CN109327426A - 一种防火墙攻击防御方法 - Google Patents

一种防火墙攻击防御方法 Download PDF

Info

Publication number
CN109327426A
CN109327426A CN201810024379.8A CN201810024379A CN109327426A CN 109327426 A CN109327426 A CN 109327426A CN 201810024379 A CN201810024379 A CN 201810024379A CN 109327426 A CN109327426 A CN 109327426A
Authority
CN
China
Prior art keywords
attack
configuration
message
tcp
firewall
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201810024379.8A
Other languages
English (en)
Inventor
白令海
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN201810024379.8A priority Critical patent/CN109327426A/zh
Publication of CN109327426A publication Critical patent/CN109327426A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供一种防火墙攻击防御方法，其通过将一攻击防范模块应用于已具备基于安全区域的配置管理、报文管理和会话管理等功能的防火墙，实现网络攻击检测功能，精确检测单包攻击、扫描攻击和泛洪攻击。单包攻击具体包括：ICMP重定向攻击、ICMP不可达攻击、IP源站选路选项攻击、路由记录选项攻击、Land攻击、Smurf攻击、Fraggle攻击、WinNuke攻击。扫描攻击具体包括：地址扫描攻击、端口扫描攻击。泛洪攻击包括：TCP SYN Flood攻击、ICMP Flood攻击、UDP Flood攻击。检测到网络攻击后，根据配置采取相应的防范措施，例如丢弃报文、加入黑名单、输出告警日志等。实现TCP代理联动机制下的Safe Reset技术，有效防御TCP SYN Flood攻击。

Description

一种防火墙攻击防御方法
技术领域
本发明属于网络安全领域，具体涉及一种防火墙攻击防御方法。
背景技术
网络攻击是指利用网络存在的漏洞和安全缺陷对网络***的硬件、软件及其***中的数据进行的攻击。随着计算机网络的广泛应用，网络攻击技术也在不断发展。网络攻击的方式和方法已经从早期的粗糙、单一的攻击方法发展到今天的精致、综合的攻击方法。目前，Internet 上常见的网络攻击分为以下三类：单包攻击、扫描攻击和泛洪攻击：
（1）单包攻击
单包攻击又称畸形报文攻击。攻击者向目标机器发送有缺陷的 IP 报文（如分片 重叠的 IP 报文、具有非法标志位的 TCP 报文等），由于目标机器无法正确处理此类 IP 报文，因此导致***崩溃。另一种方式是，攻击者通过发送大量无用报文，恶意占用 网络带宽，导致网络阻塞。
（2）扫描攻击 攻击者运用扫描工具对网络进行主机地址或端口进行扫描，通过准确定位潜在目标的位置，探测目标***的网络拓扑结构和启用的服务类型，并利用搜集到的信息实 施进一步的攻击。
（3）泛洪攻击
泛洪攻击是 DoS 攻击的一种方式，包括 TCP SYN Flood 攻击和 UDP Flood 攻击等。攻击者在短时间内向目标***发送大量的虚假请求，导致目标***疲于应付无用信息，大量消耗关键资源，无法为合法用户提供正常服务，即发生拒绝服务。
在各种网络攻击中，DoS 攻击由于其实施简单、破坏力强，成为最常见的一种攻击方法。数据显示，超过 90%的 DoS 攻击是利用 TCP 协议的漏洞实现的，而 TCP SYN Flood攻击是使用最普遍的攻击手段。Internet 上任何提供基于 TCP 的网络服务的***， 例如Web 服务器、FTP 服务器和邮件服务器，都容易受到 TCP SYN Flood 攻击。因此，针对 SYNFlood 攻击的良好的防范能力在防火墙攻击防范的整体功能中占有举足轻重的作用。
防火墙作为保护网络安全的重要手段，应能有效防范各种网络攻击。近年来，大规模网络攻击行为的不断出现，对防火墙提出了更高的要求。随着防火墙的广泛应用和组网环境的变化，防火墙的策略配置方式也向着更易用、更高效的趋势发展。
传统的防火墙基于内网/外网模式，防火墙处于内部网络和外部网络之间，只要根据网络报文的入接口和出接口进行安全策略的配置。但随着防火墙的不断发展，出现 了基于区域划分的防火墙部署方案，即内网/外网/DMZ（非军事区）模式。其中，DMZ 是一个不同于内网或外网的特殊网络区域，DMZ 内通常放置一些不含机密信息的公 用服务器，比如Web、Mail、FTP 服务器等。这样，来自外网的访问者可以访问 DMZ 中的服务，但不能接触到存放在内网中的公司机密或私人信息等，即使 DMZ 中服务 器受到破坏，也不会对内网中的机密信息造成影响。在这种模式下，防火墙处于三个区域的中心，以三角方式将它们连接起来。
在这种基于区域划分的组网环境中，传统的基于接口的策略配置方式需要为每一个接口配置安全策略，安全策略的维护工作量成倍增加，从而也增加了因为配置引入安全风险的概率。因此，现代防火墙中引入了安全区域的概念。安全区域(Security Zone)是指共享同一组安全属性的网络资产和资源的逻辑分组（有时也是物理分组），是防火墙实施策略和配置管理的核心元素。引入安全区域的概念之后，安全管理员将安 全需求相同的接口或 IP 地址进行分类，划分到不同的安全区域，对应于实际网络结 构中的内网、外网和DMZ 等网络区域。通过安全区域的划分，防火墙的配置能够更 加灵活地同现有的网络结构相结合，实现策略的分层管理，提高防火墙策略配置的便 捷性和安全性。
现今很多防火墙都提供三个独立的安全区域：受信安全区域（Trust）、非受信安全区域（Uuntrust）和非军事化区域（DMZ）。除此之外，还可以根据实际需要添加更多的安全区域，通过在安全区域上配置策略，实现防火墙的各项功能。
虽然已有防火墙具备基于安全区域的配置管理、报文管理和会话管理等功能，但是均缺乏能够检测多种类型的攻击、并对攻击采取合理的防范措施的全面防范功能，难以利用有效的攻击防范技术主动防御各种常见的网络攻击，无法保证网络在遭受越来越频繁的攻击的情况下能够正常运行。即现有技术中仍缺少防火墙的整体安全解决方案。
发明内容
针对现有技术存在的上述缺陷，本发明提供一种防火墙攻击防御方法，实现网络攻击检测，精确检测单包攻击、扫描攻击和泛洪攻击；检测到网络攻击后，根据配置采取相应的防范措施。
为实现上述发明目的本发明采取的技术方案是：
一种防火墙攻击防御方法，由配置攻击防范策略的方法、单包攻击检测与防范方法、扫描攻击检测与防范方法、泛洪攻击检测与防范方法、SYN洪水攻击检测与防范方法组成；
配置攻击防范策略的方法包括以下步骤：
接收到配置消息；
对配置消息进行解析并提取配置参数，同时对配置参数进行合法性检查；
对于不合法的配置显示错误提示信息，对于合法的配置，使新配置的策略应用生效；
单包攻击检测与防范方法包括以下步骤：
接收报文；
根据当前配置的策略检查报文字段，判断报文的合法性；
检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；
输出告警日志；
扫描攻击检测与防范方法包括以下步骤：
接收到报文；
查询源 IP 地址的新建连接速率，判断是否超过阈值；
检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；
将攻击者 IP 地址列入黑名单；
输出告警日志；
泛洪攻击检测与防范包括以下步骤：
接收报文；
查询目的 IP 地址的新建连接速率，判断是否超过阈值；
检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；
接口输出告警日志；
SYN洪水攻击检测与防范方法包括以下步骤：
接收TCP SYN报文；
查询目的 IP 地址的半开连接数和新建连接速率，若超过阈值则检测为 SYN 洪水攻击；
检测到攻击后，如果启用了 TCP 代理，则将目的 IP 添加到受保护 IP 地址列表，否则根据当前配置的策略返回报文处理结果为丢弃或放行；
输出告警日志。
所述SYN洪水攻击检测与防范方法中，目的 IP 地址添加到受保护 IP 地址列表后，应用 Safe Reset 技术实施保护，在不影响正常流量的同时拦截攻击流量，实现SYN洪水攻击防范。
通过将一攻击防范模块应用于防火墙实现攻击防范策略配置处理，以及各种网络攻击的检测并通过调用防火墙的功能模块接口采取相应的攻击防范措施，所述防火墙具备安全区域管理、配置管理、报文管理、黑名单管理、策略管理、日志管理和会话管理功能模块，所述攻击防范模块包括配置处理子模块、攻击检测子模块和TCP 代理子模块。
本发明取得的显著有益效果是：
本发明能够检测多种类型的攻击、并对攻击采取合理的防范措施；
通过采用经过改进的Safe Reset技术，并结合基于流量异常检测的 TCP 代理联动机制，更加高效和稳定地实现 SYN Flood攻击防范。
附图说明
图1是攻击防范模块及外部模块关系图；
图2是配置策略处理流程图；
图3是单包攻击检测与防范处理流程图；
图4是扫描攻击检测与防范处理流程图；
图5是泛洪攻击检测与防范处理流程图；
图6是TCP SYN Flood 攻击原理图；
图7是TCP 代理联动机制处理流程图。
具体实施方式
以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本发明提供一种防火墙防御方法，其通过将一攻击防范模块应用于已具备基于安全区域的配置管理、报文管理和会话管理等功能的防火墙实现，能够实现网络攻击检测，精确检测单包攻击、扫描攻击和泛洪攻击。单包攻击具体包括：ICMP 重定向攻击、ICMP 不可达攻击、IP 源站选路选项攻击、路由记录选项攻击、Land 攻击、Smurf 攻击、Fraggle 攻击、WinNuke 攻击。扫描攻击具 体包括：地址扫描攻击、端口扫描攻击。泛洪攻击包括：TCPSYN Flood 攻击、ICMP Flood 攻击、UDP Flood 攻击。检测到网络攻击后，根据配置采取相应的防范措施，例如丢弃报文、加入 黑名单、输出告警日志等。实现 TCP 代理联动机制下的 Safe Reset 技术，有效防御 TCP SYN Flood 攻击。
本发明基于安全区域的防火墙的攻击防范模块（简称攻击防范模块）实现，集成于防火墙主要实现攻击防范策略配置处理，以及各种网络攻击的检测并通过调用外部模块（防火墙的功能模块）接口采取相应的攻击防范措施。所述防火墙已具备安全区域管理、配置管理、报文管理、黑名单管理、策略管理、日志管理和会话管理等功能。攻击防范模块与外部模块接口的连接、通信采用常规技术方式，不再赘述。整个攻击防范模块包括配置处理子模块、攻击检测子模块和TCP 代理子模块。其中，由于 TCP SYN Flood 攻击防范需要以采用 Safe Reset 技术的 TCP 代理方式实现，其原理比较复杂，所以将 TCP 代理功能划分为单独的子模块。攻击检测子模块检测到 TCP SYN Flood 攻击后，通知 TCP 代理子模块启用 TCP 代理功能，防御 TCP SYN Flood 攻击。
配置处理子模块、攻击检测子模块与 TCP 代理子模块之间，以及整个攻击防范模块与外部模块之间的关系如图 1所示：
各模块间的数据流如下：
D1：配置消息。管理员通过用户界面配置攻击防范策略时，由配置管理模块将配 置消息传递给攻击防范模块，攻击防范模块根据配置对后续的报文应用策略。
D2：配置处理返回的数据。攻击防范模块返回给配置管理模块的配置处理结果。
D3：安全区域信息。攻击防范模块在输出日志时，需要从安全区域模块获取指定的安全区域的相关信息。
D4：原有的攻击防范策略信息。攻击防范模块在检查报文时，需要从策略管理模块获取报文所属安全区域上的攻击防范策略信息。
D5：更新的攻击防范策略信息。管理员通过用户界面配置攻击防范策略时，由攻击防范模块将新的策略信息传递给策略管理模块，策略管理模块负责更新策略信息。
D6：会话信息。对于扫描攻击和泛洪攻击的检测，攻击防范模块需要从会话管理模块查询会话信息，获取网络上指定 IP 地址的半开连接数和新建连接速率。
D7：更新的会话状态。攻击防范模块检测到攻击后，采取相应的防范措施，有时 需要更新会话状态。
D8：接收的报文数据。攻击防范模块对防火墙接收的报文进行合法性检查。
D9：转发的报文数据。经过攻击防范模块检查的报文，其中的某些字段可能需要修改，对于放行的报文直接继续转发。
D10：列入黑名单的条目信息。对于检测到的扫描攻击，可以将攻击者的 IP 地址列入黑名单，在指定的时间内屏蔽来自该主机的所有报文。
D11：输出的日志信息。检测到攻击时，将当前时间、攻击类型、源主机和目的 主机信息等输出到日志中。
D12：配置参数。配置管理子模块通过解析外部配置管理模块传递的配置消息，设置配置参数，传递给攻击检测子模块，使其应用相应的功能。
D13：受保护的主机信息。攻击检测子模块检测到 TCP SYN Flood 攻击后，启用TCP 代理联动机制，将攻击目标主机列入受保护主机，TCP 代理模块利用 Safe Reset 技术为受保护主机实施防御。
攻击防范的主要处理流程如下：
（一）配置攻击防范策略的处理流程
管理员可以通过命令行和 Web 页面两种方式配置防火墙攻击防范策略。攻击防范模块可配置的策略内容包括：创建、删除和修改单包攻击、扫描攻击和泛洪攻击防范策略。攻击防范策略的属性设置包括应用策略的安全区域、各种具体的攻击检测的使能和相关阈值的设置，以及检测到攻击后需要采取的防范措施等。其中，防范措施包括输出告警日志、丢弃攻击报文以及攻击 IP 列入黑名单等。除此之外，对于 TCP SYN Flood 攻击，还可以设置启用 TCP 代理功能进行防范。
配置攻击防范策略的处理主要由配置处理子模块完成，其处理流程如图2所示。配置处理子模块接收到外部配置管理模块传递的配置消息后，对其进行解析并提取配置参数，同时对配置参数进行合法性检查，对于不合法的配置显示错误提示信息，对于合法的配置，首先在控制平面更新策略，然后将配置相应地下发给攻击检测子模块， 使新配置的策略应用生效。
（二）单包攻击检测与防范的处理流程
如果管理员在某个安全区域上配置了单包攻击防范策略，则攻击检测子模块将接收到该安全区域上入方向的报文，并根据当前配置的策略检查报文。管理员可配置不同类型的单包攻击的检测使能状态，可以有选择性地对各种单包攻击进行防范。如果发现报文具有攻击特征，则采取防范措施。如果管理员在策略中配置了检测到攻击丢包，则丢弃攻击报文，否则放行攻击报文。如果没有检测到任何攻击特征，则认为是正常的报文，直接放行并继续转发。只要检测到攻击，无论攻击报文被丢弃还是被放行，都要输出告警日志，提示检测到的攻击类型、攻击报文的相关信息，以及防火墙采取的过滤动作等。
单包攻击检测与防范的处理流程如图3所示。攻击检测子模块接收到外部的报文管理模块传递的安全区域上入方向的报文后，根据当前配置的策略检查报文字段，判断报文的合法性。检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行，最后通过调用外部的日志管理模块提供的接口输出告警日志。
（三） 扫描攻击检测与防范的处理流程
如果管理员在某个安全区域上配置了扫描攻击防范策略，则攻击检测子模块将接收到该安全区域上入方向的报文，并从报文中解析出源 IP 地址，查询源 IP 地址的新建连接速率，如果超过了管理员在策略中配置的新建连接速率阈值，则认为此报文是扫描攻击报文。对于扫描攻击，防火墙会强制丢弃攻击报文，管理员不能对是否丢弃攻击报文进行配置。此外，如果策略配置将攻击 IP 地址列入黑名单，则将攻击报文的源 IP 地址列入黑名单。在一定时间内，源 IP 地址被列入黑名单的报文将全部被直接丢弃。如果报文源 IP 地址的新建连接速率没有超过策略配置的阈值，则认为是正常的报文，直接放行并继续转发。最后，只要检测到扫描攻击，都要输出告警日志，提示检测到的攻击类型、攻击报文的相关信息，以及防火墙采取的过滤动作等。
扫描攻击检测与防范的处理流程如图4所示。攻击检测子模块接收到外部的报 文管理模块传递的安全区域上入方向的报文后，通过调用外部的会话管理模块提供的 接口查询源 IP 地址的新建连接速率，判断是否超过阈值。检测到攻击后，根据当前 配置的策略返回报文处理结果为丢弃或放行，并通过调用外部的黑名单管理模块提供 的接口将攻击者 IP 地址列入黑名单，最后通过调用外部的日志管理模块提供的接口输出告警日志。
（四）泛洪攻击检测与防范的处理流程
如果管理员在某个安全区域上配置了泛洪攻击防范策略，则攻击检测子模块将接 收到该安全区域上出方向的报文，并从报文中解析出目的 IP 地址，然后判断报文类型，如果为非 TCP SYN 报文，则查询目的 IP 地址的新建连接速率，若速率超过管理员在策略中设定的阈值，则认为是泛洪攻击，并根据策略配置对攻击报文执行丢弃或 放行。对于判定为正常的报文，则直接放行并继续转发。只要检测到泛洪攻击，都要输出告警日志，提示检测到的攻击类型、攻击报文的相关信息，以及防火墙采取的过滤动作等。
泛洪攻击检测与防范的处理流程如图 5所示。攻击检测子模块接收到外部的报文管理模块传递的安全区域上出方向的报文后，通过调用外部的会话管理模块提供的接口查询目的 IP 地址的新建连接速率，判断是否超过阈值。检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行，最后通过调用外部的日志管理模块提供的接口输出告警日志。
（五）TCP SYN Flood（也称SYN洪水攻击） 攻击检测与防范处理流程
在泛洪攻击中，TCP SYN Flood攻击最难处理，对其检测与防范采用 TCP 代理联动机制和 Safe Reset 技术。
TCP SYN Flood 攻击是一种最常见的 DDoS 攻击方式，它利用 TCP 连接建立过程中的缺陷，通过发送大量伪造的 TCP 连接请求，使得被攻击方资源耗尽，从而无法处 理正常客户请求。其攻击实现简单，但难于检测。这是因为攻击流量和正常流量是相互混杂的，难以正确区分，攻击流量没有固定的特征，无法通过特征库方式识别。 通常把 TCP 连接建立的过程称为“TCP 三次握手”，其具体步骤可简洁地概括为：（1）客户向服务器发送SYN 报文；（2）服务器向客户返回 SYN ACK 报文；（3）客户再次向服务器返回 ACK 报文。
TCP 连接建立过程中，客户和服务器各自为当前的连接分配资源。在上述三次握手过程中，服务器收到客户发送的 SYN 报文段后，即第一次握手完 成后，服务器会为即将建立的 TCP 连接分配 TCB 资源。TCB（TCP control block，TCP 控制块）包含了 TCP 为各连接维护的所有结点信息，包括两个方向的序号、窗口大小、 重传次数等信息。每个 TCP连接都需要维护一个 TCB，每个 TCB 需要占用 140 字节存储空间。此时的 TCP 连接没有完全建立，称为半开连接。这种半开连接仅在服务器收到客户的 ACK 应答报文或连接超时后才断开，而客户端在收到 SYN ACK 报文之后才会分配 TCB 资源，因此这种不对称的资源分配模式会被攻击者利用，形成 TCP SYN Flood 攻击。
如图6所示，攻击者使用一个并不存在的源 IP 地址向目标服务器发起连接， 该服务器回应 SYN ACK 消息作为响应，由于应答消息的目的地址并不是攻击者的实 际地址，所以这个地址将无法对服务器进行响应。因此，TCP 握手的最后一个步骤将永远不可能发生，该连接就一直处于半开状态直到连接超时后被释放。如果攻击者用快于服务器 TCP连接超时的速度，连续对目标服务器开放的端口发送 SYN 报文，服 务器的所有 TCB 资源都将被消耗，以至于不能再接受其他客户端的正常连接请求。
传统的针对 TCP SYN Flood 攻击的防范主要是基于新建连接速率和半开连接数限制的流量异常检测，当源主机对目的主机发起的 TCP 连接速率或建立的半开连接数 超过一定阈值后，防火墙将会阻断后续流量。但这种方法的缺点是无法区分攻击流量和正常流量，一旦检测到 TCP SYN Flood 攻击，后续的所有的 TCP 报文将被丢弃，使服务器无法响应正常用户的连接请求。
TCP代理机制解决了上述问题。客户端通过TCP代理请求与受保护的服务器建 立连接时，TCP代理首先验证客户端的请求是否为TCP SYN Flood攻击。验证通过后，客户端和服务器之间才能建立 TCP 连接，从而避免服务器受到攻击。
常见的实现 TCP 代理的方式是 SYN Cookie 技术。它改变了资源分配的策略，通过检查 TCP 连接的合法性，在为服务器过滤掉恶意连接报文的同时保证了常规业务的正常运行。
SYN Cookie 技术的原理及其详细处理过程已是现有技术，不再赘述。
然而在实际应用中，SYN Cookie 技术具有一定限制。由于 SYN Cookie 技术最终是依靠防火墙对客户端与服务器之间的所有连接报文进行代理实现的，因此要求防火墙设备必须部署在所保护的服务器入口和出口的关键路径上，保证所有客户端向服务器发送的报文以及服务器向客户端回应的报文都需要经过该设备。但是在实际的组网环境中，服务器回应客户端的报文可能并不经过防火墙。此时，SYN Cookie 技术就无法正常生效了。
为此，本发明采用经过改进的Safe Reset技术，同样基于TCP代理机制，实现TCPSYN Flood攻击检测与防范。
Safe Reset 技术是防火墙通过对正常 TCP 连接进行干预来识别合法客户端的一种技术。防火墙对 TCP 建立连接的协商报文进行处理，修改应答报文的确认序号并使其携带认证信息（称之为 Cookie），再通过验证客户回应的协商报文中携带的信息来进行报文有效性确认。
防火墙在利用 Safe Reset 技术认证 TCP 连接的过程中，对合法客户的报文进行正常转发，对虚假客户以及简单模拟 TCP 协议栈的非法客户发起的新建连接报文进行丢弃，这样服务器就不会为虚假或非法客户发起的 SYN 报文分配连接资源，从而避免遭受TCP SYN Flood 攻击。
Safe Reset技术的原理及其详细处理过程同样已是现有技术，不再赘述。
本发明为进一步提升应用 Safe Reset 技术后的网络通信性能，采用流量异常检测结合TCP代理联动机制的方法，实现对 TCP SYN Flood 攻击的防范。流量异常检测包括两种方式：半开连接数检测和新建连接速率检测。
当恶意客户端向目标服务器发起 TCP SYN Flood 攻击时，如果恶意客户端采用了仿冒的源 IP 地址，那么在目标服务器上会存在大量半开连接。同时，当恶意客户向目标服务器发起 TCP SYN Flood 攻击时，不管恶意客户采用仿冒源 IP 地址的手段 还是使用真实的 IP 地址，其呈现的结果就是发往服务器的报文会在短时间内大量增加。因此，当受保护机器的半开连接数或新建连接速率超过一定阈值时，则可认为该机器受到了 TCP SYNFlood 攻击。
TCP 代理联动机制的处理流程如图7所示。攻击检测子模块接收到外部（防火墙）的报文管理模块传递的安全区域上出方向的 TCP SYN 报文后，通过调用外部（防火墙）的会话管理模块提供的接口查询目的 IP 地址的半开连接数和新建连接速率，若超过阈值则检测为 TCP SYN Flood 攻击。检测到攻击后，如果启用了 TCP 代理，则将目的 IP 添加到TCP 代理子模块的受保护 IP 地址列表，否则根据当前配置的策略返回报文处理结果为丢弃或放行，最后通过调用外部的日志管理模块提供的接口输出告警日志。
目的 IP 地址添加到受保护 IP 地址列表后，TCP 代理子模块应用 Safe Reset技术对其实施保护，在不影响正常流量的同时拦截攻击流量，实现 TCP SYN Flood 攻击防范。
Safe Reset 技术的具体实现主要完成以下处理：接收到客户发送给服务器的SYN报文时，根据报文信息生成一个 Cookie 值，并将此值作为确认序号写入 SYN ACK 报文，返回给客户。如果接收到客户发送的 RST 报文，验证其序号字段携带的 Cookie 值是否合法，如果合法则将本次连接记为可信连接，否则记为不可信连接。
接收到 SYN 报文的处理流程如下：
（1）解析并提取报文四元组（源 IP 地址，目的 IP 地址，源端口，目的端口）；
（2）查询已通过验证的四元组记录，判断 SYN 报文是否可信；
（3）如果 SYN 报文可信，则继续转发，否则构造错误的 SYN ACK 报文并发送。 其中，构造 SYN ACK 报文的方法为，修改 SYN 报文的字段，将其转换为 SYN ACK报文。具体操作是，对于 SYN 报文，交换其源 IP 和目的 IP，交换其源端口和目的端口，将 TCP 标志中的SYN 标志位和 ACK 标志位置位，计算 Cookie 值，将确认序号 设置为 Cookie 值，最后调整校验和。这样便构造好了用于返回给客户的 SYN ACK 报 文。其中计算 Cookie 值的计算方法如下：
其中 Hash 是一个散列函数，将输入的四元组生成一个散列值。将当前***时间 作为时间戳添加到 Cookie 值中，以便后续的连接合法性验证。
接收到 RST 报文的处理流程如下：
（1）解析并提取报文四元组（源 IP 地址，目的 IP 地址，源端口，目的端口）；
（2）验证报文的序号是否合法。正确的序号应为接收到 SYN 报文时计算的 Cookie值加 1。
（3）如果验证合法，则认为是可信连接，将四元组添加到记录中，否则停止转发报文。
其中，验证序号是否合法的方法为，从 Cookie 值计算出在此之前添加的时间戳，用当前***时间与之前的***时间相减，求得一个时间间隔，若此时间间隔在一定的 范围之内，则认为是合法的确认序号，若时间间隔超过了一定的范围，则认为是非法的确认序号。求得时间间隔的计算方法如下：
式（4.1）与式（4.2）中的Hash是同一个散列函数。Hash函数可以有多种定义方式，在此不必详述。

Claims (3)

1.一种防火墙攻击防御方法，其特征在于：
所述防御方法由配置攻击防范策略的方法、单包攻击检测与防范方法、扫描攻击检测与防范方法、泛洪攻击检测与防范方法、SYN洪水攻击检测与防范方法组成；
配置攻击防范策略的方法包括以下步骤：
接收到配置消息；
对配置消息进行解析并提取配置参数，同时对配置参数进行合法性检查；
对于不合法的配置显示错误提示信息，对于合法的配置，使新配置的策略应用生效；
单包攻击检测与防范方法包括以下步骤：
接收报文；
根据当前配置的策略检查报文字段，判断报文的合法性；
检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；
输出告警日志；
扫描攻击检测与防范方法包括以下步骤：
接收到报文；
查询源 IP 地址的新建连接速率，判断是否超过阈值；
检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；
将攻击者 IP 地址列入黑名单；
输出告警日志；
泛洪攻击检测与防范包括以下步骤：
接收报文；
查询目的 IP 地址的新建连接速率，判断是否超过阈值；
检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；
接口输出告警日志；
SYN洪水攻击检测与防范方法包括以下步骤：
接收TCP SYN报文；
查询目的 IP 地址的半开连接数和新建连接速率，若超过阈值则检测为 SYN 洪水攻击；
检测到攻击后，如果启用了 TCP 代理，则将目的 IP 添加到受保护 IP 地址列表，否则根据当前配置的策略返回报文处理结果为丢弃或放行；
输出告警日志。
2.根据权利要求1所述的攻击防御方法，其特征在于：
所述SYN洪水攻击检测与防范方法中，目的 IP 地址添加到受保护 IP 地址列表后，应用 Safe Reset 技术实施保护，在不影响正常流量的同时拦截攻击流量，实现SYN洪水攻击防范。
3.根据权利要求1所述的攻击防御方法，其特征在于：
通过将一攻击防范模块应用于防火墙实现攻击防范策略配置处理，以及各种网络攻击的检测并通过调用防火墙的功能模块接口采取相应的攻击防范措施，所述防火墙具备安全区域管理、配置管理、报文管理、黑名单管理、策略管理、日志管理和会话管理功能模块，所述攻击防范模块包括配置处理子模块、攻击检测子模块和TCP 代理子模块。
CN201810024379.8A 2018-01-11 2018-01-11 一种防火墙攻击防御方法 Pending CN109327426A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810024379.8A CN109327426A (zh) 2018-01-11 2018-01-11 一种防火墙攻击防御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810024379.8A CN109327426A (zh) 2018-01-11 2018-01-11 一种防火墙攻击防御方法

Publications (1)

Publication Number Publication Date
CN109327426A true CN109327426A (zh) 2019-02-12

Family

ID=65263078

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810024379.8A Pending CN109327426A (zh) 2018-01-11 2018-01-11 一种防火墙攻击防御方法

Country Status (1)

Country Link
CN (1) CN109327426A (zh)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109962918A (zh) * 2019-03-28 2019-07-02 烽火通信科技股份有限公司 一种防御攻击报文的方法、***及设备
CN110071939A (zh) * 2019-05-05 2019-07-30 江苏亨通工控安全研究院有限公司 针对传统ddos防火墙syn flood防护在工业网络中的改进方法
CN110120956A (zh) * 2019-05-28 2019-08-13 杭州迪普科技股份有限公司 基于虚拟防火墙的报文处理方法和装置
CN110532753A (zh) * 2019-07-01 2019-12-03 武汉船舶通信研究所（中国船舶重工集团公司第七二二研究所） 列车运行监控记录装置业务数据流的安全防护方法及设备
CN111181850A (zh) * 2019-08-12 2020-05-19 腾讯科技（深圳）有限公司 数据包泛洪抑制方法、装置和设备及计算机存储介质
CN111698214A (zh) * 2020-05-15 2020-09-22 平安科技（深圳）有限公司 网络攻击的安全处理方法、装置及计算机设备
CN111970308A (zh) * 2020-09-03 2020-11-20 杭州安恒信息技术股份有限公司 一种防护SYN Flood攻击的方法、装置及设备
CN112242934A (zh) * 2019-07-16 2021-01-19 北京华耀科技有限公司 一种tcp连接的rtt计算方法
CN112804220A (zh) * 2020-12-31 2021-05-14 北京天融信网络安全技术有限公司 一种防火墙测试方法、装置、电子设备及存储介质
CN113810398A (zh) * 2021-09-09 2021-12-17 新华三信息安全技术有限公司 一种攻击防护方法、装置、设备及存储介质
CN114157460A (zh) * 2021-11-15 2022-03-08 道和邦(广州)电子信息科技有限公司 SMG-VME-aDDoS基于VME-TCP-IP反DDoS攻击防御***
CN114268458A (zh) * 2021-11-23 2022-04-01 贵州电网有限责任公司 一种终端公网安全通信用安全防护模块的防护方法
CN114584338A (zh) * 2021-12-31 2022-06-03 网络通信与安全紫金山实验室 基于Nftables的白盒交换机安全防护方法、装置及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101123492A (zh) * 2007-09-06 2008-02-13 杭州华三通信技术有限公司 检测扫描攻击的方法和设备
CN102291441A (zh) * 2011-08-02 2011-12-21 杭州迪普科技有限公司 一种防范SYN Flood攻击的方法及安全代理装置
CN104468624A (zh) * 2014-12-22 2015-03-25 上海斐讯数据通信技术有限公司 Sdn控制器、路由/交换设备及网络防御方法
CN104519030A (zh) * 2013-09-30 2015-04-15 西门子公司 一种用于安全性检测的方法和装置
CN105207997A (zh) * 2015-08-19 2015-12-30 北京星网锐捷网络技术有限公司 一种防攻击的报文转发方法和***
CN107438074A (zh) * 2017-08-08 2017-12-05 北京神州绿盟信息安全科技股份有限公司 一种DDoS攻击的防护方法及装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101123492A (zh) * 2007-09-06 2008-02-13 杭州华三通信技术有限公司 检测扫描攻击的方法和设备
CN102291441A (zh) * 2011-08-02 2011-12-21 杭州迪普科技有限公司 一种防范SYN Flood攻击的方法及安全代理装置
CN104519030A (zh) * 2013-09-30 2015-04-15 西门子公司 一种用于安全性检测的方法和装置
CN104468624A (zh) * 2014-12-22 2015-03-25 上海斐讯数据通信技术有限公司 Sdn控制器、路由/交换设备及网络防御方法
CN105207997A (zh) * 2015-08-19 2015-12-30 北京星网锐捷网络技术有限公司 一种防攻击的报文转发方法和***
CN107438074A (zh) * 2017-08-08 2017-12-05 北京神州绿盟信息安全科技股份有限公司 一种DDoS攻击的防护方法及装置

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109962918A (zh) * 2019-03-28 2019-07-02 烽火通信科技股份有限公司 一种防御攻击报文的方法、***及设备
CN110071939A (zh) * 2019-05-05 2019-07-30 江苏亨通工控安全研究院有限公司 针对传统ddos防火墙syn flood防护在工业网络中的改进方法
CN110071939B (zh) * 2019-05-05 2021-06-29 江苏亨通工控安全研究院有限公司 针对传统ddos防火墙syn flood防护在工业网络中的改进方法
CN110120956A (zh) * 2019-05-28 2019-08-13 杭州迪普科技股份有限公司 基于虚拟防火墙的报文处理方法和装置
CN110120956B (zh) * 2019-05-28 2021-06-29 杭州迪普科技股份有限公司 基于虚拟防火墙的报文处理方法和装置
CN110532753A (zh) * 2019-07-01 2019-12-03 武汉船舶通信研究所（中国船舶重工集团公司第七二二研究所） 列车运行监控记录装置业务数据流的安全防护方法及设备
CN112242934A (zh) * 2019-07-16 2021-01-19 北京华耀科技有限公司 一种tcp连接的rtt计算方法
CN112242934B (zh) * 2019-07-16 2022-10-11 北京华耀科技有限公司 一种tcp连接的rtt计算方法
CN111181850B (zh) * 2019-08-12 2022-03-11 腾讯科技（深圳）有限公司 数据包泛洪抑制方法、装置和设备及计算机存储介质
CN111181850A (zh) * 2019-08-12 2020-05-19 腾讯科技（深圳）有限公司 数据包泛洪抑制方法、装置和设备及计算机存储介质
CN111698214A (zh) * 2020-05-15 2020-09-22 平安科技（深圳）有限公司 网络攻击的安全处理方法、装置及计算机设备
CN111970308A (zh) * 2020-09-03 2020-11-20 杭州安恒信息技术股份有限公司 一种防护SYN Flood攻击的方法、装置及设备
CN112804220A (zh) * 2020-12-31 2021-05-14 北京天融信网络安全技术有限公司 一种防火墙测试方法、装置、电子设备及存储介质
CN113810398A (zh) * 2021-09-09 2021-12-17 新华三信息安全技术有限公司 一种攻击防护方法、装置、设备及存储介质
CN113810398B (zh) * 2021-09-09 2023-09-26 新华三信息安全技术有限公司 一种攻击防护方法、装置、设备及存储介质
CN114157460A (zh) * 2021-11-15 2022-03-08 道和邦(广州)电子信息科技有限公司 SMG-VME-aDDoS基于VME-TCP-IP反DDoS攻击防御***
CN114268458A (zh) * 2021-11-23 2022-04-01 贵州电网有限责任公司 一种终端公网安全通信用安全防护模块的防护方法
CN114584338A (zh) * 2021-12-31 2022-06-03 网络通信与安全紫金山实验室 基于Nftables的白盒交换机安全防护方法、装置及存储介质
CN114584338B (zh) * 2021-12-31 2024-03-26 网络通信与安全紫金山实验室 基于Nftables的白盒交换机安全防护方法、装置及存储介质

Similar Documents

Publication Publication Date Title
CN109327426A (zh) 一种防火墙攻击防御方法
Dayal et al. Research trends in security and DDoS in SDN
Jin et al. Hop-count filtering: an effective defense against spoofed DDoS traffic
US7478429B2 (en) Network overload detection and mitigation system and method
Abliz Internet denial of service attacks and defense mechanisms
Gu et al. Denial of service attacks
Anderson et al. Preventing Internet denial-of-service with capabilities
Prasad et al. An efficient detection of flooding attacks to Internet Threat Monitors (ITM) using entropy variations under low traffic
US7398317B2 (en) Thwarting connection-based denial of service attacks
US7043759B2 (en) Architecture to thwart denial of service attacks
US7836498B2 (en) Device to protect victim sites during denial of service attacks
Gupta et al. Defending against distributed denial of service attacks: issues and challenges
US20020032880A1 (en) Monitoring network traffic denial of service attacks
US20020032774A1 (en) Thwarting source address spoofing-based denial of service attacks
US20060256729A1 (en) Method and apparatus for identifying and disabling worms in communication networks
van Oorschot et al. Intrusion detection and network-based attacks
Amiri et al. Theoretical and experimental methods for defending against DDoS attacks
US20060225141A1 (en) Unauthorized access searching method and device
Djalaliev et al. Sentinel: hardware-accelerated mitigation of bot-based DDoS attacks
Khirwadkar Defense against network attacks using game theory
Mopari et al. Detection of DDoS attack and defense against IP spoofing
Park et al. An effective defense mechanism against DoS/DDoS attacks in flow-based routers
Aroua et al. A distributed and coordinated massive DDOS attack detection and response approach
Bojjagani et al. Early DDoS Detection and Prevention with Traced-Back Blocking in SDN Environment.
Peng Defending against distributed denial of service attacks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20190212

WD01 Invention patent application deemed withdrawn after publication