一种DDoS检测方法及检测装置制造方法及图纸

本发明专利技术公开了一种DDoS检测方法，其中，包括：根据源地址聚簇算法统计每条流量中具有相同源IP的平均特征量

A DDoS detection method and detection device

The present invention discloses a DDoS detection method, including: according to the source address clustering algorithm, the average eigenvalue of the same source IP in each traffic is counted.

【技术实现步骤摘要】
一种DDoS检测方法及检测装置
本专利技术涉及网络安全
，尤其涉及一种DDoS检测方法及一种DDoS检测装置。
技术介绍
据网络安全权威机构调查研究表明，DDoS(DistributedDenialofService，分布式拒绝服务)攻击对网络的危害程度非常之大，在全球范围内，造成数以百亿美金的损失，所以对DDoS攻击进行防御意义重大。目前，针对DDoS攻击检测，主流办法是从网络流数据中提取需要的流量特征参数，通过分析流量特征参数，确定异常时间点，并构建历史时间窗，然后找出异常时间点流量最大的前N个目的IP，通过分析历史时间窗内包含各选出目的IP的子流，最后确认攻击并识别出异常流。现有技术中的检测步骤如下：1.从网络设备中获取网络中的流数据，从流数据中提取流量特征参数；2.对步骤1提取的流量特征参数进行处理，确定异常时间节点，根据异常时间点进行扩展，形成历史时间窗；3.找出异常时间点流量最大的前N个目的IP，对找出的每一目的IP，根据流量特征参数在异常时间点的变化与其在历史时间窗内的波动之比是否超过训练得到的阈值来判断该目的IP是否为异常目的IP；4.找出异常目的IP在历史时间窗口内对应的源IP地址并统计这些源IP到该目的IP的流量大小，若某个源IP到该目的IP的流量变化高于阈值，则标记为疑似DoS(DenialofService，拒绝服务)攻击，若存在多个源IP到该目的IP的流量变化高于给定阈值，则标记为疑似DDoS攻击。现有技术中的这种检测方法能检测出DDoS攻击，针对一段时间内的流量进行分析，但由于特征量太少，所以精确度不够，比较粗糙。因此，如何能够提高DDoS攻击的检测精度成为本领域技术人员亟待解决的技术问题。
技术实现思路
本专利技术旨在至少解决现有技术中存在的技术问题之一，提供一种DDoS检测方法及一种DDoS检测装置，以解决现有技术中的问题。作为本专利技术的第一个方面，提供一种DDoS检测方法，其中，针对混合的多条流量，所述DDoS检测方法包括：根据源地址聚簇算法统计每条流量中具有相同源IP的平均特征量fi，其中，fi表示第i条流量中具有相同源IP的平均特征量，ωi表示第i条流量的平均字节数，表示第i条流量的平均包数目，τi表示第i条流量中平均包间隔时间，i表示流量的条数，i为大于或者等于1的自然数；将具有相同源IP的平均特征量与标准特征量进行比较，根据比较结果将流量进行分组，得到多个分别具有不同数目流量的特征预分组；将多个特征预分组的各个特征预分组的流量数目比例与参考特征分组的各个特征分组的流量数目比例进行比较，得到流量数目比例差值；判断所述流量数目比例差值与设定阈值的大小；若所述流量数目比例差值大于所述设定阈值，则判定多个特征预分组所对应的流量为异常流量。优选地，所述标准特征量为：其中，O表示标准特征量，Oω表示平均字节数的标准特征量，表示平均包数目的标准特征量，Oτ表示平均包间隔时间的标准特征量。优选地，所述标准特征量通过经验值获得。优选地，所述将具有相同源IP的平均特征量与标准特征量进行比较，根据比较结果将流量进行分组，得到多个分别具有不同数目流量的特征预分组包括：将具有相同源IP的平均特征量中的平均字节数与平均字节数的标准特征量比较；根据比较结果，将相同源IP的平均特征量中的平均字节数大于平均字节数的标准特征量的流量分为平均字节数一组，将相同源IP的平均特征量中的平均字节数小于或者等于平均字节数的标准特征量的流量分为平均字节数二组；将所述平均字节数一组和所述平均字节数二组中的流量分别根据相同源IP的平均特征量中的平均包数目与平均包数目的标准特征量进行比较后分为平均包数目一组、平均包数目二组、平均包数目三组和平均包数目四组；将所述平均包数目一组、平均包数目二组、平均包数目三组和平均包数目四组的流量分别根据相同源IP的平均特征量中的平均包间隔时间与平均包间隔时间的标准特征量进行比较后得到8个特征预分组，分别为特征预分组G0、特征预分组G1、特征预分组G2、特征预分组G3、特征预分组G4、特征预分组G5、特征预分组G6和特征预分组G7，每个特征预分组中的流量数目与其他特征预分组中的不同。优选地，所述参考特征分组根据对正常流量的预学习获得。应当理解的是，所述特征预分组的数量不限于8组，根据需求还可以是16组、32组等等。作为本专利技术的第二个方面，提供一种DDoS检测装置，其中，针对混合的多条流量，所述DDoS检测装置包括：统计模块，所述统计模块用于根据源地址聚簇算法统计每条流量中具有相同源IP的平均特征量fi，其中，fi表示第i条流量中具有相同源IP的平均特征量，ωi表示第i条流量的平均字节数，表示第i条流量的平均包数目，τi表示第i条流量中平均包间隔时间，i表示流量的条数，i为大于或者等于1的自然数；分组模块，所述分组模块用于将具有相同源IP的平均特征量与标准特征量进行比较，根据比较结果将流量进行分组，得到多个分别具有不同数目流量的特征预分组；比较模块，所述比较模块用于将多个特征预分组的各个特征预分组的流量数目比例与参考特征分组的各个特征分组的流量数目比例进行比较，得到流量数目比例差值；判断模块，所述判断模块用于判断所述流量数目比例差值与设定阈值的大小；判定模块，所述判定模块用于若所述流量数目比例差值大于所述设定阈值，则判定多个特征预分组所对应的流量为异常流量。本专利技术提供的DDoS检测方法，通过采用分类算法统计多个特征量，然后根据多个特征量进行分组，对每个组中的流量数目比例与参考特征分组中的流量特征比例进行比较，判断是否存在异常流量，这种DDoS检测方法将流量特征值的个数进行扩展，提高了检测精度。附图说明附图是用来提供对本专利技术的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本专利技术，但并不构成对本专利技术的限制。在附图中：图1为本专利技术提供的DDoS检测方法的流程图。图2为本专利技术提供的具有不同数目流量的特征预分组示意图。图3为本专利技术提供的DDoS检测的结构示意图。具体实施方式以下结合附图对本专利技术的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本专利技术，并不用于限制本专利技术。作为本专利技术的第一个方面，提供一种DDoS检测方法，其中，针对混合的多条流量，如图1所示，所述DDoS检测方法包括：S110、根据源地址聚簇算法统计每条流量中具有相同源IP的平均特征量fi，其中，fi表示第i条流量中具有相同源IP的平均特征量，ωi表示第i条流量的平均字节数，表示第i条流量的平均包数目，τi表示第i条流量中平均包间隔时间，i表示流量的条数，i为大于或者等于1的自然数；S120、将具有相同源IP的平均特征量与标准特征量进行比较，根据比较结果将流量进行分组，得到多个分别具有不同数目流量的特征预分组；S130、将多个特征预分组的各个特征预分组的流量数目比例与参考特征分组的各个特征分组的流量数目比例进行比较，得到流量数目比例差值；S140、判断所述流量数目比例差值与设定阈值的大小；S150、若所述流量数目比例差值大于所述设定阈值，则判定多个特征预分组所对应的流量为异常流量。本专利技术提供的DDoS检测方法，通过采用分类算法统计多个特征量，然后根据多个特征量进行分组，对本文档来自技高网...

【技术保护点】
一种DDoS检测方法，其特征在于，针对混合的多条流量，所述DDoS检测方法包括：根据源地址聚簇算法统计每条流量中具有相同源IP的平均特征量fi，

【技术特征摘要】
1.一种DDoS检测方法，其特征在于，针对混合的多条流量，所述DDoS检测方法包括：根据源地址聚簇算法统计每条流量中具有相同源IP的平均特征量fi，其中，fi表示第i条流量中具有相同源IP的平均特征量，ωi表示第i条流量的平均字节数，表示第i条流量的平均包数目，τi表示第i条流量中平均包间隔时间，i表示流量的条数，i为大于或者等于1的自然数；将具有相同源IP的平均特征量与标准特征量进行比较，根据比较结果将流量进行分组，得到多个分别具有不同数目流量的特征预分组；将多个特征预分组的各个特征预分组的流量数目比例与参考特征分组的各个特征分组的流量数目比例进行比较，得到流量数目比例差值；判断所述流量数目比例差值与设定阈值的大小；若所述流量数目比例差值大于所述设定阈值，则判定多个特征预分组所对应的流量为异常流量。2.根据权利要求1所述的DDoS检测方法，其特征在于，所述标准特征量为：其中，O表示标准特征量，Oω表示平均字节数的标准特征量，表示平均包数目的标准特征量，Oτ表示平均包间隔时间的标准特征量。3.根据权利要求2所述的DDoS检测方法，其特征在于，所述标准特征量通过经验值获得。4.根据权利要求2所述的DDoS检测方法，其特征在于，所述将具有相同源IP的平均特征量与标准特征量进行比较，根据比较结果将流量进行分组，得到多个分别具有不同数目流量的特征预分组包括：将具有相同源IP的平均特征量中的平均字节数与平均字节数的标准特征量比较；根据比较结果，将相同源IP的平均特征量中的平均字节数大于平均字节数的标准特征量的流量分为平均字节数一组，将相同源IP的平均特征量中的平均字节数小于或者等于平均字节数的标准特征量的流量分为平均字节数二组；将所述平均字节数一组和所述平均字节...

【专利技术属性】
技术研发人员：郑佳伟，赵旦谱，台宪青，
申请(专利权)人：江苏物联网研究发展中心，
类型：发明
国别省市：江苏,32