用于检测TCP SYN洪水式攻击的统计方法

摘要

本发明涉及在位于LAN和一网络，例如互联网之间的路由器检测TCP SYN洪水式攻击的方法。这些方法依赖这样一种计数安排，即在一时间间隔内对路由器的LAN端和网络或互联网端计数SYN和FIN分组。加权因数用于每个计数值，LAN端计数值因数的极性与网络端计数值因数的极性相反。相同极性的加权因数总和的绝对值相等。根据利用加权因数结合各自计数值计算的参数确定异常不成功的连接尝试次数。

主权项

1. 一种在通信系统中位于LAN和一网络之间的路由器检测异常不成功的连接尝试次数的方法，该方法包括步骤：a)对于在预定时间间隔期间到达路由器LAN端的分组，保持SYN分组的计数值、SYN/ACK分组的计数值和FIN分组的计数值；b)对于在预定时间间隔期间到达路由器网络端的分组，保持SYN分组的计数值、SYN/ACK分组的计数值和FIN分组的计数值；c)使每个计数值乘以各自的加权因数，其中：i)步骤a)中与每个计数值相关的加权因数为正；ii)来自攻击方的任何不成功的连接的加权因数的总和为正；和iii)与一个方向的SYN和FIN分组有关的加权因数总和加上与另一个方向的SYN/ACK和FIN有关的加权因数总和为零；d)计算一参数，该参数等于步骤c)乘积的总和，该参数用于检测攻击；和e)响应在连续时间间隔内计算出的用于检测攻击的参数，确定出现异常不成功的连接尝试次数。