CN108551448A - 一种分布式拒绝服务攻击检测方法 - Google Patents

Abstract

本发明提出一种分布式拒绝服务攻击检测方法，能够准确检测低速DDoS攻击的方法，具体实现主要包含在线编码和离线译码两部分。在线编码操作在中心路由器的SRAM上进行。在每个测量周期，SRAM上会开辟一块连续内存空间用于攻击检测。当有数据包到达时，SRAM会将该数据包利用哈希技术记录到所开辟的连续内存空间中。等一个测量周期结束，SRAM将本周期的数据包记录下载到服务器，用于后面的分析。离线译码是在服务器上实现的，通过对得到的编码记录进行译码，分析得到每条流的k‑持续流量，从而判断是否受到攻击。本发明在存储资源严重受限的情况下，准确检测出每条流的k‑持续流量，进而判断出是否存在DDoS攻击。

Description

一种分布式拒绝服务攻击检测方法

技术领域

本发明涉及一种低速的分布式拒绝服务攻击检测方法，属于网络攻击检测领域。

背景技术

分布式拒绝服务(DDoS：Distributed Denial of Service)攻击是指借助于客户/服务器技术，将大量计算机联合起来作为攻击平台，对一个或多个目标发动攻击，通过大量合法的请求占用大量资源，使被攻击的服务器瘫痪。在传统的DDoS攻击中，攻击者的发包速度一般要远大于合法的用户。因此，已有的DDoS攻击检测技术通过监测用户的发包速率，来判断该用户是否为攻击者。然而，此类DDoS攻击检测技术在攻击者降低发包速率时是无效的。通常将攻击者的发包速度与合法用户的发包速度基本相同时的DDoS攻击称为低速DDoS攻击。低速DDoS攻击虽然不能使被攻击的服务器瘫痪，但当攻击者足够多时，仍可以明显降低服务器的性能。当发生DDoS攻击时，服务器可能无法判断是遭到了攻击还是访问的合法用户突然增多。显然，低速DDoS攻击比传统的DDoS攻击的检测难度更大。通过分析发现，低速DDoS攻击中的非法用户(即攻击者)需要持续访问服务器，否则无法发起有效攻击。所以，这些攻击者访问服务器的时间要明显长于合法用户。如果将所有发送给同一个目的服务器的数据包抽象为一条流，每个源地址看作是流中的一个元素，那么该流的流量就应该等于发送给该服务器的不同源地址的个数。如果取t个测量周期，那么对于存在DDoS攻击的流，持续存在于给定的t个测量周期的元素数量会明显大于未被攻击的流。已有研究设计出了高效的持续流量估计器，用于检测是否存在低速DDoS攻击。然而，现有对持续流量的定义过于严格，只有在所有给定的测量周期均存在于流中的元素才会被认定为持续元素。而持续流量是由持续元素组成的。当攻击者随机丢弃几个测量周期时，就会有很大概率被认定为非持续元素，从而逃避检测。要彻底解决该问题，必须要设计出能够准确估计出每条流f的k-持续流量的估计器，即在给定的t个周期内，至少在其中的k个周期存在于流f的元素个数。由于低速DDoS的攻击者的访问被攻击服务器的总时间长度应该明显高于合法用户，因此总能找到合适的k值将攻击者和合法用户区分开。然而，现在还没有研究设计出准确的k-持续流量估计器。

发明内容

为了解决网络中遇到的低速DDoS攻击问题，本发明旨在设计一种网络流的k-持续流量统计方法，具体方案如下：

一种分布式拒绝服务攻击检测方法，包括：

在线编码步骤，在每个测量周期，利用哈希函数记录接收到的数据包，得到编码记录；

离线译码步骤，对所述编码记录进行译码，分析得到每条流的k-持续流量，从而判断是否受到攻击。

优选的，所述在线编码步骤在中心路由器的SRAM上进行，所述离线译码步骤由服务器实现。

优选的，所述在线编码步骤具体包括以下步骤：

设置所述SRAM上一块连续内存空间中的所有位为0；

判断是否有数据包到达，若是则执行下一个步骤，否则继续判断是否有数据包到达；

设置所述连续内存空间的某一位置为1；

判断本测量周期是否结束，若结束则下一个步骤，否则继续判断是否有数据包到达；

将所述连续内存空间从中心路由器下载到服务器。

优选的，利用哈希函数设置所述连续内存空间的第i位置为1：

其中，e为所述数据包的源地址流，f为数据包的目的地址流，M为所述连续内存空间，H是任意一个随机性很好的哈希函数，m为保存所述数据包的虚拟位图文件的长度，u为所述连续内存空间的长度，是按位求异或操作，mod是求余操作。

优选的，所述离线译码步骤具体包括以下步骤：

构建t个发往同一个目的地址流f的虚拟位图文件；

估计的值，即利用所述虚拟位图文件估计得到的恰好在j个测量周期存在于流f中的元素个数；

估计的值，即利用t个虚拟位图文件估计得到的所有流中恰好存了j个测量周期的元素个数；

估计k-持续流量估计器的值，根据所述k-持续流量估计器是否大于给定阈值，判断该服务器是否受到了低速分布式拒绝服务攻击。

优选的，所述k-持续流量估计器N_f，k为：

优选的，所述估计的值的步骤具体包括：

初始设置l＝1；

遍历所有包含l个虚拟位图文件的组合，按位求或得到新位图文件；

估计得到同时被所述l个虚拟位图文件记录下来的元素个数

估计得到在给定的t个测量周期内恰好在其中l个测量周期被记录下来的元素个数n_l，12...t；

设置l＝l+1；

判断l＝j是否成立，若成立则执行下一个步骤，否则继续遍历所有包含l个虚拟位图文件的组合；

设置

优选的，所述估计的值的步骤具体包括：

初始设置l＝1；

遍历所有包含l个物理位图文件的组合，按位求或得到新位图文件；

估计得到同时被所述l个物理位图文件记录下来的元素个数

估计得到在给定的t个测量周期内恰好在其中l个测量周期被记录下来的元素个数N^u _l，12...t；

设置l＝l+1；

判断l＝j是否成立，若成立则执行下一个步骤，否则继续遍历所有包含l个物理位图文件的组合；

设置

本发明的优点在于：在存储资源严重受限的情况下，准确检测出每条流的k-持续流量，进而判断出是否存在DDoS攻击。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1是本发明的在线编码流程图。

图2是本发明的离线编码流程图。

图3是本发明的估计的流程图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施方式。虽然附图中显示了本公开的示例性实施方式，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明提出的能够准确检测低速DDoS攻击的方法，具体实现主要包含在线编码和离线译码两部分。在线编码操作在中心路由器的SRAM上进行。在每个测量周期，SRAM上会开辟一块连续内存空间用于攻击检测。当有数据包到达时，SRAM会将该数据包利用哈希技术记录到所开辟的连续内存空间中。等一个测量周期结束，SRAM将本周期的数据包记录下载到服务器，用于后面的分析。离线译码是在服务器上实现的，通过对得到的编码记录进行译码，分析得到每条流的k-持续流量，从而判断是否受到攻击。具体的实现方式如下：

1)在每个测量周期开始，中心路由器在SRAM上开辟一块长度为u的连续内存空间，记作M。初始时，设置M中的所有位均为0。假设e为数据包的源地址，f为数据包的目的地址。将所有发往同一个目的地址f的数据包抽象为一条流，而流中不同源地址的个数看作是元素的个数。每条流f中的元素会被保存在一个虚拟位图文件B_f中，而所有的虚拟位图文件会共享连续的物理内存M。当有一个数据包<e，f>到达时，路由器会将其保存到B_f中，即将B_f的第i位置为1，具体实现方式为：

B_f[i]＝B_f[H(e)mod m]， 公式1

其中H可以是任意一个随机性很好的哈希函数，m为B_f的长度。而B_f中的第i位可以映射到物理存储空间中的第i′位，具体的映射公式为：

其中是按位求异或操作。换句话说，当一个数据包<e，f>到达时，会将连续物理内存中的第位置为1。

当一个测量周期结束时，中心路由器会将编码后的M下载到服务器上，用于后续的译码分析。

2)当服务器得到t个测量周期的编码数据后，可以为每条流构建出t个虚拟位图文件，分别记作B_f，1，B_f，2，...，B_f，t。然而，虚拟位图文件中不仅记录了流f中的元素，还记录了其他与其共享内存空间的流的元素。这就需要我们在根据虚拟位图文件估计流量的时候能有效滤除其他流带来的噪声。用M₁，M₂，...，M_t来表示t个周期得到编码数据，n_f，j表示恰好在j个测量周期存在于流f中的元素个数，表示利用虚拟位图文件估计得到的恰好在j个测量周期存在于流f中的元素个数，而表示其他流所带来的噪声，那么k-持续流量估计器为：

其中，表示利用t个物理位图文件估计得到的所有流中恰好存了j个测量周期的元素个数。

其中，利用虚拟位图文件估计恰好在j个测量周期存在于流f中的元素个数的具体实现方法如下：

1)初始设置l＝1。

2)遍历所有包含l个虚拟位图文件的组合，求出同时经过了组合中l个虚拟位图文件的元素个数。对于给定的l个虚拟位图文件，(i₁≤i₂≤...≤i_l)，具体实现方法为：首先将l个虚拟位图文件按位求0R，得到新的虚拟位图文件，记作E_f，l。即，然后，按照公式(4)估计得到同时被记录下来的元素个数

其中，p、q是遍历用于计数的变量，表示同时被所述q+1个虚拟位图文件记录下来的元素个数；表示将按位求0R后得到的结果E_f，l中0的位数所占的比例。例如，E_f，l中0的位数为65，1的位数为35，那么

3)用n_l，12...t表示在给定的t个测量周期内，恰好在其中l个测量周期被记录下来的元素个数。在步骤2中，经过大于l个测量周期的元素会在遍历不同的组合时重复计算，我们可以利用公式(5)将重复计算所带来的噪声滤掉，估计得到n_l，12...t。

其中，C是求组合数的运算，为在给定的l个测量周期内恰好在其中k个测量周期被记录下来的元素个数；n_{i，12L t}为在给定的t个测量周期内恰好在其中i个测量周期被记录下来的元素个数。

4)设置l＝l+1，返回步骤2)，直到l＝j。

5)设置

其中，利用t个物理位图估计的具体实现方法与估计的方法类似，只需要将虚拟位图替换为所对应的物理位图即可。

实施例1

本发明提出的带隐私保护的持续交通流量统计方法，如图1所示，其中在线编码步骤的具体实现包括以下步骤：

S11：设置物理位图文件M中的所有位为0。

S12：判断是否有数据包<e，f>到达？若是，执行S13；否则，继续等待，执行S12。

S13：设置

S14：判断本测量周期是否结束？若结束，执行S15；否则，执行S12。

S15：将M从中心路由器下载到服务器，用于后续的离线译码。

如图2所示，所发明的离线译码步骤的具体实现步骤如下所示：

S21：构建出流f的虚拟位图文件，分别为B_f，1，B_f，2，...，B_f，t，其中

S22：估计的值。

S23：估计的值。

S24：根据公式(3)估计N_f，k的值。根据N_f，k是否大于给定阈值，我们可以判断该服务器是否受到了DDoS攻击。

其中，估计的值的具体实现方法如图3所示：

S31：初始设置l＝1。

S32：遍历所有包含l个虚拟位图文件的组合，(i₁≤i₂≤...≤i_l)，按位求0R得到新位图文件E_f，l，即

S33：根据公式(4)估计得到

S34：利用公式(5)估计得到n_l，12...t。

S35：设置l＝l+1。

S36：判断l＝j是否成立？若成立，执行S37；否则，执行S32。

S37：设置

估计的具体实现步骤与基本一致，只需要将原先在虚拟位图上所做的所有操作按照完全相同的方法在对应的物理位图上实现一遍即可。例如S32改为：遍历所有包含l个物理位图文件的组合，M₁，M₂，...，M_t(i₁≤i₂≤...≤i_l)，按位求0R得到新位图文件M′_l，即这样就可以采用与估计同样的方法估计得到具体过程如下：

所述估计的值的步骤具体包括：

初始设置l＝1；

遍历所有包含l个物理位图文件的组合，按位求或得到新位图文件；

估计得到同时被所述l个物理位图文件记录下来的元素个数

估计得到在给定的t个测量周期内恰好在其中l个测量周期被记录下来的元素个数N^u _l，12...t；

设置l＝l+1；

判断l＝j是否成立，若成立则执行下一个步骤，否则继续遍历所有包含l个物理位图文件的组合；

设置

根据如下公式估计得到

其中，p、q是遍历用于计数的变量，表示同时被所述q+1个物理位图文件记录下来的元素个数；表示将l个物理位图文件按位求或后得到的结果中0的位数所占的比例。

根据如下公式估计得到N^u _l，12...t：

其中，C是求组合数的运算，为在给定的l个测量周期内恰好在其中k个测量周期被记录下来的元素个数；N_{i，12L t}为在给定的t个测量周期内恰好在其中i个测量周期被记录下来的元素个数。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (12)

1.一种分布式拒绝服务攻击检测方法，其特征在于，包括：

在线编码步骤，在每个测量周期，利用哈希函数记录接收到的数据包，得到编码记录；

离线译码步骤，对所述编码记录进行译码，分析得到每条流的k-持续流量，从而判断是否受到攻击。

2.根据权利要求1所述的一种分布式拒绝服务攻击检测方法，其特征在于，

所述在线编码步骤在中心路由器的SRAM上进行，所述离线译码步骤由服务器实现。

3.根据权利要求2所述的一种分布式拒绝服务攻击检测方法，其特征在于，

所述在线编码步骤具体包括以下步骤：

设置所述SRAM上一块连续内存空间中的所有位为0；

判断是否有数据包到达，若是则执行下一个步骤，否则继续判断是否有数据包到达；

设置所述连续内存空间的某一位置为1；

判断本测量周期是否结束，若结束则下一个步骤，否则继续判断是否有数据包到达；

将所述连续内存空间从中心路由器下载到服务器。

4.根据权利要求3所述的一种分布式拒绝服务攻击检测方法，其特征在于，

利用哈希函数设置所述连续内存空间的第i位置为1：

其中，e为所述数据包的源地址流，f为数据包的目的地址流，M为所述连续内存空间，H是任意一个随机性很好的哈希函数，m为保存所述数据包的虚拟位图文件的长度，u为所述连续内存空间的长度，是按位求异或操作，mod是求余操作。

5.根据权利要求4所述的一种分布式拒绝服务攻击检测方法，其特征在于，

所述离线译码步骤具体包括以下步骤：

构建t个发往同一个目的地址流f的虚拟位图文件；

估计的值，即利用t个所述虚拟位图文件估计得到的恰好在j个测量周期存在于流f中的元素个数；

估计的值，即利用t个物理位图文件估计得到的所有流中恰好存了j个测量周期的元素个数；

估计k-持续流量估计器的值，根据所述k-持续流量估计器是否大于给定阈值，判断该服务器是否受到了低速分布式拒绝服务攻击。

6.根据权利要求5所述的一种分布式拒绝服务攻击检测方法，其特征在于，

所述k-持续流量估计器N_f，k为：

7.根据权利要求5所述的一种分布式拒绝服务攻击检测方法，其特征在于，

所述估计的值的步骤具体包括：

初始设置l＝1；

遍历所有包含l个虚拟位图文件的组合，按位求或得到新位图文件；

估计得到同时被所述l个虚拟位图文件记录下来的元素个数

估计得到在给定的t个测量周期内恰好在其中l个测量周期被记录下来的元素个数n_l，12...t；

设置l＝l+1；

判断l＝j是否成立，若成立则执行下一个步骤，否则继续遍历所有包含l个虚拟位图文件的组合；

设置

8.根据权利要求5所述的一种分布式拒绝服务攻击检测方法，其特征在于，

所述估计的值的步骤具体包括：

初始设置l＝1；

遍历所有包含l个物理位图文件的组合，按位求或得到新位图文件；

估计得到同时被所述l个物理位图文件记录下来的元素个数

估计得到在给定的t个测量周期内恰好在其中l个测量周期被记录下来的元素个数N^u _l，12...t；

设置l＝l+1；

判断l＝j是否成立，若成立则执行下一个步骤，否则继续遍历所有包含l个物理位图文件的组合；

设置

9.根据权利要求7所述的一种分布式拒绝服务攻击检测方法，其特征在于，

根据如下公式估计得到

其中，p、q是遍历用于计数的变量，表示同时被所述q+1个虚拟位图文件记录下来的元素个数；表示将l个虚拟位图文件按位求或后得到的结果中0的位数所占的比例。

10.根据权利要求7所述的一种分布式拒绝服务攻击检测方法，其特征在于，

根据如下公式估计得到n_l，12...t：

其中，C是求组合数的运算，为在给定的l个测量周期内恰好在其中k个测量周期被记录下来的元素个数；n_{i，12L t}为在给定的t个测量周期内恰好在其中i个测量周期被记录下来的元素个数。

11.根据权利要求8所述的一种分布式拒绝服务攻击检测方法，其特征在于，

根据如下公式估计得到

其中，p、q是遍历用于计数的变量，表示同时被所述q+1个物理位图文件记录下来的元素个数；表示将l个物理位图文件按位求或后得到的结果中0的位数所占的比例。

12.根据权利要求8所述的一种分布式拒绝服务攻击检测方法，其特征在于，

根据如下公式估计得到N^u _l，12...t：

其中，C是求组合数的运算，为在给定的l个测量周期内恰好在其中k个测量周期被记录下来的元素个数；N_{i，12L t}为在给定的t个测量周期内恰好在其中i个测量周期被记录下来的元素个数。