专利名称：统计值刷新系统以及方法
技术领域：
本发明涉及反DoS攻击/反DDoS攻击领域，尤指一种应用于反DoS攻击/反DDoS 攻击领域中基于速率统计的统计值刷新系统以及方法。
背景技术：
拒绝服务(Denial-of-service, DoS)攻击或分布式拒绝服务(Distributed denial-of-service， DDoS)攻击使用户不能使用计算机资源。DoS攻击/DDoS攻击的症状 包括异常慢的网络响应速度，无法登陆特定网站，无法登陆任何网站以及垃圾邮件数量的 剧增。 DoS攻击/DDoS攻击的目标通常为处于备受关注的网页服务器上的站点或服务， 例如，银行服务器、信用卡支付的网关和域名系统根服务器(DNS root servers)等。典型 的DoS攻击/DDoS攻击方法为采用外部通讯请求使目标饱和，特别是向目标发送大量数据 包。 在目前的网络安全设备中， 一种常用的反DoS攻击/DDoS攻击的方法为基于速率 的统计值(rate-based statistics)测量来自相同IP地址的数据包，并将该基于速率的 统计值与一阈值相比较。基于速率的统计值通常为时间函数，例如，每秒的字节数(bytes per second, BPS)，每秒的数据包数(packets persecond， PPS)或者建立会话连接的速率 (session buildup rate, SR)等。若基于速率的统计值超过该阈值，则认为这些数据包为 DoS攻击，并由网络安全设备阻拦这些数据包。 更具体地说，以用一个特定源IP地址的PPS的统计值来为例，其中该PPS存储 在存储器中，例如，DDR SDRAM(doubledata rate, synchronous dynamic random access memory)。当收到来自于该特定源地址的一个数据包，该PPS的值加一，然后根据上述所描 述的方法，将该PPS的值与一阈值相比较。每一秒均刷新该PPS，并开始一次新的计量。
这样，每秒钟更新/刷新存储的基于速率的统计值。如上所述，DDR SDRAM中存储 对应每个IP地址的基于速率的统计值。由于可能需监控大量的IP地址，所以就有大量的 基于速率的统计值存储在DDR SDRAM中。因此，每秒更新/刷新这些统计值不仅耗时，而且 占用DDR SDRAM的带宽。
发明内容
本发明要解决的技术问题在于提供一种统计值刷新系统以及方法，所述统计值刷 新系统以及方法相较与现有技术而言，消耗较少的时间，并降低对存储器的带宽的占用。
为解决上述技术问题，本发明提供了一种统计值刷新系统，用于刷新存储在一存 储器中的基于速率的统计值。所述统计值刷新系统包括时钟和统计更新器。所述时钟用于 提供一时间值作为每个统计目标的时间戳，其中所述统计目标至少包括属于同一组的第一 目标和第二目标。所述统计值更新器耦合到所述时钟，用于非周期地更新与所述组相关的 基于速率的统计值。
本发明所述的统计值刷新系统，所述第一 目标的源IP地址和所述第二目标的源 IP地址相同。 本发明所述的统计值刷新系统，仅当所述第一目标的时间戳和所述第二目标的时 间戳相等时，更新与所述组相关的基于速率的统计值。 本发明所述的统计值刷新系统，若所述第一目标的时间戳和所述第二目标的时间 戳不相等时，初始化所述组的基于速率的统计值。 本发明所述的统计值刷新系统，所述组还包括一第三目标，其在所述第一目标和 所述第二目标之后到达所述统计值刷新系统，仅当关于所述组的基于速率的统计值的时间 戳和所述第三目标的时间戳相等时，更新所述组的基于速率的统计值至包含所述第三目标 的统计值。 本发明所述的统计值刷新系统，所述组还包括一第三目标，其在所述第一目标和 所述第二目标之后到达所述统计值刷新系统，若与所述组相关的基于速率的统计值的时间 戳和所述第三目标的时间戳不相等时，初始化所述组的基于速率的统计值；若初始化所述 组的基于速率的统计值，将与所述组相关的基于速率的统计值的时间戳改为所述第三目标 的时间戳。 本发明所述的统计值刷新系统，还包括统计值刷新器，其耦合到所述统计值更新
器，用于和所述统计值更新器一起周期地刷新所述存储器中的基于速率的统计值，当一预
设刷新周期结束时，所述统计值刷新器刷新所述存储器中的基于速率的统计值。 本发明所述的统计值刷新系统，若所述时钟为一n比特的时钟，则所述预设刷新
周期介于1秒至2n-l秒之间。 本发明还提供了一种统计值刷新方法，用于刷新存储器中的基于速率的统计值， 所述统计值刷新方法包括获得与一组统计目标相关的基于速率的统计值的第一时间戳； 将一第一统计目标的第二时间戳和所述第一时间戳相比较，其中所述第一统计目标与所述 一组统计目标相关；以及若所述第一时间戳和所述第二时间戳不相等，则刷新所述一组统 计目标的基于速率的统计值至一预设值，否则增加所述统计值。 本发明所述的统计值刷新方法，还包括若所述基于速率的统计值初始化为所述 预设值，则将所述第一时间戳变为与所述第二时间戳相等。 本发明所述的统计值刷新方法，还包括获得与所述第一统计目标相关的识别信 息；以及使用所述识别信息标记所述第一时间戳和所述一组统计目标的基于速率的统计值。 本发明所述的统计值刷新方法，所述识别信息包括一源IP地址。
本发明所述的统计值刷新方法，还包括当一预设的刷新周期结束，自动更新与所
述一组统计目标相关的所述基于速率的统计值。 本发明所述的统计值刷新方法，使用一n比特的时钟产生所述预设的刷新周期 时，则所述预设的刷新周期介于l秒至(2n_l)秒之间。 本发明还提供了一种统计值刷新方法，用于刷新存储器中的基于速率的统计值， 所述统计值刷新方法包括识别有相同源IP地址的第一数据包和第二数据包；判断所述第 一数据包和所述第二数据包是否是在同一统计值收集周期中被接受的；以及若所述第一数 据包和所述第二数据包在所述同一统计值收集周期中，增加与所述源IP地址相关的基于速率的统计值，否则，初始化与所述源IP地址相关的基于速率的统计值。 本发明所述的统计值刷新方法，所述判断还进一步包括将所述第一数据包的第一
时间戳和所述第二数据包的第二时间戳相比较，若所述第一和第二时间戳相等，则所述第
一数据包和所述第二数据包是在同一统计值收集周期中被接受的。 本发明所述的统计值刷新方法，若所述第一时间戳和所述第二时间戳不等，则所 述的统计值刷新方法还包括将所述第一时间戳和所述第二时间戳中较晚的时间戳和与所 述源IP地址相关的统计值相联系。 本发明所述的统计值刷新方法，若所述第一时间戳和所述第二时间戳相等，则所 述的统计值刷新方法还包括 将所述第一时间戳和所述第二时间戳和与所述源IP地址相关的统计值相联系。
本发明所述的统计值刷新方法，所述统计值刷新方法包括当一预设的刷新周期 结束，自动更新所述在同一统计值收集周期中被接受的数据包的统计值。
本发明所述的统计值刷新方法，使用一n比特的时钟产生所述预设的刷新周期 时，所述预设的刷新周期介于1秒至(2n_l)秒之间。 与现有技术相比，采用本发明的统计值刷新系统以及方法能够减少消耗时间，降 低对存储器带宽的占用。
以下通过对本发明的一些实施例结合其附图的描述，可以进一步理解本发明的目 的、具体结构特征和优点。 图1是根据本发明的一个实施例的的基于速率的统计值刷新系统的方框示意图； 以及 图2是根据本发明的一个实施例的基于速率的统计值刷新方法的流程图。
具体实施例方式
虽然本发明将结合以下实施例进行阐述，但应理解为这并非意指将本发明限定于 这些实施例。相反，本发明旨在涵盖由所附权利要求书所界定的本发明精神和范围内所定 义的各种可选项、可修改项和等同项。 此外，在以下对本发明的详细描述中，为了提供针对本发明的完全的理解，阐明了 大量的具体细节。然而，本领域技术人员将理解，没有这些具体细节，本发明同样可以实施。 在另外的一些实例中，对于大家熟知的方案、流程、元件和电路未作详细描述，以便于凸显 本发明的主旨。 图1为根据本发明的一个实施例的统计值刷新系统100，该统计值刷新系统100用 于刷新用于反DoS攻击/反DDoS攻击的基于速率的统计值。该统计值刷新系统100包括 更新模块110，刷新模块120、系统时钟130、存储器(例如，DDR SDRAM) 140和仲裁器150。 仲裁器150耦合到更新模块IIO，刷新模块120和存储器140之间，其起到数据通道的作用。 还可以称更新模块110为统计更新器，还可以称刷新模块120为统计刷新器。
在图1中，每个模块都执行一个或多个功能，然而，在实际应用中，所述的功能模 块可以由一个或者多个元件实现，和/或由软件、硬件或者软硬件结合的方式实现。此外，该统计值刷新系统100还可以包括图示以外的元件，例如处理器一类的本技术领域的熟知 元件。 数据包102输入更新模块110。可以认为单个数据包为一个组的数据包中的一个 (例如，该组的数据包可能为DoS攻击/DDoS攻击的一组数据包)。在一个实施例中，每个 数据包中的源IP地址用于识别同一组的数据包。在数据包102中的单个数据包输入到更 新模块110之前，都对其进行解析。这样，每个数据包所携带的源IP地址和数据包内的其 他信息(例如，字节的数量)对于更新模块110而言都是已知的。 时间戳和统计值存储在存储器140中。这些统计值根据源IP地址进行分类或标 记；也就是说，对于每个被监测的源IP地址，在存储器140中有相应的一组统计值。以图1 为例，时间戳_0和统计_0对应于第一 IP地址，时间戳_1和统计_1对应于第二 IP地址。
系统时钟130向刷新模块120和更新模块110提供一系统时间132。 一般而言，在 统计值刷新系统100中，基于系统时间132的时间戳对于每个数据包为相同的。例如，系统 时间132可以用于表示各数据包进入更新模块110的时间。在一个实施例中，系统时钟130 为n位的时钟，该时钟从零开始，且每秒加一。在本实施例中，在同1秒间隔内到达的数据 包具有相同的时间戳。 在一个实施例中，对于大量来自相同IP地址的包，为了测量其基于速率的统计 值，在存储器140中存储来自该IP地址的最近一个(最新的)数据包的时间戳和与该IP 地址相关的时间戳和统计值(例如，BPS、PPS和/或SR)。更新模块110更新存储器140中 的时间戳和统计值将在下文作详细描述。在一个实施例中，刷新模块120周期地刷新存储 器140中的时间戳和统计值——更具体的说，如下所述，当一具体的时间周期结束时，刷新 模块120自动更新时间戳和刷新统计值。更新模块110和刷新模块120刷新每个统计值是 将每个值设为一初始值。当更新时间戳时，更新模块110和刷新模块120将需刷新的时间 戳设为当前的系统时间132。 当数据包102中一个新的数据包(例如数据包N)进入更新模块110时，更新模块 IIO采用该数据包N的源IP地址归类和读取存储器140中与该源IP地址相关的时间戳160 和统计值162 (例如，BPS， PPS和/或SR)。 最新的数据包N的时间戳166为数据包N进入更新模块110时的系统时间132。 存储的时间戳160为数据包(N-l)进入更新模块110时的系统时间132，其中数据包N和数 据包(N-l)的源IP地址相同，均为IP_N。数据包(N-l)为前一个到达统计值刷新系统100 的包，该数据包的源IP地址为IP_N(换句话说，在源地址为IP_N的一组数据包中，数据包 (N-l)和数据包N为连续的数据包)。在存储器140中，源地址IP—N用于归类存储的时间 戳160。将数据包N的新时间戳166和存储的时间戳160相比较，其目的为判断数据包N和 数据包(N-l)是否在同一统计值收集周期内；若存储的时间戳160和新时间戳166相等，则 两个数据包在同一统计值收集周期内。 在一个实施例中，每个统计值收集周期为一秒。在本实施例中，若两时间戳160和 166相等，则数据包N和数据包(N-l)是在同一秒间隔内进入更新模块IIO。
若两时间戳160和166相等，则不更新存储器140中的存储的时间戳160，且将与 IP地址IP_N相关的新的数据包N的统计值和存储的统计值162相加得到与该IP地址IP_ N相关的的新的统计值168。例如，增加新的数据包N的由IP地址IP_N归类的统计值BPS、PPS禾口 /或SR。 反之，若两时间戳160和166不等，则新的数据包N和前一个数据包(N_l)进入更 新模块110的时间间隔超过一秒(换句话说，数据包N和数据包(N-l)不在同一统计值收 集周期内)。相应地，将存储的时间戳160设为新的数据包N的时间戳166，且刷新存储的 统计值162 (例如，设置为一初始值，该值可以为零)。例如，可以设置PPS或SR为一初始值 l，且可以设置BPS为当前进入的数据包的包长(字节)。因此，在存储器140中，对于一特 定源IP地址的时间戳和统计值，并非每秒更新/刷新。相反，根据何时收到来自与该特定 源IP地址相关的数据包，非周期地刷新/更新(不规则的间断)该时间戳和统计值。换句 话说，更新/刷新为由事件驱动(event-driven)，而非时间驱动(time-driven)。由此，减 少了更新时间，同时降低了对反DoS/DDoS带宽的占用。 在一个实施例中，除了上述由事件驱动(非周期)的刷新，针对源IP地址，刷新模 块120周期地更新存储器140中的时间戳，并周期地刷新存储器140中的统计值，以防止由 长时间内没有来自该源IP地址的数据包进入更新模块110而可能造成的错误。例如，如上 所述，系统时钟130可以为一n位时钟，该时钟从零开始，每秒增加一 ；这样，在第2n秒时， 系统时钟130复零。假设，在第一秒时，源IP地址为IP_N1的第一个数据包Pl进入更新 模块110，该数据包的时间戳为零；则更新模块110向存储器140发送新的时间戳166 (为 零)，且更新存储器140中的统计值(例如，增加统计值，并存储该统计值)。然后，假设在第 二秒和第2n秒之间，没有一个源IP地址为IP_N的数据包进入更新模块110。在第(2n+l) 秒时，源IP地址为IP_N1 (和第一个数据包PI的源IP地址相同)的第二个数据包P2进入 更新模块110，其时间戳为零，虽然第一个数据包P 1和第二个数据包P2的间隔为(2n+l) 秒。即使两个数据包PI和P2不在同一统计值收集周期内，因为其时间戳相同，所以关于源 IP地址的存储的统计值将被更新，除非有一机制防止该错误的发生。相应地，在一个实施例 中，当一刷新周期结束时，刷新模块120周期且自动地更新时间戳并刷新统计值。其中，自 动刷新周期可以介于一秒至(2n_l)秒之间。 更具体地说，在一个实施例中，在刷新周期的末期，刷新模块120从存储器140中 读取每个IP地址的存储的时间戳160，且将这些时间戳和由系统时钟130提供的系统时间 132相比较。若一 IP地址的存储的时间戳160和系统时间132不等，则刷新模块120更新 存储器140中关于该IP地址的时间戳，且刷新与该IP地址相关的存储的统计值162。也就 是说，在每个刷新周期的末期，对于其时间戳不等于系统时间132的每个IP地址，刷新周期 120将该IP地址的存储的时间戳160设为系统时间132，并将存储的统计值162设为初始 值(例如，零)。若在每个刷新周期的末期，与一IP地址相关的存储的时间戳160和系统时 间132相等，则不更新与该IP地址相关的存储的统计值162。 刷新周期越短，越频繁地更新/刷新存储器中的时间戳和统计值。为使刷新不太 频繁，可以选择接近(2n_l)秒的一个值为刷新周期。 图1的统计值刷新系统100不仅可以应用在反DoS攻击/反DDoS攻击领域，可以 应用在其它的需要刷新基于速率的统计值的场合。 图2为一计算机实施的统计值刷新方法的流程图200，该统计值刷新方法用于刷 新统计目标的基于速率的统计值。在这里，统计目标为能够以基于速率的统计值进行统计 的目标。例如，来自同一IP地址的数据包构成一统计目标。在一个实施例中，该流程图是由存储在一计算机可读介质中的计算机可执行的指令而实施的。结合图1描述图2。以下 描述是基于相同源IP地址的数据包，其它源IP地址的数据包应以同样方式对待。
在步骤202，将进入更新模块110的前一个数据包的时间戳(数据包N-l)和与该 时间戳相关的统计值(也就是，在时间戳所定义的时间段里积累得到的统计值)存储到存 储器140中。当一数据包进入更新模块110时，系统时钟130提供的系统时间132为该数 据包的时间戳。 在步骤204，更新模块110比较一新的数据包(数据包N)的时间戳和数据包(N-l) 的时间戳。更具体地说，当新的数据包N进入更新模块IIO，更新模块IIO从存储器140中 读取存储的时间戳160，该时间戳160为数据包(N-l)的时间戳，并将新的数据包N的时间 戳和该存储的时间戳160相比较。 在步骤206，根据时间戳的比较结果，更新模块110更新/刷新存储器140中的时 间戳和统计值。更具体地说，若比较结果为不相等，发送新的时间戳166(新的数据包N的 时间戳)以更新存储的时间戳160，且刷新存储的统计值(例如，设置为O)。若比较结果为 相等，不更新存储器140中的时间戳，但更新存储的统计值(增加)。 在步骤208，刷新模块120周期地更新/刷新存储器140中的时间戳和统计值，以 防止由于长时间没有数据包进入更新模块110而可能产生的错误。 总的来说，现有技术中，周期地刷新基于速率的统计值(例如，每秒刷新)。相反 地，根据本发明的实施例，采用非周期地刷新基于速率的统计值若在一统计值收集周期 (例如，l秒钟内)收到与统计值相关的一个数据包，且在该统计值收集周期中再没有收到 这类的数据包，则不刷新统计值(除非，在一实施例中，确定一特定的刷新周期以前述方式 周期地刷新)。实际上，与源IP地址相关的计数器闲置且保持它们的当前值，直到收到与该 源IP地址相关的数据包或者自动刷新周期结束。相应地，相对于现有技术，本发明的刷新 次数减少(刷新频率降低)，所以，降低了对带宽的占用，且减少刷新所耗费的时间。
上文具体实施方式
和附图仅为本发明的常用实施例。显然，在不脱离所附权利要 求书所界定的本发明精神和保护范围的前提下可以有各种增补、修改和替换。本领域技术 人员应该理解，本发明在实际应用中可根据具体的环境和工作要求在不背离发明准则的前 提下在形式、结构、布局、比例、材料、元素、组件及其它方面有所变化。因此，在此披露的实 施例仅用于说明而非限制，本发明的范围由所附权利要求及其合法等同物界定，而不限于 此前的描述。
9
权利要求
一种统计值刷新系统，用于刷新存储在一存储器中的基于速率的统计值，其特征在于，该统计值刷新系统包括时钟，用于提供一时间值作为每个统计目标的时间戳，其中所述统计目标至少包括第一目标和第二目标，且所述第一目标和所述第二目标属于同一组；以及统计值更新器，其耦合到所述时钟，用于非周期地更新与所述组相关的基于速率的统计值。
2. 根据权利要求1所述的统计值刷新系统，其特征在于，所述第一目标的源IP地址和 所述第二目标的源IP地址相同。
3 根据权利要求1所述的统计值刷新系统，其特征在于，仅当所述第一目标的时间戳 和所述第二目标的时间戳相等时，更新与所述组相关的基于速率的统计值。
4. 根据权利要求1所述的统计值刷新系统，其特征在于，若所述第一目标的时间戳和 所述第二目标的时间戳不相等时，初始化所述组的基于速率的统计值。
5. 根据权利要求1所述的统计值刷新系统，其特征在于，所述组还包括一第三目标，其 在所述第一目标和所述第二目标之后到达所述统计值刷新系统，仅当关于所述组的基于速 率的统计值的时间戳和所述第三目标的时间戳相等时，更新所述组的基于速率的统计值至 包含所述第三目标的统计值。
6. 根据权利要求1所述的统计值刷新系统，其特征在于，所述组还包括一第三目标，其 在所述第一 目标和所述第二目标之后到达所述统计值刷新系统，若与所述组相关的基于速 率的统计值的时间戳和所述第三目标的时间戳不相等时，初始化所述组的基于速率的统计 值；若初始化所述组的基于速率的统计值，将与所述组相关的基于速率的统计值的时间戳 改为所述第三目标的时间戳。
7. 根据权利要求1所述的统计值刷新系统，其特征在于，还包括统计值刷新器，其耦合到所述统计值更新器，用于和所述统计值更新器一起周期地刷 新所述存储器中的基于速率的统计值，当一预设刷新周期结束时，所述统计值刷新器刷新 所述存储器中的基于速率的统计值。
8. 根据权利要求7所述的统计值刷新系统，其特征在于，若所述时钟为一n比特的时 钟，则所述预设刷新周期介于1秒至2n_l秒之间。
9. 一种统计值刷新方法，用于刷新存储器中的基于速率的统计值，其特征在于，所述统 计值刷新方法包括获得与一组统计目标相关的基于速率的统计值的第一时间戳；将一第一统计目标的第二时间戳和所述第一时间戳相比较，其中所述第一统计目标与 所述一组统计目标相关；以及若所述第一时间戳和所述第二时间戳不相等，则刷新所述一组统计目标的基于速率的 统计值至一预设值，否则增加所述统计值。
10. 根据权利要求9所述的统计值刷新方法，其特征在于，还包括若所述基于速率的统计值初始化为所述预设值，则将所述第一时间戳变为与所述第二 时间戳相等。
11. 根据权利要求9所述的统计值刷新方法，其特征在于，还包括 获得与所述第一统计目标相关的识别信息；以及使用所述识别信息标记所述第一时间戳和所述一组统计目标的基于速率的统计值。
12. 根据权利要求11所述的统计值刷新方法，其特征在于，所述识别信息包括一源IP 地址。
13. 根据权利要求9所述的统计值刷新方法，其特征在于，还包括当一预设的刷新周期结束，自动更新与所述一组统计目标相关的所述基于速率的统计值。
14. 根据权利要求13所述的统计值刷新方法，其特征在于，使用一n比特的时钟产生所 述预设的刷新周期时，则所述预设的刷新周期介于1秒至(2n_l)秒之间。
15. —种统计值刷新方法，用于刷新存储器中的基于速率的统计值，其特征在于，所述 统计值刷新方法包括识别有相同源IP地址的第一数据包和第二数据包；判断所述第一数据包和所述第二数据包是否是在同一统计值收集周期中被接受的；以及若所述第一数据包和所述第二数据包在所述同一统计值收集周期中，增加与所述源IP 地址相关的基于速率的统计值，否则，初始化与所述源IP地址相关的基于速率的统计值。
16. 根据权利要求15所述的统计值刷新方法，其特征在于，所述判断还进一步包括将 所述第一数据包的第一时间戳和所述第二数据包的第二时间戳相比较，若所述第一和第二 时间戳相等，则所述第一数据包和所述第二数据包是在同一统计值收集周期中被接受的。
17. 根据权利要求16所述的统计值刷新方法，其特征在于，若所述第一时间戳和所述 第二时间戳不等，则所述的统计值刷新方法还包括将所述第一时间戳和所述第二时间戳中较晚的时间戳和与所述源IP地址相关的统计 值相联系。
18. 根据权利要求16所述的统计值刷新方法，其特征在于，若所述第一时间戳和所述 第二时间戳相等，则所述的统计值刷新方法还包括将所述第一时间戳和所述第二时间戳和与所述源IP地址相关的统计值相联系。
19. 根据权利要求15所述的统计值刷新方法，其特征在于，所述统计值刷新方法包括 当一预设的刷新周期结束，自动更新所述在同一统计值收集周期中被接受的数据包的统计值。
20. 根据权利要求19所述的统计值刷新方法，其特征在于，使用一n比特的时钟产生所 述预设的刷新周期时，所述预设的刷新周期介于l秒至(2n_l)秒之间。
全文摘要
本发明提供一种统计值刷新系统以及方法，特别涉及一种非周期的统计值刷新方法以及系统，用于刷新存储器中的基于速率的统计值，其包括获得与一组统计目标相关的基于速率的统计值的第一时间戳；将一第一统计目标的第二时间戳和所述第一时间戳相比较，其中所述第一统计目标与所述一组统计目标相关；以及若所述第一时间戳和所述第二时间戳不相等，则刷新所述一组统计目标的基于速率的统计值至一预设值，否则增加所述统计值；与现有技术相比，本发明的统计值刷新方法以及系统消耗较少的时间，占用较少的存储器的带宽。
文档编号H04L29/06GK101741815SQ20081017843
公开日2010年6月16日 申请日期2008年11月26日 优先权日2008年11月26日
发明者夏展宏, 甘云慧, 陈平 申请人:凹凸电子(武汉)有限公司