专利名称：网络攻击的防御方法及装置、网络设备的制作方法
技术领域：
本发明涉及数据通信系统，具体地，涉及一种网络攻击的防御方法及装置、网络设备。
背景技术：
目前，在大型网络中，通常在接入交换机上部署接入控制安全功能，以防御网络攻击。例如，在如图I中所示的网络中，接入交换机SWl通过Portl-Port4连接个人电脑(PC， Personal Computer) PC1-PC4，接入交换机 SW2 通过 Portl_Port3 连接 PC5-PC7，Sffl 分别通过Port5、Port6连接至汇聚交换机SW3的Port I、SW4的Portl, Sff 2通过Port4连接至汇聚交换机SW5的Portl，SW3与SW4之间均通过Port2连接，SW3通过port3连接至核心交换机SW8的port2, SW4通过port3连接至SW8的portl, SW5通过port2连接至核心交换机 SW6的portl，SW6与核心交换机SW7分别通过port2连接，SW6与SW8分别通过port3连接，SW8通过port4与SW7的portl连接，在接入交换机SWl、SW2上部署接入控制安全功能， 例如802. lx、WEB认证等，能够有效地控制接入PC的身份合法性，接入交换机只转发来自合法的互联网协议(IP, Internet Protocol)和媒体接入控制(MAC,Media Access Control) 地址的PC发出的报文。目前虽然通过控制用户的身份能够防御非法用户发起的网络攻击，但是，上述方法无法防御具备合法身份的用户发起的攻击，即具备合法的IP+MAC地址的PC，也发起非法的网络攻击，这种可能是用户有意的攻击、也可能是因为感染病毒后由病毒自动发起的攻击。例如图I所示，PCl使用合法的IP+MAC正在对核心交换机SW7攻击，攻击报文由PCl发至SWl的portl, SWl将攻击报文经由port5发至SW3的portl, SW3将攻击报文经由port3 发至SW8的port2，SW8将攻击报文经由port4发至SW7的portl。目前，现有技术中有两种方法来应对由合法用户发起的网络攻击，具体如下所述。第一种方法是在交换机SW7上配置基础网络保护策略(NFPP，Network Foundation Protection Policy)来防御合法用户发起的网络攻击,该策略能够对攻击报文进行限速、 对攻击用户进行隔离。但是这种方法只是对攻击报文进行限速，攻击报文依然在网络中存在，极大的浪费了网络的带宽，例如，在图I中，SW7所处的位置是核心交换机，下联的用户比较多，若存在大量攻击的话，需要浪费很多的硬件资源去隔离这些攻击用户，若被攻击者为路由器，每个攻击报文都会送给SW7的CPU，需要使用SW7软件资源对攻击源进行判断是否过滤，极大地占用了软件资源，降低了 CPU处理正常业务的性能，并且即使隔离了该报文对SW7造成的攻击，该攻击报文流依然在网络中存在，极大地浪费了网络的带宽。第二种方法是被攻击的设备通过发送告警信息给网络管理员，由网络管理员去查找攻击者具体在哪台交换机上，然后在该交换机上通过手动绑定一条过滤表项、来过滤掉该攻击源，或者通过对称多处理器结构(SMP, Symmetric Multi-Processor)服务器来对交换机下发阻断策略，过滤掉该攻击报文。但是，这种方法需要人工来查找定位攻击源，处理过程费时费力效率低下。
综上所述，可见在现有技术中，对于合法用户发起的攻击、网络中存在大量转发的攻击报文、浪费网络带宽资源、占用网络设备系统处理资源的问题。
发明内容
有鉴于此，本发明实施例提供了一种网络攻击的防御方法，用以解决现有技术中对于合法用户发起的攻击、网络中存在大量转发的攻击报文、浪费网络带宽资源、占用网络设备系统处理资源的问题。相应地，本发明实施例还提供了一种网络攻击的防御装置及网络设备。本发明实施例的技术方案如下一种网络攻击的防御方法，包括网络设备监测受到网络攻击后，获取攻击报文的源地址信息和类型信息；判断接收到该攻击报文的端口是否为预设的攻击隔离点；在判断该端口是攻击隔离点的情况下，将获取的攻击报文的源地址信息和类型信息绑定在该端口上；在判断该端口不是攻击隔离点的情况下，构建包括获取的攻击报文的源地址信息和类型信息的隔离报文，将构建的隔离报文发送给与该端口相连接的网络设备。一种网络攻击的防御装置，包括获取模块，用于在网络设备监测受到攻击后，获取攻击报文的源地址信息和类型信息；第一判断模块，用于判断接收到该攻击报文的端口是否预设为攻击隔离点；绑定模块，用于在所述第一判断模块判断该端口是攻击隔离点的情况下，将所述获取模块获取的攻击报文的源地址信息和类型信息绑定在该端口上；构建模块，用于在所述第一判断模块判断该端口不是攻击隔离点的情况下，构建包括所述获取模块获取的攻击报文的源地址信息和类型信息的隔离报文；发送模块，用于将所述构建模块构建的隔离报文发送给与该端口相连接的网络设备。一种网络攻击的防御方法，包括网络设备接收到隔离报文后，根据该隔离报文中的攻击报文源地址信息，判断网络设备接收到该隔离报文中所指示的攻击报文的端口是否为预设的攻击隔离点；在判断该端口是攻击隔离点的情况下，将该隔离报文中的攻击报文源地址信息和类型信息绑定在该端口上；在判断该端口不是攻击隔离点的情况下，将接收到的隔离报文发送给与该端口相连接的网络设备。一种网络攻击的防御装置，包括接收模块，用于接收隔离报文；第一判断模块， 用于根据所述接收模块接收到的隔离报文中的攻击报文源地址信息、判断网络设备接收到该隔离报文所指示的攻击报文的端口是否为预设的攻击隔离点；绑定模块，用于在所述第一判断模块判断该端口是攻击隔离点的情况下，将所述接收模块接收到的隔离报文中的攻击报文源地址信息和类型信息绑定在该端口上；发送模块，用于在所述第一判断模块判断该端口不是攻击隔离点的情况下，将所述接收模块接收到的隔离报文发送给与接收到所述攻击报文的端口相连接的网络设备。一种网络设备，包括如上所述的第一种网络攻击的防御装置和/或第二种网络攻击的防御装置。在本发明实施例中，受到网络攻击的网络设备判断接收到攻击报文的端口为预设的攻击隔离点时，将攻击报文的源地址信息和类型信息绑定在该端口上，判断该端口不是预设的攻击隔离点时，构建包括获取攻击报文的源地址信息和类型信息的隔离报文，将构建的隔离报文发送给与该端口相连接的网络设备；接收到隔离报文的网络设备，判断接收到攻击报文的端口为预设的攻击隔离点时，将攻击报文的源地址信息和类型信息绑定在该端口上，判断该端口不是预设的攻击隔离点时，将接收到的隔离报文发送给与接收到攻击报文的端口相连接的网络设备，能够通过预设为攻击隔离点的端口过滤掉攻击报文，能够减少网络中多余转发的攻击报文，释放网络带宽资源、提高网络带宽的利用率，减少占用的网络设备系统处理资源、提高网络设备系统处理资源的利用率，从而能够解决现有技术中、 对于合法用户发起的攻击、网络中存在大量转发的攻击报文、浪费网络带宽资源、占用网络设备系统处理资源的问题。本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。
图I为现有技术中网络拓扑结构示意图2为根据本发明实施例的网络攻击的防御方法的工作流程图3为图2所示方法的优选实施处理方式的工作流程图4为根据本发明实施例的网络攻击的防御装装置的结构框图5为图4所示装置的优选实施方式的结构框图6为根据发明实施例的网络攻击的防御方法的另一种工作流程图7为图6所示方法的优选实施处理方式的工作流程图8为根据本发明实施例的网络攻击的防御装置的结构框图9为图8所示装置的优选实施方式的结构框图10为根据本发明实施例具体应用的网络攻击的防御系统的结构示意图。
具体实施方式
以下结合附图对本发明的实施例进行说明，应当理解，此处所描述的实施例仅用于说明和解释本发明，并不用于限定本发明。
针对现有技术中、对于合法用户发起的攻击、网络中存在大量转发的攻击报文、浪
费网络带宽资源、占用系统处理资源的问题，本发明实施例提出了一种网络攻击的防御方案，以解决该问题。本发明实施例提供的网络攻击的防御方案中，首先提供了一种对攻击报文的隔离机制。该隔离机制包括预先将选定的网络设备的端口设置为攻击隔离点；网络设备受到网络攻击后，判断接收到攻击报文的端口为预先设置的攻击隔离点时，将攻击报文的源地址信息和类型信息绑定在该端口上，以使该端口对后续接收到的攻击报文进行过滤隔离，判断接收到攻击报文的端口不是预设的攻击隔离点时，构建包括攻击报文的源地址信息和类型信息的隔离报文，将该隔离报文发送给与该端口相连接的网络设备；接收到隔离报文的网络设备，判断接收到隔离报文中所指示的攻击报文的端口是预设的攻击隔离点时，将隔离报文中携带的攻击报文的源地址信息和类型信息绑定在接收到攻击报文的端口上，以使该端口对后续接收到的攻击报文进行过滤隔离，判断该端口不是预设的攻击隔离点时，将接收到的隔离报文发送给与该端口相连接的网络设备。通过上述方案，能够通过预设的攻击隔离点(即网络设备上接收到攻击报文的端口)将攻击报文隔离在该攻击隔离点之外，减少网络中多余转发的攻击报文、提高网络带宽利用率，减少攻击报文占用的网络系统资源、提高网络系统处理资源的利用率。本发明实施例提供的网络攻击的防御方案中，还提供了一种隔离确认机制和一种隔离无效后的补救机制。下面对本发明实施例进行详细说明。图2示出了根据本发明实施例的网络攻击的防御方法的工作流程图，如图I所示， 该方法包括如下处理过程。步骤21、网络设备监测受到网络攻击后，获取攻击报文的源地址信息和类型信步骤22、判断接收到该攻击报文的端口是否为预设的攻击隔离点；步骤23、在判断该端口是攻击隔离点的情况下，将获取的攻击报文的源地址信息和类型信息绑定在该端口上；步骤24、在判断该端口不是攻击隔离点的情况下，构建包括获取的攻击报文的源地址信息和类型信息的隔离报文，将构建的隔离报文发送给与该端口相连接的网络设备。网络设备受到网络攻击后，在判断接收到攻击报文的端口是预设的攻击隔离点的情况下，将攻击报文的源地址信息和类型信息绑定在该端口上，以使该端口对后续接收到的攻击报文进行过滤隔离，能够对合法用户发送的网络攻击报文进行隔离，并将攻击报文隔离在网络设备上预设为攻击隔离点的端口之外，减少网络上多余转发的攻击报文、减少攻击报文占用的网络带宽、提高网络带宽的利用率，减少网络设备对攻击报文的处理、释放网络设备的系统处理资源、提高网络设备的系统处理效率，从而能够解决现有技术中存在的对于合法用户发起的攻击、网络中存在大量转发的攻击报文、浪费网络带宽资源、占用系统处理资源的问题。图3示出了图2所示方法的优选实施处理方式，如图3所示，该优选处理方式包括如下过程。步骤31、预先对选定的网络设备的端口设置攻击隔离点标识，具体地，可以根据网络实际运行的需要、将网络设备上连接下层网络设备的一个或多个物理端口设置为攻击隔离点，或者根据需要选定网络上特定位置上的网络设备的物理端口作为攻击隔离点，例如， 根据实际需要，可以选择汇聚层网络设备的端口作为攻击隔离点，或者选择接入层网络设备的端口作为攻击隔离点；步骤32、监测网络设备受到网络攻击后，获取攻击报文的源地址信息和类型信步骤33、判断接收到该攻击报文的端口是否预设为攻击隔离点，具体包括判断接收到攻击报文的端口已经设置有攻击隔离点标识的情况下，确定该端口是攻击隔离点， 处理进行到步骤34 ;判断接收到攻击报文的端口没有设置攻击隔离点标识的情况下，确定该端口不是攻击隔离点，处理进行到步骤35 ；步骤34、将获取的攻击报文的源地址信息和类型信息绑定在接收到攻击报文的端口上，以使该端口对后续接收到的攻击报文进行过滤；一种优选的方式，将源地址信息相同、类型不同的多个攻击报文合并为一条记录绑定在该端口上，该记录用于指示对来自该相同源地址的报文均进行过滤；一种优选的方式，在接收到携带有隔离失败信息的隔离报文后，将隔离报文中的攻击报文源地址信息和类型信息绑定在接收到携带有隔离失败信息的隔离报文的端口上，以使该端口对后续接收到的攻击报文进行过滤；处理结束。步骤35、构建包括获取的攻击报文的源地址信息和类型信息的隔离报文；一种优选的方式，在隔离报文中设置对攻击报文进行过滤隔离的时长信息；步骤36、根据攻击报文的源地址信息中包括的源互联网协议IP地址信息，判断网络设备自身与源攻击设备是否处于直连网段，在判断处于直连网段的情况下，处理进行到步骤37 ;在判断处于非直连网段的情况下，处理进行到步骤38 ；步骤37、将构建的隔离报文组播发送给与接收到攻击报文的端口相连接的网络设备，处理进行到步骤39 ；步骤38、将构建隔离报文单播发送给与接收到攻击报文的端口相连接的、转发该攻击报文的网络设备；一种优选的方式，在攻击报文的源地址信息中还包括攻击报文的源媒体接入控制MAC地址信息的情况下，将构建的隔离报文中的攻击报文源MAC地址信息设置为零，在现有技术中，在网络设备接收到的转发的报文中，MAC地址并不是发送该报文的源设备的MAC地址，而是上一次转发该报文的网络设备的MAC地址，因此，攻击报文中的MAC 地址并不是发起网络攻击的设备的MAC地址，而且上一次转发攻击报文的网络设备的MAC 地址，根据攻击报文中的MAC地址去寻址将会导致定位到错误的网络设备上，所以，此处将构建的隔离报文中的攻击报文源MAC地址信息设置为零，并将设置后的隔离报文单播发送给与接收到攻击报文的端口相连接的、转发该攻击报文网络设备；步骤39、在预定时间内未接收到隔离成功消息的情况下，在构建的隔离报文中添加找不到攻击隔离点的信息，将添加后的隔离报文组播发送给与接收到攻击报文的端口相连接的网络设备。通过图3所示的处理过程，网络设备受到网络攻击后，在接收到攻击报文的端口是预设的攻击隔离点的情况下，能够将攻击报文的源地址信息和类型信息绑定在作为攻击隔离点的端口上、以使该攻击隔离点对后续接收到的攻击报文进行过滤隔离，能够减少网络上转发的攻击报文，当具有攻击隔离点的网络设备位于较低的网络架构层次上时，就能够过滤隔离更多的攻击报文、更显著地减少网络上多余转发的攻击报文，相应地能够减少网络设备对攻击报文的处理，减少攻击报文占用的网络设备的系统处理资源，提高网络设备的系统处理效率。在图3所示的处理过程中，判断攻击源设备与网络设备自身是否处于直连网段、 以对隔离报文进行组播或单播发送，能够对网络设备和攻击源设备之间的网络关系进行区别、以节约网络设备及网络系统的处理资源。在图3所示的处理过程中，还提供了一种确认机制，该机制针对具备攻击隔离点的网络设备为非目的攻击设备、攻击隔尚点对攻击报文进行隔尚成功与否的情况进行处理，该机制包括两种策略，第一种策略为对过滤成功后的确认处理，第二种策略为对过滤失败后的补救处理。根据第一种策略，网络设备对攻击报文进行过滤隔离成功后，向攻击报文的目的设备发送隔离成功报文、以确认攻击报文已被成功隔离。根据第二种策略，在受到网络攻击的网络设备超时未接收到隔离成功报文的情况下，受到攻击的网络设备在隔离报文中添加找不到攻击隔离点的信息，并将该隔离报文组播发送给与接收到攻击报文的端口相连接的网络设备，以使接收到该隔离报文的网络设备均对该攻击报文进行隔离，该策略能够使位于网络架构中有效工作的、层次较低的网络设备对攻击报文进行过滤，防止具备攻击隔离点的网络设备出现故障、或攻击隔离点无效，从而使整个网络无法对攻击报文进行过滤的问题，提高对攻击报文的过滤隔离的有效率。在图3所示的处理过程中，还提供了一种隔离无效后的补救机制。根据该机制， 当网络设备接收到携带有隔离失败信息的隔离报文时，说明具备攻击隔离点的网络设备无法有效地将攻击报文过滤掉，接收到携带有隔离失败信息的隔离报文后，网络设备将接收到的该隔离报文中的攻击报文的源地址信息和类型信息、绑定在接收到该隔离报文的端口上，以使该端口对后续接收到的攻击报文进行过滤。该机制在具备攻击隔离点的网络设备无法对攻击报文进行有效过滤时，能够使该网络设备的上层网络设备对攻击报文进行过滤，防止攻击隔离点无法有效过滤攻击报文的问题，提高对攻击报文的过滤隔离的有效率。为实现上述功能，本发明实施例这里的网络攻击的防御方法可以通过硬件实现， 也可以通过下述软件程序实现，即网络设备中包括以下的网络攻击的防御装置。图4示出了根据本发明实施例的网络攻击的防御装装置的结构框图，如图4所示， 该装置包括获取模块41、第一判断模块42、绑定模块43、构建模块44、发送模块45 ;其中，获取模块41，用于在网络设备监测受到攻击后，获取攻击报文的源地址信息和类型信息；第一判断模块42，用于判断接收到该攻击报文的端口是否预设为攻击隔离点；绑定模块43，连接至获取模块41、第一判断模块42，用于在第一判断模块42判断该端口是攻击隔离点的情况下，将获取模块41获取的攻击报文的源地址信息和类型信息绑定在该端口上，以使该端口对后续接收到的攻击报文进行过滤；构建模块44，连接至获取模块41、第一判断模块42，用于在第一判断模块42判断该端口不是攻击隔离点的情况下，构建包括获取模块41获取的攻击报文的源地址信息和类型信息的隔离报文；发送模块45,连接至构建模块44,用于将构建模块44构建的隔离报文发送给与该端口相连接的网络设备。通过图4所示的装置，在网络设备受到网络攻击后，在接收到攻击报文的端口是预设的攻击隔离点的情况下，能够将攻击报文的源地址信息和类型信息绑定在作为攻击隔离点的端口上、以使该攻击隔离点对后续接收到的攻击报文进行过滤隔离，能够减少网络上转发的攻击报文，当具有攻击隔离点的网络设备位于较低的网络架构层次上时，就能够更早地过滤隔离攻击报文、显著地减少网络上多余转发的攻击报文,相应地能够减少网络设备对攻击报文的处理，减少攻击报文占用的网络设备的系统处理资源，提高网络设备的系统处理效率。图4所示装置的工作原理如图2所示,这里不再赘述。一种优选的方式，图5示出了图4所示装置的优选实施结构，如图5所示，该结构包括预设模块46、获取模块41、第一判断模块42、绑定模块43、构建模块44、发送模块45、 第二判断模块47、设置模块48、接收模块49、定时器50;其中，上述模块如图4中的已述结构和功能不再赘述；
预设模块46，用于对预先选定的网络设备的端口设置攻击隔离点标识；第一判断模块42，具体用于判断接收到攻击报文的端口已经设置有所述攻击隔离点标识的情况下，确定该端口是攻击隔离点；判断接收到攻击报文的端口没有设置所述攻击隔离点标识的情况下，确定该端口不是攻击隔离点；绑定模块43，还用于在第一判断模块42判断接收到攻击报文的端口是攻击隔离点的情况下，将源地址信息相同、类型不同的多个攻击报文合并为一条记录、将攻击报文的源地址信息绑定在该端口上；构建模块44，还用于在隔离报文中设置对攻击报文进行过滤隔离的时长信息；接收模块49，用于接收隔离成功报文；定时器50，用于对接收模块49接收到隔离成功报文的预定时长进行定时；第二判断模块47，连接至获取模块41，用于根据获取模块41获取的攻击报文的源地址信息中的源互联网协议IP地址信息，判断网络设备自身与源攻击设备是否处于直连网段；设置模块48，连接至构建模块44、第二判断模块47、接收模块49、定时器50，用于在第二判断模块判断处于非直连网段的情况下，将构建模块44构建的隔离报文中的源地址信息的攻击报文源媒体接入控制MAC地址信息设置为零；还用于在定时器50超时、接收模块49未接收到隔离成功报文的情况下，在构建模块44构建的隔离报文中添加找不到攻击隔尚点的信息；发送模块45，具体用于在第二判断模块47判断处于直连网段的情况下，将构建模块44构建的隔离报文组播发送给与接收到攻击报文的端口相连接的网络设备；在判断处于非直连网段的情况下，将构建模块44构建的隔离报文单播发送给与接收到攻击报文的端口相连接的、转发该攻击报文的网络设备，或者，将设置模块48将攻击报文源MAC地址信息设置为零后的隔离报文单播发送给与接收到攻击报文的端口相连接的、转发该攻击报文的网络设备；还用于将设置模块48添加了找不到攻击隔离点的信息后的隔离报文、组播发送给与接收到攻击报文的端口相连接的网络设备。图5所示装置的工作原理如图3所示,这里不再赘述。通过图5所示的装置，能够减少网络中多余转发的攻击报文、提高网络带宽的利用率，提高网络设备的处理效率；还能够实现对攻击隔离点过滤攻击报文成功与否的确认机制，提高对攻击报文隔离的有效率。图6示出了根据发明实施例的网络攻击的防御方法的另一种工作流程图，如图6 所示，该流程包括如下处理过程。步骤61、网络设备接收到隔离报文后，根据该隔离报文中的攻击报文源地址信息， 判断网络设备接收到该隔离报文中所指示的攻击报文的端口是否为预设的攻击隔离点；步骤62、在判断该端口是攻击隔离点的情况下，将该隔离报文中的攻击报文源地址信息和类型信息绑定在该端口上步骤63、在判断该端口不是攻击隔离点的情况下，将接收到的隔离报文发送给与该端口相连接的网络设备。根据如图6所示的处理过程，接收到隔离报文的网络设备，在判断网络设备自身接收到隔离报文中指示的攻击报文的端口为攻击隔离点时，将隔离报文中的攻击报文的源地址信息和类型信息绑定在该端口上，以使该端口对后续接收到的攻击报文进行过滤隔离，能够对合法用户发送的网络攻击报文隔离，将攻击报文隔离在网络设备上预设为攻击隔离点的端口之外，减少网络上多余转发的攻击报文、减少攻击报文占用的网络带宽、提高网络带宽的利用率，减少网络设备对攻击报文的处理、释放网络设备的系统处理资源、提高网络设备的系统处理效率，从而能够解决现有技术中存在的对于合法用户发起的攻击、网络中存在大量转发的攻击报文、浪费网络带宽资源、占用系统处理资源的问题。图7示出了图6所示方法的优选实施方式，如图7所示，该优选实施方式包括如下处理过程步骤71、预先对选定的网络设备上连接下层网络设备的端口设置攻击隔离点标步骤72、网络设备接收到隔离报文后，根据隔离报文中的攻击报文的源IP地址信息，判断网络设备自身接收到该隔离报文中所指示的攻击报文的端口是否为预设的攻击隔离点，具体包括判断网络设备自身接收到该隔离报文所指示的攻击报文的端口已经设置有所述攻击隔离点标识的情况下，确定该端口是攻击隔离点，处理进行到步骤73 ;判断网络设备自身接收到该隔离报文所指示的攻击报文的端口没有设置所述攻击隔离点标识的情况下，确定该端口不是攻击隔离点，处理进行到步骤75 ；步骤73、将该隔离报文中的攻击报文源地址信息和类型信息绑定在该端口上，以使该端口对后续接收到的攻击报文进行过滤；一种优选的方式，将源地址信息相同、类型不同的多个攻击报文合并为一条记录，将攻击报文的源地址信息绑定在该端口上；一种优选的方式，在接收到携带有隔离失败信息的隔离报文后，将隔离报文中的攻击报文源地址信息和类型信息绑定在接收到携带有隔离失败信息的隔离报文的端口上， 以使该端口对后续接收到的攻击报文进行过滤；一种优选的方式，在接收到携带有找不到攻击隔离点信息的隔离报文后，将隔离报文中的攻击报文源地址信息和类型信息绑定在接收到攻击报文的端口上，以使该端口对后续接收到的隔离报文中指示的攻击报文进行过滤，并将携带有找不到攻击隔离点信息的隔离报文广播发送给与接收到该隔离报文中指示的攻击报文的端口相连接的网络设备；步骤74、监测到端口对所述攻击报文过滤失败后，在所述隔离报文中携带隔离失败信息，将携带有隔离失败信息的隔离报文发送给与接收到隔离报文的端口相连接的网络设备；监测到端口对攻击报文过滤成功后，向隔离报文中的攻击报文的目的地址信息所指的网络设备发送隔离成功消息，处理结束。步骤75、将接收到的隔离报文发送给与接收到攻击报文的端口相连接的网络设备，具体包括根据隔离报文中的攻击报文源IP地址信息、判断网络设备自身与该攻击报文源IP地址信息所指的网络设备是否处于直连网段，在判断处于直连网段的情况下，处理进行到步骤76 ;在判断处于非直连网段的情况下，处理进行到步骤77 ；步骤76、将该隔离报文组播发送给与接收到所述攻击报文的端口相连接的网络设备；一种优选方式，由于网络设备与攻击报文源IP地址信息所指的网络设备处于直连网段，就可以根据隔离报文中的攻击报文的源IP地址信息、在网络设备自身上查找到与该源 IP地址信息相对应的攻击报文的源MAC地址信息，即发送攻击报文的源设备的MAC地址信息，将该源MAC地址信息添加到所述隔离报文中，将携带有所述攻击报文源MAC地址信息的隔离报文组播发送给与接收到所述攻击报文的端口相连接的网络设备，这样使接收到该携带有攻击报文源MAC地址信息的隔离报文的网络设备、能够更准确地对接收到攻击报文的端口以及发送攻击报文的源设备进行定位，处理结束。步骤77、将该隔离报文单播发送给与接收到所述攻击报文的端口相连接的、转发所述攻击报文的网络设备，处理结束。根据如图7所示的处理流程，网络设备在接收到隔离报文后，判断网络设备自身接收到攻击报文的端口为预设的网络节点的情况下，将隔离报文中的攻击报文的源地址信息和类型信息绑定在作为攻击隔离点的端口上、以使该攻击隔离点对后续接收到的攻击报文进行过滤隔离，能够减少网络上转发的攻击报文，当具有攻击隔离点的网络设备位于较低的网络架构层次上时，就能够过滤隔离更多的攻击报文、减少更多网络上多余转发的攻击报文，相应地能够减少网络设备对攻击报文的处理，减少攻击报文占用的网络设备的系统处理资源，提高网络设备的系统处理效率。在图7所示的处理过程中，判断攻击源设备与网络设备自身是否处于直连网段、 以对隔离报文进行组播或单播发送，能够对网络设备和攻击源设备之间的网络关系进行区别、以节约网络设备及网络系统的处理资源。在图7所示的处理过程中，还应用了如上所述的确认机制和隔离无效后的补救机制，这里不再赘述。为实现上述功能，本发明实施例这里的网络攻击的防御方法可以通过硬件实现， 也可以通过下述软件程序实现，即网络设备中包括以下的网络攻击的防御装置。图8示出了本发明实施例提供的网络攻击的防御装置的结构框图，如图8所示，该装置包括接收模块81、第一判断模块82、绑定模块83、发送模块84 ;其中，接收模块81，用于接收隔离报文；第一判断模块82，连接至接收模块81，用于根据接收模块81接收到的隔离报文中的攻击报文源地址信息、判断网络设备接收到该隔离报文所指示的攻击报文的端口是否为预设的攻击隔尚点；绑定模块83，连接至接收模块81、第一判断模块82，用于在第一判断模块82判断该端口是攻击隔离点的情况下，将接收模块81接收到的隔离报文中的攻击报文源地址信息和类型信息绑定在该端口上，以使该端口对后续接收到的攻击报文进行过滤；发送模块84，连接至接收模块81、第一判断模块82，用于在第一判断模块82判断该端口不是攻击隔离点的情况下，将接收模块81接收到的隔离报文发送给与接收到所述攻击报文的端口相连接的网络设备。图8所示装置的工作原理如图7所示,这里不再赘述。根据如图8所示的装置，接收到隔离报文的网络设备，在判断网络设备自身接收到隔离报文中指示的攻击报文的端口为攻击隔离点时，将隔离报文中的攻击报文的源地址信息和类型信息绑定在该端口上，以使该端口对后续接收到的攻击报文进行过滤隔离，能够对合法用户发送的网络攻击报文隔离，将攻击报文隔离在网络设备上预设为攻击隔离点的端口之外，减少网络上多余转发的攻击报文、减少攻击报文占用的网络带宽、提高网络带宽的利用率，减少网络设备对攻击报文的处理、释放网络设备的系统处理资源、提高网络设备的系统处理效率，从而能够解决现有技术中存在的对于合法用户发起的攻击、网络中存在大量转发的攻击报文、浪费网络带宽资源、占用系统处理资源的问题。图9示出了图8所示装置的优选实施结构,如图9所示,该结构包括接收模块81、 第一判断模块82、绑定模块83、发送模块84、第二判断模块85、查找模块86、设置模块87、 监测模块88、预设模块89 ;其中，上述模块在图8中的已述结构和功能不再赘述；预设模块89，用于预先对选定的网络设备上连接下层网络设备的端口设置攻击隔离点标识；第一判断模块82，具体用于判断网络设备接收到该隔离报文所指示的攻击报文的端口已经设置有所述攻击隔离点标识的情况下，确定该端口是攻击隔离点；判断网络设备自身接收到该隔离报文所指示的攻击报文的端口没有设置所述攻击隔离点标识的情况下， 确定该端口不是攻击隔离点；第二判断模块85，连接至接收模块81，用于根据接收模块81接收到的隔离报文中的攻击报文源互联网协议IP地址信息、判断网络设备自身与该攻击报文源IP地址信息所指的网络设备是否处于直连网段；查找模块86，连接至接收模块81，用于根据接收模块81接收到的隔离报文中的攻击报文的源IP地址信息、查找到与该源IP地址信息相对应的攻击报文的源MAC地址信息；监测模块88，用于对端口过滤攻击报文的情况进行监测；设置模块87，连接至接收模块81、第一判断模块82、查找模块86、监测模块88，用于将查找模块86查找到的攻击报文的源MAC地址信息添加到接收模块81接收到的隔离报文中；还用于在第一判断模块82判断接收到攻击报文的端口是攻击隔离点的情况下，监测模块88监测该端口对攻击报文过滤失败后，在接收模块81接收到的隔离报文中添加隔离失败息;接收模块81，还用于接收携带有隔离失败信息的隔离报文；用于接收携带有找不到攻击隔尚点信息的隔尚报文；绑定模块83，还连接至接收模块81，还用于在接收模块81接收到携带有隔离失败信息的隔离报文后，将该隔离报文中的攻击报文源地址信息和类型信息、绑定在接收到携带有隔离失败信息的隔离报文的端口上，以使该端口对后续接收到的攻击报文进行过滤; 还用于在第一判断模块82判断接收到攻击报文的端口是攻击隔离点的情况下，将源地址信息相同、类型不同的多个攻击报文合并为一条记录、将攻击报文的源地址信息绑定在该端口上；还用于将接收模块81接收到携带有找不到攻击隔离点信息的隔离报文的情况下， 将该隔离报文中的攻击报文源地址信息和类型信息绑定在接收到该隔离报文中所指示的攻击报文的端口上，以使该端口对后续接收到的攻击报文进行过滤；发送模块84，还连接至接收模块81、第二判断模块85、监测模块88，具体用于在第二判断模块85判断处于直连网段的情况下，将接收模块81接收到的隔离报文组播发送给与接收到攻击报文的端口相连接的网络设备，一种优选的方式，具体用于将设置模块87添加了攻击报文源MAC地址信息后的隔离报文组播发送给与接收到攻击报文的端口相连接的网络设备；在第二判断模块85判断处于非直连网段的情况下，将接收模块81接收到的隔离报文单播发送给与接收到攻击报文的端口相连接的、转发攻击报文的网络设备；在监测模块88监测端口对攻击报文过滤成功后，向攻击报文的目的地址信息所指的网络设备发送隔离成功消息；将接收模块81接收到的携带有找不到攻击隔离点信息的隔离报文广播发送给与接收到该隔离报文中指示的攻击报文的端口相连接的网络设备。图9所示装置的工作原理如图7所示,这里不再赘述。如图9所示的装置，能够减少网络中多余转发的攻击报文、提高网络带宽的利用率，提高网络设备的处理效率；还能够实现对攻击隔离点过滤攻击报文成功与否的确认机制，提高对攻击报文隔离的有效率。本发明实施例还提供了一种网络设备，该网络设备包括如图4和图8所示的网络攻击的防御装置，该网络设备的工作原理分别如图2和图6所示，这里不再赘述。一种优选的方式，包括如图4和图8所示装置的网络设备的优选实施结构，可包括如图5和图9所示的结构，其工作原理分别如图3和图7所示，这里不再赘述。本发明实施例还提供了一种网络攻击的防御系统，该系统具有多个包括如图4和 /或图8所示装置的网络设备，该系统的优选实施结构为具有多个包括如图5和/或图9所述装置的网络设备，该系统的工作原理如上所述，这里不再赘述。下面对本发明实施例具体应用的情况进行说明。图10示出了本发明实施例具体应用的网络攻击的防御系统的结构示意图，如图 10所示，接入交换机SWl通过Portl-Port4连接PC1-PC4，接入交换机SW2通过Portl-Port3 连接PC5-PC7，Sffl分别通过Port5、Port6连接至汇聚交换机SW3的Portl、SW4的Portl， SW2通过Port4连接至汇聚交换机SW5的Portl，SW3与SW4之间均通过Port2连接，SW3 通过port3连接至核心交换机SW8的port2, SW4通过port3连接至SW8的portl, Sff5 通过port2连接至核心交换机SW6的portl, SW6与核心交换机SW7分别通过port2连接，SW6与SW8分别通过port3连接，SW8通过port4与SW7的portl连接，在接入交换机SWl、SW2上部署接入控制安全功能，例如802. lx、WEB认证等，能够有效地控制接入PC 的身份合法性，接入交换机只转发来自合法的IP地址和MAC地址的PC发出的报文。在图10所示的系统中，PCl的IP地址为192. 168. 3. 2/24、MAC地址为00d0. f800. 0001， Sffl 的管理 IP 地址为 192. 168. I. 1/24，SW3 的 portl 的 IP 地址为 192. 168. 3. 1/24、 port3 的 IP 地址为 192. 168. 8. 2/24，SW8 的 port2 的 IP 地址为 192. 168. 8. 1/24、portl 的 IP 地址为 192. 168. 7. 2/24，SW7 的 portl 的 IP 地址为 192. 168. 7. 1/24，PC5 的 IP 地址为 192. 168. 5. 2/24，SW2 的管理 IP 地址为 192. 168. 2. 1/24，SW5 的 portl 的 IP 地址为 192. 168. 5. 1/24。场景一在如图10所示的系统中，预先将SWl的portl至port4均设置为攻击隔离点，对这四个端口分别设置攻击隔离点标识。PCl通过认证后以合法的身份通过端口 1234对SW7的端口 7进行用户数据包协议(UDP, User Datagram Protocol)的环回攻击，SW7上检测到攻击信息,检测到攻击的方法可以为NFPP、或者其他应用层协议。SW7检测到攻击后，根据以下处理步骤对攻击报文进行防御。步骤一、SW7监测到受到网络攻击、即端口 I接收到攻击协议数据单元(rou， Protocol Data Unit)后，获取攻击I3DU的相关信息、主要包括攻击报文的源地址信息和类型信息，如表I所示，攻击PDU的相关信息包括攻击报文的源MAC地址、攻击报文类型、 攻击报文源IP、目的IP，攻击报文协议号、源端口、目的端口号，其中，只有传输控制协议(TCP, Transmission Control Protocol)或者UDP报文的攻击，才携带源端口和目的端口号，只有当攻击报文是IPv4或者IPv6报文时，该攻击PDU的相关信息才携带协议号；在表I中，源MAC是192. 168. 7. 2对应的源MAC，这是因为经过跨网段转发后，源 MAC信息会被修改为上一跳转发报文的IP地址对应的MAC地址；表I
权利要求
1.一种网络攻击的防御方法，其特征在于，包括网络设备监测受到网络攻击后，获取攻击报文的源地址信息和类型信息；判断接收到该攻击报文的端口是否为预设的攻击隔离点；在判断该端口是攻击隔离点的情况下，将获取的攻击报文的源地址信息和类型信息绑定在该端口上；在判断该端口不是攻击隔离点的情况下，构建包括获取的攻击报文的源地址信息和类型信息的隔离报文，将构建的隔离报文发送给与该端口相连接的网络设备。
2.根据权利要求I所述的方法，其特征在于，所述攻击报文的源地址信息包括所述攻击报文的源互联网协议IP地址信息；将构建的隔离报文发送给与该端口相连接的网络设备，具体包括根据所述攻击报文的源IP地址信息、判断网络设备与源攻击设备是否处于直连网段， 在判断处于直连网段的情况下，将该隔离报文组播发送给与所述端口相连接的网络设备， 在判断处于非直连网段的情况下，将该隔离报文单播发送给与所述端口相连接的、转发所述攻击报文的网络设备。
3.根据权利要求2所述的方法，其特征在于，所述攻击报文的源地址信息还包括攻击报文的源媒体接入控制MAC地址信息；在判断处于非直连网段的情况下，将该隔离报文单播发送给与所述端口相连接的、转发所述攻击报文的网络设备，具体包括将该隔离报文中的攻击报文源MAC地址信息设置为零，将设置后的隔离报文单播发送给与所述端口相连接的、转发所述攻击报文的网络设备。
4.根据权利要求I所述的方法，其特征在于，所述方法还包括在预定时间内未接收到隔离成功消息的情况下，在构建的隔离报文中添加用于指示找不到攻击隔离点的信息，将添加信息后的隔离报文组播发送给与接收到攻击报文的端口相连接的网络设备。
5.根据权利要求I所述的方法，其特征在于，所述方法还包括在接收到携带有隔离失败信息的隔离报文后，将隔离报文中的攻击报文源地址信息和类型信息绑定在接收到携带有隔离失败信息的隔离报文的端口上。
6.根据权利要求I所述的方法，其特征在于，所述方法还包括在所述接收到攻击报文的端口是攻击隔离点，并且存在多个源地址信息相同、类型不同的攻击报文的情况下，将攻击报文的源地址信息绑定在该端口上。
7.—种网络攻击的防御装置，其特征在于，包括获取模块，用于在网络设备监测受到攻击后，获取攻击报文的源地址信息和类型信第一判断模块，用于判断接收到该攻击报文的端口是否预设为攻击隔离点；绑定模块，用于在所述第一判断模块判断该端口是攻击隔离点的情况下，将所述获取模块获取的攻击报文的源地址信息和类型信息绑定在该端口上；构建模块，用于在所述第一判断模块判断该端口不是攻击隔离点的情况下，构建包括所述获取模块获取的攻击报文的源地址信息和类型信息的隔离报文；发送模块，用于将所述构建模块构建的隔离报文发送给与该端口相连接的网络设备。
8.根据权利要求7所述的装置，其特征在于，所述装置还包括第二判断模块，用于根据所述获取模块获取的攻击报文的源地址信息中的源互联网协议IP地址信息，判断网络设备与源攻击设备是否处于直连网段；所述发送模块，具体用于在所述第二判断模块判断处于直连网段的情况下，将该隔离报文组播发送给与所述端口相连接的网络设备，在判断处于非直连网段的情况下，将该隔离报文单播发送给与所述端口相连接的、转发所述攻击报文的网络设备。
9.根据权利要求8所述的装置，其特征在于，所述装置还包括设置模块，用于在所述第二判断模块判断处于非直连网段的情况下，将所述构建模块构建的隔离报文中的攻击报文源地址信息的源媒体接入控制MAC地址信息设置为零；所述发送模块，具体用于将所述设置模块设置后的隔离报文单播发送给与所述端口相连接的、转发所述攻击报文的网络设备。
10.根据权利要求7所述的装置，其特征在于，所述装置还包括接收模块，用于接收隔离成功报文；定时器，用于对所述接收模块接收到隔离成功报文的预定时长进行定时；所述设置模块，还用于在所述定时器超时、所述接收模块未接收到隔离成功报文的情况下，在所述构建模块构建的隔离报文中添加用于指示找不到攻击隔离点的信息；所述发送模块，还用于将所述设置模块添加信息后的隔离报文、组播发送给与接收到攻击报文的端口相连接的网络设备。
11.根据权利要求7所述的装置，其特征在于，所述装置还包括接收模块，用于接收携带有隔离失败信息的隔离报文；所述绑定模块，还用于在所述接收模块接收到携带有隔离失败信息的隔离报文后，将该隔离报文中的攻击报文源地址信息和类型信息绑定在接收到携带有隔离失败信息的隔离报文的端口上。
12.根据权利要求7所述的装置，其特征在于，所述绑定模块，还用于在所述第一判断模块判断接收到所述攻击报文的端口是攻击隔离点，并且存在多个源地址信息相同、类型不同的攻击报文的情况下，将攻击报文的源地址信息绑定在该端口上。
13.—种网络攻击的防御方法，其特征在于，包括网络设备接收到隔离报文后，根据该隔离报文中的攻击报文源地址信息，判断网络设备接收到该隔离报文中所指示的攻击报文的端口是否为预设的攻击隔离点；在判断该端口是攻击隔离点的情况下，将该隔离报文中的攻击报文源地址信息和类型信息绑定在该端口上；在判断该端口不是攻击隔离点的情况下，将接收到的隔离报文发送给与该端口相连接的网络设备。
14.根据权利要求13所述的方法，其特征在于，所述攻击报文的源地址信息包括所述攻击报文的源互联网协议IP地址信息；在判断该端口不是攻击隔离点的情况下，将接收到的隔离报文发送给与接收到所述攻击报文的端口相连接的网络设备，具体包括根据隔离报文中的攻击报文源IP地址信息、判断网络设备与该攻击报文源IP地址信息所指的网络设备是否处于直连网段，在判断处于直连网段的情况下，将该隔离报文组播发送给与接收到所述攻击报文的端口相连接的网络设备，在判断处于非直连网段的情况下，将该隔离报文单播发送给与接收到所述攻击报文的端口相连接的、转发所述攻击报文的网络设备。
15.根据权利要求14所述的方法，其特征在于，在判断处于直连网段的情况下，将该隔离报文组播发送给与接收到所述攻击报文的端口相连接的网络设备，具体包括根据所述攻击报文的源IP地址信息、查找到与该源IP地址信息相对应的攻击报文的源媒体接入控制MAC地址信息，将该源MAC地址信息添加到所述隔离报文中，将携带有所述攻击报文源MAC地址信息的隔离报文组播发送给与接收到所述攻击报文的端口相连接的网络设备。
16.根据权利要求13所述的方法，其特征在于，所述方法还包括在接收到所述攻击报文的端口是攻击隔离点的情况下，在监测该端口对所述攻击报文过滤失败后，在所述隔离报文中添加隔离失败信息，将添加了隔离失败信息的隔离报文发送给与接收到隔离报文的端口相连接的网络设备；网络设备在接收到携带有隔离失败信息的隔离报文后，将隔离报文中的攻击报文源地址信息和类型信息绑定在接收到携带有隔离失败信息的隔离报文的端口上。
17.根据权利要求13所述的方法，其特征在于，所述方法还包括在接收到所述攻击报文的端口是攻击隔离点的情况下，将源地址信息相同、类型不同的多个攻击报文合并为一条记录绑定在该端口上。
18.根据权利要求13所述的方法，其特征在于，所述方法还包括接收到携带有找不到攻击隔离点信息的隔离报文后，将该隔离报文中的攻击报文源地址信息和类型信息绑定在接收到该隔离报文中所指示的攻击报文的端口上，并将接收到的该隔离报文组播发送给与接收到该隔离报文中所指示的攻击报文的端口相连接的网络设备。
19.根据权利要求13所述的方法，其特征在于，所述隔离报文中还包括攻击报文的目的地址信息；所述方法还包括在监测到所述端口对所述攻击报文过滤成功后，向攻击报文的目的地址信息所指的网络设备发送隔离成功消息。
20.一种网络攻击的防御装置，其特征在于，包括接收模块，用于接收隔离报文；第一判断模块，用于根据所述接收模块接收到的隔离报文中的攻击报文源地址信息、 判断网络设备接收到该隔离报文所指示的攻击报文的端口是否为预设的攻击隔离点；绑定模块，用于在所述第一判断模块判断该端口是攻击隔离点的情况下，将所述接收模块接收到的隔离报文中的攻击报文源地址信息和类型信息绑定在该端口上；发送模块，用于在所述第一判断模块判断该端口不是攻击隔离点的情况下，将所述接收模块接收到的隔离报文发送给与接收到所述攻击报文的端口相连接的网络设备。
21.根据权利要求20所述的装置，其特征在于，所述装置还包括第二判断模块，用于根据所述接收模块接收到的隔离报文中的攻击报文源互联网协议 IP地址信息、判断网络设备与该攻击报文源IP地址信息所指的网络设备是否处于直连网段；所述发送模块，具体用于在所述第二判断模块判断处于直连网段的情况下，将所述接收模块接收到的隔离报文组播发送给与接收到所述攻击报文的端口相连接的网络设备，在所述第二判断模块判断处于非直连网段的情况下，将所述接收模块接收到的隔离报文单播发送给与接收到所述攻击报文的端口相连接的、转发所述攻击报文的网络设备。
22.根据权利要求21所述的装置，其特征在于，所述装置还包括查找模块，用于根据所述接收模块接收到的隔离报文中的攻击报文的源IP地址信息、 查找到与该源IP地址信息相对应的攻击报文的源媒体接入控制MAC地址信息；设置模块，用于将所述查找模块查找到的攻击报文的源MAC地址信息添加到所述接收模块接收到的隔离报文中；所述发送模块，具体用于将所述设置模块添加了攻击报文源MAC地址信息后的隔离报文组播发送给与接收到所述攻击报文的端口相连接的网络设备。
23.根据权利要求20所述的装置，其特征在于，所述装置还包括监测模块，用于对端口过滤攻击报文的情况进行监测；所述设置模块，还用于在第一判断模块判断接收到所述攻击报文的端口是攻击隔离点的情况下，所述监测模块监测该接收到所述攻击报文的端口对所述攻击报文过滤失败后， 在所述接收模块接收到的隔离报文中添加隔离失败信息；所述发送模块，还用于将所述设置模块添加了隔离失败信息后的隔离报文发送给与接收到隔离报文的端口相连接的网络设备；所述接收模块，还用于接收携带有隔离失败信息的隔离报文；所述绑定模块，还用于在所述接收模块接收到携带有隔离失败信息的隔离报文后，将该隔离报文中的攻击报文源地址信息和类型信息、绑定在接收到携带有隔离失败信息的隔离报文的端口上。
24.根据权利要求20所述的装置，其特征在于，所述绑定模块，还用于在所述第一判断模块判断所述接收到攻击报文的端口是攻击隔离点，并且存在多个源地址信息相同、类型不同的攻击报文的情况下，将攻击报文的源地址信息绑定在该端口上。
25.根据权利要求20所述的装置，其特征在于，所述接收模块，还用于接收携带有找不到攻击隔尚点信息的隔尚报文；所述绑定模块，还用于将所述接收模块接收到的该隔离报文中的攻击报文源地址信息和类型信息绑定在接收到该隔离报文中所指示的攻击报文的端口上；所述发送模块，还用于将所述接收模块接收到的该隔离报文组播发送给与接收到该隔离报文中所指示的攻击报文的端口相连接的网络设备。
26.根据权利要求20所述的装置，其特征在于，所述装置还包括监测模块，用于对端口过滤攻击报文的情况进行监测；所述发送模块，还用于在所述监测模块监测所述端口对所述攻击报文过滤成功后，向攻击报文的目的地址信息所指的网络设备发送隔离成功消息。
27.—种网络设备，其特征在于，包括如权利要求7至12中任一项所述的网络攻击的防御装置、和/或如权利要求20至26中任一项所述的网络攻击的防御装置。
全文摘要
本发明公开了一种网络攻击的防御方法及装置、网络设备，其中，该方法包括网络设备监测受到网络攻击后，获取攻击报文的源地址信息和类型信息；判断接收到该攻击报文的端口是否为预设的攻击隔离点；在判断该端口是攻击隔离点的情况下，将获取的攻击报文的源地址信息和类型信息绑定在该端口上；否则，构建包括获取的攻击报文的源地址信息和类型信息的隔离报文，将构建的隔离报文发送给与该端口相连接的网络设备。该方法能够通过预设为攻击隔离点的端口过滤掉攻击报文，减少网络中多余的攻击报文，从而能够解决现有技术中网络中转发大量的攻击报文浪费网络带宽资源、占用网络设备系统处理资源的问题。
文档编号H04L29/06GK102594834SQ20121006241
公开日2012年7月18日 申请日期2012年3月9日 优先权日2012年3月9日
发明者赖鹏飞 申请人:北京星网锐捷网络技术有限公司