CN103856470B - 分布式拒绝服务攻击检测方法及检测装置 - Google Patents

Abstract

本发明提供了一种分布式拒绝服务攻击的检测方法，其包括步骤：统计单位时间内接收到的源IP地址或者目的IP地址的报文个数，比较所述报文个数和预置的阀值；当所述报文个数大于所述预置的阀值时，提取其中一个报文的指纹作为模版指纹；判断后续单位时间内接收到匹配所述模版指纹的源IP地址或者目的IP地址的报文个数是否大于所述阈值，如果是，则判断受到攻击，否则判断没有受到攻击。应用本发明能够在保证检测准确性的同时提高响应速度和检测性能。

Description

分布式拒绝服务攻击检测方法及检测装置

技术领域

本发明涉及通信技术领域，尤其涉及一种分布式拒绝服务攻击的检测方法及检测装置。

背景技术

现有通过网络对服务器进行远程攻击的方式中有一种为拒绝服务攻击(Denialof Service，简称DoS)，攻击者向服务器发送带有虚假地址的请求，服务器发送回复报文到虚假地址，然后服务器一直等待所需的回复报文。拒绝服务攻击会占据服务器过多的资源，从而使合法用户无法得到服务器的响应。由于服务器的处理能力通常较高，利用单个计算机进行DoS攻击往往无法达到预期的效果，因此出现了分布式拒绝服务攻击(DistributedDenial of Service，简称DDoS)。攻击者首先控制大量的傀儡计算机，并将其中一部分傀儡计算机设置为主控端，然后攻击者发送攻击指令给各个主控端，并由主控端将指令发送给所有的傀儡计算机，最后傀儡计算机对指定的服务器进行DoS攻击，从而造成服务器超载或者死机。

为了检测DDoS的攻击，现有检测DDoS攻击的方案主要有两种：

一种为：基于报文的源IP或者目的IP进行计数，如果计数超过了设定的阈值，那么就对后续的报文做丢弃处理；

另一种为：基于签名的检测，类似于对病毒和木马的检测，如果签名匹配的报文超过了设定的阈值，那么就对后续的报文做丢弃处理。

在上述两种检测DDoS攻击的方法中，至少存在如下问题：

第一种检测方法准确性较低，对正常报文的误伤概率很高；

第二种检测方法中，由于签名涉及到传输层以及之上的所有协议的重组，还有正则表达式的匹配，因此这种检测方法的响应速度较慢，检测性能较差。响应速度较慢意味着，攻击发生后，很长时间内业务都不能正常工作，损失非常大。而检测性能差的问题，导致必须增加投资成本，多购买防火墙设备，投资成本通常需要增加十倍以上。

发明内容

本发明要解决的技术问题是，针对上述缺陷，如何提供一种分布式拒绝服务攻击的检测方法及检测装置，其能够在保证检测准确性的同时提高响应速度和检测性能。

为解决上述技术问题，本发明提供了一种分布式拒绝服务攻击的检测方法，其包括步骤：

统计单位时间内接收到的源IP地址或者目的IP地址的报文个数，比较所述报文个数和预置的阈值；

当所述报文个数大于所述预置的阈值时，提取其中一个报文的指纹作为模版指纹；

判断后续单位时间内接收到匹配所述模版指纹的源IP地址或者目的IP地址的报文个数是否大于所述阈值，如果是，则判断受到攻击，否则判断没有受到攻击。

本发明还提供一种分布式拒绝服务攻击检测装置，其包括：

统计比较单元，用于统计单位时间内接收到的源IP地址或者目的IP地址的报文个数并比较所述报文个数和预置的阈值；

指纹提取单元，用于当所述报文个数大于所述预置的阈值时，提取其中一个报文的指纹作为模版指纹；

第一处理单元，用于判断后续单位时间内接收到匹配所述模版指纹的源IP地址或者目的IP地址的报文个数是否大于所述阈值，如果是，则判断受到攻击，否则判断没有受到攻击。

本发明通过提取报文指纹、匹配报文指纹保证了检测准确性，同时提高了响应速度和检测性能。

附图说明

图1是本发明实施例所述的分布式拒绝服务攻击的检测方法的流程图；

图2是本发明实施例所述的报文的指纹的结构示意图；

图3是本发明一个实施方式中分布式拒绝服务攻击检测装置的结构示意图；

图4是本发明另一个实施方式中分布式拒绝服务攻击检测装置的结构示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细说明。以下实施例用于说明本发明，但不用来限制本发明的范围。

参见图1，本发明提供了一种分布式拒绝服务攻击的检测方法，包括步骤：

统计单位时间内接收到的源IP地址或者目的IP地址的报文个数，比较所述报文个数和预置的阈值(S1)；优选地，所述单位时间为1秒。

当所述报文个数大于所述预置的阈值时，提取其中一个报文的指纹作为模版指纹(S2)；

判断后续单位时间内接收到匹配所述模版指纹的源IP地址或者目的IP地址的报文个数是否大于所述阈值(S3)，如果是，则判断受到攻击，否则判断没有受到攻击。

优选的，当判断受到攻击时，丢弃单位时间内超过所述阈值的后续报文。也可在当判断受到攻击时，丢弃单位时间内接收到的所有匹配所述模版指纹的源IP地址或者目的IP地址的报文。

优选的，当判断没有受到攻击时，判断连续数个单位时间内接收到匹配所述模版指纹的具有相同源IP地址或者目的IP地址的报文个数是否均未超过所述阈值，如果均未超过所述阈值，则删除所述模版指纹，并将下一个报文的指纹作为模版指纹。

其中，作为模版指纹的指纹个数是可配置的，一般不超过十个。

可选的，通过指纹学习的方式提取所述一个报文的指纹，当然报文的指纹也可以是通过手动下发，不一定必须通过学习(包括自动学习)的方式。

一般来说，报文的指纹由报文的特征数据组成，可选的，所述指纹由所述报文数据段中若干个特征数据段构成。通常是数据段开始偏移多少位的几个字节，数据段末尾偏移多少位几个字节。可以根据实际需要，设置偏移位和取多少个字节以及数据段的个数，如图2所示，报文的指纹由三个特征数据段组成。

本发明还提供一种分布式拒绝服务攻击检测装置，如图3所示，其包括：

统计比较单元(100)，用于统计单位时间内接收到的源IP地址或者目的IP地址的报文个数并比较所述报文个数和预置的阈值；

指纹提取单元(200)，用于当所述报文个数大于所述预置的阈值时，提取其中一个报文的指纹作为模版指纹；

第一处理单元(300)，用于判断后续单位时间内接收到匹配所述模版指纹的源IP地址或者目的IP地址的报文个数是否大于所述阈值，如果是，则判断受到攻击，否则判断没有受到攻击。

可选的，所述第一处理单元还用于当判断受到攻击时丢弃该单位时间内接收到的所有匹配所述模版指纹的源IP地址或者目的IP地址的报文。

可选的，所述第一处理单元还用于当判断受到攻击时丢弃单位时间内超过所述阈值的后续报文。

可选的，如图4所示，所述装置还包括第二处理单元(400)，用于：当判断没有受到攻击时判断连续数个单位时间内接收到匹配所述模版指纹的具有相同源IP地址或者目的IP地址的报文个数是否均未超过所述阈值，如果均未超过所述阈值，则删除所述模版指纹，并向所述指纹提取单元发出指令以提取下一个报文的指纹作为模版指纹。

综上所述，利用本发明所述的分布式拒绝服务攻击的检测方法及检测装置，通过提取报文指纹以及匹配报文指纹，能够在保证检测准确性的同时提高响应速度和检测性能。具体来说，相对于现有技术中的第一种方案，很大程度上提高了检测的准确性，相比于现有技术中的第二种方案，性能提高了一个等级，而且减少了设备采购数量、降低了投资成本，同时通过自动学习功能还能让响应用期加快，几秒中之内就能进行自动检测和防御，降低了受攻击时的业务损失。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (9)

1.一种分布式拒绝服务攻击的检测方法，其特征在于，包括步骤：

统计单位时间内接收到的源IP地址或者目的IP地址的报文个数，比较所述报文个数和预置的阈值；

当所述报文个数大于所述预置的阈值时，提取其中一个报文的指纹作为模版指纹，所述报文的指纹由报文的特征数据组成，其中所述指纹由所述报文数据段中若干个特征数据段构成；

判断后续单位时间内接收到匹配所述模版指纹的源IP地址或者目的IP地址的报文个数是否大于所述阈值，如果是，则判断受到攻击，否则判断没有受到攻击；

其中，当判断没有受到攻击时，判断连续数个单位时间内接收到匹配所述模版指纹的具有相同源IP地址或者目的IP地址的报文个数是否均未超过所述阈值，如果均未超过所述阈值，则删除所述模版指纹，并将下一个报文的指纹作为模版指纹。

2.如权利要求1所述的方法，其特征还在于：当判断受到攻击时，丢弃单位时间内接收到的所有匹配所述模版指纹的源IP地址或者目的IP地址的报文。

3.如权利要求1所述的方法，其特征还在于：当判断受到攻击时，丢弃单位时间内超过所述阈值的后续报文。

4.如权利要求1所述的方法，其特征还在于：

作为模版指纹的指纹个数是可配置的。

5.如权利要求1-4任一项所述的方法，其特征还在于：通过指纹学习的方式提取所述一个报文的指纹。

6.如权利要求1-4任一项所述的方法，其特征还在于：所述一个报文的指纹是通过手动下发。

7.一种分布式拒绝服务攻击检测装置，其特征在于，包括：

统计比较单元，用于统计单位时间内接收到的源IP地址或者目的IP地址的报文个数并比较所述报文个数和预置的阈值；

指纹提取单元，用于当所述报文个数大于所述预置的阈值时，提取其中一个报文的指纹作为模版指纹，所述报文的指纹由报文的特征数据组成，其中所述指纹由所述报文数据段中若干个特征数据段构成；

第一处理单元，用于判断后续单位时间内接收到匹配所述模版指纹的源IP地址或者目的IP地址的报文个数是否大于所述阈值，如果是，则判断受到攻击，否则判断没有受到攻击；

所述装置还包括第二处理单元，用于：当判断没有受到攻击时判断连续数个单位时间内接收到匹配所述模版指纹的具有相同源IP地址或者目的IP地址的报文个数是否均未超过所述阈值，如果均未超过所述阈值，则删除所述模版指纹，并向所述指纹提取单元发出指令以提取下一个报文的指纹作为模版指纹。

8.根据权利要求7所述的装置，其特征还在于：

所述第一处理单元还用于当判断受到攻击时丢弃该单位时间内接收到的所有匹配所述模版指纹的源IP地址或者目的IP地址的报文。

9.根据权利要求7所述的装置，其特征还在于：

所述第一处理单元还用于当判断受到攻击时丢弃单位时间内超过所述阈值的后续报文。