用于抵御分布式拒绝服务（DDoS）攻击的基于行为的业务区分

摘要

实施例涉及用于基于行为的业务区分(BTD)的方法，该方法最初接收进入的包并且执行业务分类以确定进入的包的协议。另外，BTD执行带宽分割/分配以进一步支持在诸如UDP和ICMP之类的非TCP业务类型当中进行业务分类。对于TCP业务，用于BTD的方法确定TCP连接是否已被建立，并且当TCP连接尚未被建立时，执行以下中的至少一种：速率限制、用于半开连接的等待时间减少以及增加后备队列长度。如果TCP连接已被成功建立，则用于BTD的方法进一步包括用于业务区分的抢先测试，所述业务区分识别被接纳的正常业务和被丢弃的攻击业务。

主权项

一种用于基于行为的业务区分的方法，包括：检查第一进入的包以确定其是否与已被接纳的TCP连接相关联；响应于确定所述第一进入的包与已被接纳的TCP连接相关联，基于与所述TCP连接相关联的测试概率，确定所述TCP连接是否将要被测试以确定所述TCP连接代表攻击流还是良性流；响应于确定所述TCP连接将要被测试，测试所述TCP连接以确定所述TCP连接代表攻击流还是良性流，所述测试包括：延迟向所述TCP连接的源传输所述第一进入的包的确认；以及基于与所述TCP连接相关联的至少一个其他进入的包，确定所述TCP连接的所述源是否响应于所述延迟而调整其传输速率；以及如果所述TCP连接的所述源响应于所述延迟而调整其传输速率，则接纳所述第一进入的包。