一种DDoS检测方法、装置及设备制造方法及图纸

本申请实施例提供了一种DDoS检测方法、装置及设备，包括：在多个数据包中选取多个特征项，特征项为检测DDoS的特征；将多个特征项进行组合，确定联合特征项；根据联合特征项确定初始中心点，将初始中心点作为聚类算法的初始聚类中心；对数据包进行聚类，确定聚类结果，以便于确定DDoS对应的数据包。在本申请中，采用初始中心点作为聚类算法的初始聚类中心的选择方法，降低聚类算法收敛时间，提高检测速度，适用于少量标记样本、大量无标记待测数据集的DDoS检测场景，在提高检测率的同时，降低误报率。

【技术实现步骤摘要】
一种DDoS检测方法、装置及设备
本专利技术属于数据网络
，尤其涉及一种关于分布式拒绝服务攻击DDoS检测方法、装置、设备和计算机存储介质。
技术介绍
在各种安全威胁中，分布式拒绝服务(DistributedDenialofService，DDoS)攻击威胁呈现持续增长的态势。DDoS攻击是通过大量傀儡主机消耗目标主机的资源，阻止目标主机为合法用户提供正常服务。DDoS攻击具有易于实施、隐蔽性强、追踪困难和破坏力大的特点，对网络安全带来了极大的威胁。随着DDoS攻击力度不断增大，攻击方式不断更新，物联网领域及移动设备端的DDoS攻击也开始初露头角。目前，DDoS攻击中最常见的攻击方式是TCPFlood、UDPFlood、ICMPFlood攻击，其在带宽消耗攻击和系统资源消耗攻击中都有体现，极具典型性。针对这些攻击，对策大多为设置诸如RandomDrop、SYNCookie、带宽限制等防护方法，只能缓解DDoS攻击并不能真正解决DDoS攻击。其中，最关键的问题就是在于如何快速有效地区分正常流量和异常攻击流量。但是，现有的方法仅采用单本文档来自技高网...

【技术保护点】
1.一种DDoS检测方法，其特征在于，包括：/n在多个数据包中选取多个特征项，所述特征项为检测DDoS的特征；/n将所述多个特征项进行组合，确定联合特征项；/n根据所述联合特征项确定初始中心点，将所述初始中心点作为聚类算法的初始聚类中心；/n对所述数据包进行聚类，确定聚类结果，以便于确定所述DDoS对应的数据包。/n

【技术特征摘要】
1.一种DDoS检测方法，其特征在于，包括：
在多个数据包中选取多个特征项，所述特征项为检测DDoS的特征；
将所述多个特征项进行组合，确定联合特征项；
根据所述联合特征项确定初始中心点，将所述初始中心点作为聚类算法的初始聚类中心；
对所述数据包进行聚类，确定聚类结果，以便于确定所述DDoS对应的数据包。


2.根据权利要求1所述的方法，其特征在于，所述特征项包括下述中的至少一种：源IP熵、目的IP熵、源端口熵、目的端口熵、单边连接密度值、第一条件熵、第二条件熵、第三条件熵。


3.根据权利要求1或2所述的方法，其特征在于，所述将所述多个特征项进行组合，确定联合特征项，包括：
将所述多个特征项进行组合；
对经过组合的所述多个特征项进行DDoS检测计算，确定多个所述DDoS的检测率；
根据多个所述DDoS的检测率，确定联合特征项。


4.根据权利要求3所述的方法，其特征在于，所述对经过组合的所述多个特征项进行DDoS检测计算，确定多个所述DDoS的检测率，包括：
根据确定多个所述DDoS的检测率；
其中，TPR为所述DDoS的检测率，TP为正确的检测到所述DDoS的攻击数据包的数目，FN为漏检的所述DDoS的攻击数据包的数目。


5.根据权利要求3或4所述的方法，其特征在于，所述根据多个所述DDoS的检测率，确定联合特征项，包括：
在多个所述DDoS的检测率中，选取满足第一预设条件的DDoS的检测率；
将满足所述第一预设条件的检测率对应的多个特征项，设定为联合特征项。


6.根据权利要求1所述的方法，其特征在于，所述根据所述联合特征项确定初始中心点，包括：
利用梯度下降算法根据所述联合特征项，确定所述初始中心点。


7.根据权利要求6所述的方法，其特征在...

【专利技术属性】
技术研发人员：张扬，
申请(专利权)人：中国移动通信集团山西有限公司，中国移动通信集团有限公司，
类型：发明
国别省市：山西;14