实施例可以更全面的获取攻击网络中的攻击主机的地址信息，进而对 网络中的攻击主机进行流量控制，可以更有效的防护网络攻击，也可以提高网络的利用效 率。其中，本发明实施例在获取第二攻击主机的地址信息时，也可以采用和第一实施 例中获取攻击控制主机相同的方式，即向攻击网络监控设备发送携带第一攻击主机和受害 主机的地址信息的查询请求，攻击网络监控设备根据查询请求获得攻击网络中所有的攻击 主机(即第二攻击主机)的地址信息，并返回相应的查询结果，本发明实施例根据攻击网络 监控设备返回的查询结果获得第二攻击主机的地址信息，进而对第二攻击主机进行流量控 制。其中，网络攻击防护方法第三实施例中向第二攻击主机对应的网关发送第三控制 消息时，可以根据第二攻击主机对应的网关的地址信息向距离第二攻击主机的网络路径最 短的网关发送第三控制消息，从而快速控制第二攻击主机的网络流量，提高网络攻击的防 护效率。参见图5，图5是本发明实施例四提供的网络攻击防护方法的流程图。本发明实施例提供的网络攻击防护方法主要包括E1、接收攻击源信息，攻击源信息中携带有攻击主机的地址信息。具体的，本发明实施例可以接收网络攻击检测设备，例如DDOS清洗设备发送的攻 击源信息，该攻击源信息中携带有攻击主机的地址信息，例如攻击主机的网际协议地址或 其它可以标识攻击主机的信息。E2、根据攻击主机的地址信息获得攻击主机所属的攻击网络中攻击控制主机的地
址f曰息。具体的，本发明实施例可以根据攻击主机的地址信息来查询攻击网络检测系统检 测到的攻击网络的结果，从而获取攻击主机所属的攻击网络中攻击控制主机的地址信息。 其中，攻击网络可以为僵尸网络，还可以为反弹攻击网络。E3、根据攻击控制主机的地址信息以及预设的主机与网关之间的对应关系获得攻 击控制主机对应的网关的地址信息。具体的，本发明实施例可以根据攻击控制主机的地址信息查询预设的主机和网关 之间的对应关系，获得攻击控制主机对应的网关的地址信息。其中，网关可以控制相应的主 机的网络流量，同一攻击控制主机可以被多个网关控制，即攻击控制主机对应的网关的地 址信息可以为多个。E4、根据攻击控制主机对应的网关的地址信息向攻击控制主机对应的网关发送第 二控制消息，第二控制消息指示攻击控制主机对应的网关对攻击控制主机的流量进行控 制。具体的，本发明实施例可以根据攻击控制主机对应的网关的地址信息向攻击控制 主机对应的网关发送第二控制消息，第二控制消息中携带有攻击控制主机的地址信息，第 二控制信息指示攻击控制主机对应的网关对攻击控制主机的流量进行控制。攻击控制主机对应的网关在接收到第二控制消息后，对相应的攻击控制主机进行 流量控制，例如阻断攻击控制主机的网络流量或隔离该攻击控制主机或限制该攻击控制主 机的流量等。在本发明实施例中，通过向攻击控制主机对应的网关发送第二控制消息，可以使 得网关根据该消息对攻击控制主机进行流量控制，限制攻击控制主机发送数据，从而从源 头上避免了攻击控制主机对网络中攻击主机下达命令，进而有效阻止网络中的攻击主机对 受害主机进行攻击，防止受害主机的上游网络发生堵塞，从而节约网络资源，提高网络的利 用效率。在本发明实施例中，根据攻击主机的地址信息获得攻击主机所属的攻击网络中攻 击控制主机的地址信息的步骤(即步骤E2)可以和上述网络攻击防护方法第一实施例中获 取攻击控制主机的地址信息的步骤(即步骤C1-C2)相同，在此不再重复描述。以上对本发明实施例提供的网络攻击防护方法进行了详细描述，本发明实施例还 提供了和上述方法实施例对应的网络攻击防护设备实施例和相应的网络攻击防护系统。参见图6，图6是本发明实施例五提供的网络攻击防护设备的示意图。在本发明实施例中，执行网络攻击防护的网络攻击防护设备可以包括接收单元110，用于接收攻击源信息，攻击源信息中携带攻击主机的地址信息；第一获取单元120，用于根据攻击主机的地址信息以及预设的主机与网关之间的对应关系，获得攻击主机对应的网关的地址信息；处理单元130，用于根据攻击主机对应的网关的地址信息向攻击主机对应的网关 发送第一控制消息，第一控制消息指示攻击主机对应的网关对攻击主机的流量进行控制。本发明实施例提供的网络攻击防护设备实施例可以使用在前述对应的网络攻击 防护方法第一实施例中。在本发明实施例中，网络攻击防护设备通过向控制攻击主机对应 的网关发送第一控制消息，可以使得网关根据该消息对攻击主机进行流量控制，限制攻击 主机接收或发送数据，从而从攻击主机的源头上避免了攻击主机对网络中的受害主机进行 攻击，防止受害主机的上游网络发生堵塞，从而节约网络资源，提高网络的利用效率。在本发明网络攻击防护设备实施例中，还可以包括第二获取单元140，用于根据接收单元110接收到的攻击主机的地址信息获得攻 击主机所属的攻击网络中攻击控制主机的地址信息；第三获取单元150，用于根据攻击控制主机的地址信息以及预设的对应关系获得 攻击控制主机对应的网关的地址信息；处理单元130还用于根据攻击控制主机对应的网关的地址信息向攻击控制主机 对应的网关发送第二控制消息，第二控制消息指示攻击控制主机对应的网关对攻击控制主 机的流量进行控制。本发明实施例通过增加第二获取单元140和第三获取单元150，还可以进一步对 攻击主机对应的攻击控制主机的流量进行控制，从而避免攻击控制主机向攻击主机发送控 制指令指示攻击主机对网络中的受害主机进行攻击，进一步提高网络攻击的防护效率。进一步的，处理单元130可以根据攻击主机对应的网关的地址信息向距离攻击主 机的网络路径最短的网关发送第一控制消息，使得相应的网关快速对攻击主机的流量进行 控制。处理单元130还可以根据攻击控制主机对应的网关的地址信息向距离攻击控制主机 的网络路径最短的网关发送第二控制消息，使得相应的网关快速对攻击控制主机的流量进 行控制，进一步提高了网络攻击的防护效率。参见图7，图7是本发明实施例五提供的网络攻击防护设备中第二获取单元的示 意图。在上述网络攻击防护设备实施例中，第二获取单元140可以包括查询请求发送子模块141，用于向攻击网络监控设备发送查询请求，查询请求携带 攻击主机的地址信息；查询结果接收子模块142，用于接收攻击网络监控设备返回的查询结果，查询结果 中携带攻击主机所属的攻击网络中攻击控制主机的地址信息。在本发明实施例中，第二获取单元140可以通过向攻击网络监控设备发送查询请 求获得攻击控制主机的地址信息，进而对攻击控制主机进阻断控制。参见图8，图8是本发明实施例六提供的网络攻击防护设备的示意图。在本发明实施例中，网络攻击防护设备包括接收模块210，用于接收攻击源信息，攻击源信息中携带有攻击主机的地址信息；第一获取模块220，用于根据接收模块210所接收的攻击主机的地址信息获取攻 击主机所属的攻击网络中攻击控制主机的地址信息；第二获取模块230，用于根据攻击控制主机的地址信息和预设的主机和网关之间的对应关系获得攻击控制主机对应的网关的地址信息；处理模块240，用于根据攻击控制主机对应的网关的地址信息向攻击控制主机对 应的网关发送第二控制消息，第二控制消息指示攻击控制主机对应的网关对攻击控制主机 的流量进行控制。在本发明实施例中，通过向控制攻击控制主机对应的网关发送第二控制消息，可 以使得网关根据该消息对攻击控制主机进行流量控制，限制攻击控制主机发送数据，从而 从源头上避免了攻击控制主机对其控制的攻击网络中的攻击主机下达攻击命令，进而有效 阻止网络中的攻击主机对受害主机进行攻击，防止受害主机的上游网络发生堵塞，从而节 约网络资源，提高网络的利用效率。参见图9，图9是本发明实施例六提供的网络攻击防护设备中第一获取模块的示 意图。在本发明实施例中，网络攻击防护设备中的第一获取模块220可以包括查询请求发送子模块221，用于向攻击网络监控设备发送查询请求，查询请求携带 攻击主机的地址信息；查询结果接收子模块222，用于接收攻击网络监控设备返回的查询结果，查询结果 中携带有攻击主机所属的攻击网络中攻击控制主机的地址信息。在本发明实施例中，第一获取模块220可以通过向攻击网络监控设备发送查询请 求获得攻击主机的地址信息，进而对攻击主机进阻断控制。参见图10，图10是本发明实施例七提供的网络攻击防护系统的示意图。本发明实施例最后还提供一种网络攻击防护系统，网络攻击防护系统包括网络 攻击检测设备1000、网络攻击防护设备2000、攻击网络监控设备3000以及网关4000，其 中网络攻击检测设备1000，用于检测网络中的攻击源，并向网络攻击防护设备2000 发送攻击源信息，攻击源信息中携带有攻击主机的地址信息；网络攻击防护设备2000，用于接收网络攻击检测设备1000发送的攻击源信息，根 据攻击源信息向攻击网络监控设备3000查询攻击主机所属攻击网络中的攻击控制主机的 地址信息，并根据攻击控制主机的地址信息以及预设的主机与网关之间的对应关系获得攻 击控制主机对应的网关4000的地址信息，向攻击控制主机对应的网关4000发送控制消息， 控制消息指示攻击控制主机对应的网关4000对攻击控制主机的流量进行控制；攻击网络监控设备3000，用于接收网络攻击防护设备2000发送的查询请求，查询 请求携带攻击主机的地址信息，并向网络攻击防护设备2000返回攻击主机所属的攻击网 络中攻击控制主机的地址信息；网关4000，用于接收网络攻击防护设备2000发送的控制消息，根据控制消息对攻 击控制主机的流量进行控制。其中，网络攻击检测设备可以为DDOS清洗设备，还可以为其它可以检测网络攻击 的硬件设备或检测软件。本发明实施例提供的网络攻击防护系统，可以根据网络攻击检测设备上报的攻击 源信息，获取攻击网络中攻击控制主机的地址信息，进而对攻击控制主机进行流量控制，从 而从源头上避免了攻击控制主机对网络中攻击主机下达命令，进而有效阻止网络中的攻击主机对受害主机进行攻击，防止受害主机的上游网络发生堵塞，从而节约网络资源，提高网 络的利用效率。需要说明的是，上述设备各单元之间的信息交互、执行过程等内容，由于与本发明 方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以 通过计算机程序来指令相关的硬件来完成，的程序可存储于计算机可读取存储介质中，该 程序在执行时，可包括如上述各方法的实施例的流程。其中，的存储介质可为磁碟、光盘、只 读存储记忆体(R0M，Read-0nlyMemory，)或随机存储记忆体(RAM，Random Access Memory)等。以上对本发明所网络攻击防护方法以及实现该方法的网络攻击防护设备和网络 攻击防护系统进行了详细介绍，对于本领域的一般技术人员，依据本发明实施例的思想，在具体实施方式
及应用范围上均会有改变之处，本说明书内容不应理解为对本发明的限制。
权利要求
1.一种网络攻击防护方法，其特征在于，包括接收攻击源信息，所述攻击源信息中携带有攻击主机的地址信息；根据所述攻击主机的地址信息以及预设的主机与网关之间的对应关系获得所述攻击 主机对应的网关的地址信息；根据所述攻击主机对应的网关的地址信息向所述攻击主机对应的网关发送第一控制 消息，所述第一控制消息指示所述攻击主机对应的网关对所述攻击主机的流量进行控制。
2.根据权利要求1所述的网络攻击防护方法，其特征在于，还包括根据所述攻击主机的地址信息获得所述攻击主机所属的攻击网络中攻击控制主机的 地址信息；根据所述攻击控制主机的地址信息以及预设的所述对应关系获得所述攻击控制主机 对应的网关的地址信息；根据所述攻击控制主机对应的网关的地址信息向所述攻击控制主机对应的网关发送 第二控制消息，所述第二控制消息指示所述攻击控制主机对应的网关对所述攻击控制主机 的流量进行控制。
3.根据权利要求2所述的网络攻击防护方法，其特征在于所述攻击源信息中还携带有攻击协议类型或被攻击端口号，所述第一控制消息和/或 第二控制消息中携带有控制策略信息，所述控制策略信息包括与所述攻击协议类型对应的 协议类型和/或被攻击端口号。
4.根据权利要求1所述的网络攻击防护方法，其特征在于，所述根据所述攻击主机对 应的网关的地址信息向攻击主机对应的网关发送第一控制消息包括根据所述攻击主机对应的网关的地址信息向距离所述攻击主机的网络路径最短的网 关发送第一控制消息。
5.根据权利要求2所述的网络攻击防护方法，其特征在于，所述根据所述攻击控制主 机对应的网关的地址信息向攻击控制主机对应的网关发送第二控制消息包括根据所述攻击控制主机对应的网关的地址信息向距离所述攻击控制主机的网络路径 最短的网关发送第二控制消息。
6.根据权利要求2所述的网络攻击防护方法，其特征在于，所述根据所述攻击主机的 地址信息获得所述攻击主机所属的攻击网络中攻击控制主机的地址信息，包括向攻击网络监控设备发送查询请求，所述查询请求中携带有所述攻击主机的地址信息；接收所述攻击网络监控设备返回的查询结果，所述查询结果中携带有所述攻击主机所 属的攻击网络中攻击控制主机的地址信息。
7.—种网络攻击防护方法，其特征在于，包括接收攻击源信息，所述攻击源信息中携带有攻击主机的地址信息；根据所述攻击主机的地址信息获得所述攻击主机所属的攻击网络中攻击控制主机的 地址信息；根据所述攻击控制主机的地址信息以及预设的主机与网关之间的对应关系获得所述 攻击控制主机对应的网关的地址信息；根据所述攻击控制主机对应的网关的地址信息向所述攻击控制主机对应的网关发送第二控制消息，所述第二控制消息指示所述攻击控制主机对应的网关对所述攻击控制主机 的流量进行控制。
8.—种网络攻击防护设备，其特征在于，包括接收单元，用于接收攻击源信息，所述攻击源信息中携带有攻击主机的地址信息； 第一获取单元，用于根据所述攻击主机的地址信息以及预设的主机与网关之间的对应 关系，获得所述攻击主机对应的网关的地址信息；处理单元，用于根据所述攻击主机对应的网关的地址信息向所述攻击主机对应的网关 发送第一控制消息，所述第一控制消息指示所述攻击主机对应的网关对所述攻击主机的流 量进行控制。
9.根据权利要求8所述的网络攻击防护设备，其特征在于，还包括第二获取单元，用于根据第一接收单元所接收的所述攻击主机的地址信息获得所述攻 击主机所属的攻击网络中攻击控制主机的地址信息；第三获取单元，用于根据所述攻击控制主机的地址信息以及预设的所述对应关系获得 所述攻击控制主机对应的网关的地址信息；所述处理单元，还用于根据所述攻击控制主机对应的网关的地址信息向所述攻击控制 主机对应的网关发送第二控制消息，所述第二控制消息指示所述攻击控制主机对应的网关 对所述攻击控制主机的流量进行控制。
10.根据权利要求9所述的网络攻击防护设备，其特征在于，所述第二获取单元包括 查询请求发送子模块，用于向攻击网络监控设备发送查询请求，所述查询请求携带所述攻击主机的地址信息；查询结果接收子模块，用于接收所述攻击网络监控设备返回的查询结果，所述查询结 果中携带所述攻击主机所属的攻击网络中攻击控制主机的地址信息。
11.一种网络攻击防护设备，其特征在于，包括接收模块，用于接收攻击源信息，所述攻击源信息携带攻击主机的地址信息； 第一获取模块，用于根据所述接收模块所接收的所述攻击主机的地址信息获得所述攻 击主机所属的攻击网络中攻击控制主机的地址信息；第二获取模块，用于根据所述攻击控制主机的地址信息以及预设的主机与网关之间的 对应关系获得所述攻击控制主机对应的网关的地址信息；处理模块，用于根据所述攻击控制主机对应的网关的地址信息向所述攻击控制主机对 应的网关发送第二控制消息，所述第二控制消息指示所述攻击控制主机对应的网关对所述 攻击控制主机的流量进行控制。
12.根据权利要求11所述的网络攻击防护设备，其特征在于，所述第一获取模块包括 查询请求发送子模块，用于向攻击网络监控设备发送查询请求，所述查询请求携带所述攻击主机的地址信息；查询结果接收子模块，用于接收所述攻击网络监控设备返回的查询结果，所述查询结 果中携带所述攻击主机所属的攻击网络中攻击控制主机的地址信息。
13.—种网络攻击防护系统，其特征在于，包括网络攻击检测设备、网络攻击防护设备、 攻击网络监控设备以及网关，其中所述网络攻击检测设备，用于检测网络中的攻击源，并向网络攻击防护设备发送攻击源信息，所述攻击源信息中携带有攻击主机的地址信息；所述网络攻击防护设备，用于接收所述网络攻击检测设备发送的攻击源信息，根据所 述攻击源信息向所述攻击网络监控设备查询所述攻击主机所属攻击网络中的攻击控制主 机的地址信息，并根据所述攻击控制主机的地址信息以及预设的主机与网关之间的对应关 系获得所述攻击控制主机对应的网关的地址信息，向所述攻击控制主机对应的网关发送控 制消息，所述控制消息指示所述攻击控制主机对应的网关对所述攻击控制主机的流量进行 控制；所述攻击网络监控设备，用于接收所述网络攻击防护设备发送的查询请求，所述查询 请求携带所述攻击主机的地址信息，并向所述网络攻击防护设备返回所述攻击主机所属的 攻击网络中攻击控制主机的地址信息；所述网关，用于接收所述网络攻击防护设备发送的控制消息，根据所述控制消息对所 述攻击控制主机的流量进行控制。
全文摘要
本发明公开了一种网络攻击防护方法、设备和系统，该方法包括接收攻击源信息，攻击源信息中携带有攻击主机的地址信息；根据攻击主机的地址信息以及预设的主机与网关之间的对应关系获得攻击主机对应的网关的地址信息；根据攻击主机对应的网关的地址信息向攻击主机对应的网关发送第一控制消息，第一控制消息指示攻击主机对应的网关对攻击主机的流量进行控制。本发明可以使用在通信网络中，可以而从源头上避免了攻击主机对网络中的受害主机进行攻击，防止受害主机的上游网络发生堵塞，从而节约网络资源，提高网络的利用效率。
文档编号H04L29/06GK102111394SQ20091026171
公开日2011年6月29日 申请日期2009年12月28日 优先权日2009年12月28日
发明者蒋武 申请人:成都市华为赛门铁克科技有限公司