CN109818964B - 一种DDoS攻击检测方法、装置、设备以及存储介质 - Google Patents

Abstract

本发明公开了一种DDoS攻击检测方法、装置、设备以及存储介质，包括接收采集的实时网络流量数据，并对所述实时网络流量数据进行预处理；将所述实时网络流量数据传输至数据分析模块，所述数据分析模块包括DDoS攻击检测模型和训练模型；将所述实时网络流量数据与所述DDoS攻击检测模型对比，当存在一个以上相同的入侵特征数据时，启动告警响应操作，并过滤掉所述实时网络流量数据中的入侵特征数据，将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，实时更新所述DDoS攻击检测模型。采用对DDoS攻击检测模型不断更新的方法，加强了对未知攻击特征的检测能力，通过优化BP神经网络，改进了传统BP神经网络收敛速度慢、精度低的缺点。

Description

一种DDoS攻击检测方法、装置、设备以及存储介质

技术领域

本发明涉及计算机网络技术安全领域，特别是涉及一种DDoS攻击检测方法、装置、设备以及存储介质。

背景技术

分布式拒绝服务(Distributed Denial of Service，DDoS)攻击是一种通过消耗目标资源来阻止用户正常访问目标服务的网络攻击形式，是当前网络攻击中的主要威胁。DDoS攻击主要是利用多个计算机去非法占用互联网资源，导致用户得不到网络响应，它对互联网与互联网服务造成了很大的威胁。

DDoS攻击检测技术是应对DDoS攻击的关键技术，目前的DDoS攻击检测技术主要为将提取到的用户行为特征与已知的DDoS攻击特征进行匹配，从而发现存在DDoS攻击，但是检测DDoS攻击的准确度不高，很容易将正常行为判定为攻击行为，也缺乏对未知DDoS攻击的检测能力，如何对DDoS攻击检测技术进行不断完善成为了一个新的难题。

发明内容

为了克服现有技术的不足，本发明的目的在于提供一种DDoS攻击检测方法、装置、设备以及存储介质，采用对DDoS攻击检测模型不断更新的方法，改善了只对已知的攻击模式具有检测力，对未知的攻击无能为力的局面。

本发明解决其问题所采用的技术方案是：

第一方面，本发明提供了一种DDoS攻击检测方法，包括以下步骤：

接收采集的实时网络流量数据，并对所述实时网络流量数据进行预处理；

将所述实时网络流量数据传输至数据分析模块，所述数据分析模块包括DDoS攻击检测模型和训练模型；所述DDoS攻击检测模型包含众多入侵特征，用于检测所述实时网络流量数据中的入侵特征数据，所述训练模型使用优化BP神经网络算法对数据进行学习训练。

将所述实时网络流量数据与所述DDoS攻击检测模型对比，当存在一个以上相同的入侵特征数据时，启动告警响应操作，并过滤掉所述实时网络流量数据中的入侵特征数据，将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，实时更新所述DDoS攻击检测模型。

进一步，所述DDoS攻击检测模型以及所述训练模型的个数均不少于1个。

进一步，所述实时更新所述DDoS攻击检测模型，包括训练模型实时更新或人工实时更新。通过人工实时更新能加强所述DDoS攻击检测模块扩展性，提高DDoS攻击检测的准确性。

进一步，所述将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，包括：使用优化BP神经网络对所述训练模型进行学习训练，所述优化BP神经网络将固定学习率改为可变化学习率。

进一步，所述将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，还包括以下步骤：

将所述实时网络流量数据不符合入侵特征数据作为样本数据引入训练模型中；

设置优化BP神经网络的所有参数，通过正向传播计算出所述样本数据的误差值；

将所述误差值与预设误差值对比，当所述误差值大于所述预设误差值，计算调整权值，直至所述误差值小于所述预设误差值，结束训练过程。

进一步，所述当所述误差值大于所述预设误差值，计算调整权值，还包括以下步骤：

当所述误差值大于所述预设误差值,转至反向传播；

通过反向传播计算调整权值，再通过正向传播计算出调整权值之后的所述样本数据的误差值，并将所述误差值与预设误差值进行对比。

第二方面，本发明提供了一种DDoS攻击检测装置，包括以下装置：

采集模块，用于从交换机上采集实时网络流量数据；

预处理模块，用于对实时网络流量数据进行检测前的预处理，降低后续检测工作量；

调度模块，用于读取数据分析模块负载情况，并将实时网络流量数据传输至数据分析模块，有利于减轻负载压力，提高检测速度；

数据分析模块，用于检测实时网络流量数据是否具有入侵特征；

更新模块，用于对DDoS攻击检测模型进行更新；

告警响应模块，用于过滤实时网络流量数据中的入侵特征数据以及启动响应或者告警提示。

第三方面，本发明提供了一种DDoS攻击检测设备，包括至少一个控制处理器和用于与所述至少一个控制处理器通信连接的存储器；所述存储器存储有可被所述至少一个控制处理器执行的指令，所述指令被所述至少一个控制处理器执行，以使所述至少一个控制处理器能够执行如上所述的DDoS攻击检测方法。

第四方面，本发明提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令用于使计算机执行如上所述的DDoS攻击检测方法。

本发明实施例中提供的一个或多个技术方案，至少具有如下有益效果：本发明采用一种DDoS攻击检测方法，接收采集的实时网络流量数据，并对所述实时网络流量数据进行预处理；将所述实时网络流量数据传输至数据分析模块，所述数据分析模块包括DDoS攻击检测模型和训练模型；将所述实时网络流量数据与所述DDoS攻击检测模型对比，当存在一个以上相同的入侵特征数据时，启动告警响应操作，并过滤掉所述实时网络流量数据中的入侵特征数据，将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，实时更新所述DDoS攻击检测模型。采用对DDoS攻击检测模型不断更新的方法，改善了只对已知的攻击模式具有检测力，对未知的攻击无能为力的局面，通过优化BP神经网络，改进了传统BP神经网络收敛速度慢、精度低的缺点。

附图说明

下面结合附图和实例对本发明作进一步说明。

图1是本发明一个实施例所提供的一种DDoS攻击检测方法流程图；

图2是本发明一个实施例所提供的一种DDoS攻击检测方法中进行优化BP神经网络学习训练流程图；

图3是本发明一个实施例所提供的一种DDoS攻击检测设备的结构示意图。

具体实施方式

目前，互联网的发展浪潮已经遍布全世界，改变了人们的生活方式，处处影响着人们的衣食住行，互联网给人们带来便利的同时也带来许多安全风险，其中分布式拒绝服务就是安全风险中比较常见的，带来危害较为严重的一种。

分布式拒绝服务(DDoS)是一种通过消耗目标资源来阻止用户正常访问目标服务的网络攻击形式,DDoS攻击很难以抵御，危害极大，也成为网络安全面临的重要威胁之一。近年来，许多研究人员致力于DDoS攻击检测的各种关键技术的研究，虽然取得了部分成果，但是考虑到网络环境的日益复杂和网络攻击技术的发展，现有的DDoS攻击检测技术的准确性和实时性还有极大提高的空间，来满足人们对网络安全的迫切需要。常用的DDoS攻击检测方法主要包括误用检测技术和异常检测技术两种。误用检测技术是将采集并提取到的用户行为特征与已知的DDoS攻击特征进行匹配，从而发现攻击，它虽然能够准确识别已知攻击，但对已知攻击的变种或未知攻击无能为力，并且需要不断更新攻击特征库，可移植性差；异常检测技术是通过建立目标系统及用户的正常行为模型，监测系统和用户的活动是否偏离该模型，从而判断是否存在攻击行为，它虽然通用性强，能够识别多类攻击，但是容易将正常数据误判为攻击。

本发明采用了一种DDoS攻击检测方法，包括以下步骤，接收采集的实时网络流量数据，并对所述实时网络流量数据进行预处理；将所述实时网络流量数据传输至数据分析模块，所述数据分析模块包括DDoS攻击检测模型和训练模型；将所述实时网络流量数据与所述DDoS攻击检测模型对比，当存在一个以上相同的入侵特征数据时，启动告警响应操作，并过滤掉所述实时网络流量数据中的入侵特征数据，将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，实时更新所述DDoS攻击检测模型。采用对DDoS攻击检测模型不断更新的方法，改善了只对已知的攻击模式具有检测力，对未知的攻击无能为力的局面，通过优化BP神经网络，改进了传统BP神经网络收敛速度慢、精度低的缺点。

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

需要说明的是，如果不冲突，本发明实施例中的各个特征可以相互结合，均在本发明的保护范围之内。另外，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于装置中的模块划分，或流程图中的顺序执行所示出或描述的步骤。

参照图1，本发明的第一实施例，提供了一种DDoS攻击检测方法，包括以下步骤：

步骤S1，接收采集的实时网络流量数据，并对所述实时网络流量数据进行预处理；

步骤S2，将所述实时网络流量数据传输至数据分析模块，所述数据分析模块包括DDoS攻击检测模型和训练模型；

步骤S3，将所述实时网络流量数据与所述DDoS攻击检测模型对比，当存在一个以上相同的入侵特征数据时，启动告警响应操作，并过滤掉所述实时网络流量数据中的入侵特征数据，将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，实时更新所述DDoS攻击检测模型。

其中，在本实施例中的步骤S1中，交换机是作为整个通信流量进出的端口，在交换机上设置采集模块就能实现对关键网段的实时监听。要检测实时网络流量数据的数据量十分庞大，并且这些数据中的连接记录并不规则，有连续的、非连续的以及非数值形式等不同属性，因此，为了减轻后续检测步骤的负担，需要对实时网络流量数据先进行预处理。预处理包括对实时网络流量数据进行协议判断、特征提取以及属性调整。协议判断是对实时网络流量数据所采用协议类型进行判别，本实施例采用协议树的方法将所有协议作为一个节点来构成树，寻到从根节点到叶节点的路径便是协议判别过程，同时可以对这些节点进行动态的分配和维护，在树的每个节点中包含协议的特征、名称以及相应的函数分析链表等信息，传统的DDoS攻击检测系统只对网络层和传输层协议进行分析，这种方法无法应对多种攻击，因此采用协议判断方法，也能对应用层协议进行分析，提高了DDoS攻击检测的准确性；特征提取可以是提取I P包头的源地址、TCP报头中的标识、某一命令连发的次数等，本实施可根据实时情况自行选择合适的特征；属性调整主要用于去掉实时网络流量数据中某些次要属性特征以及将剩余属性特征转换为BP神经网络能够处理的特征向量，以便学习训练。

其中，在本实施例中的步骤S2中，所述数据分析模块包括DDoS攻击检测模型和训练模型，DDoS攻击检测模型包含众多入侵特征用于检测攻击，训练模型用于学习训练并更新DDoS攻击检测模型。

其中，在本实施例中的步骤S3中，DDoS攻击检测模型中包含着大量的入侵特征，而实时网络流量数据中包含了大量的数据特征，这些数据特征可能与入侵特征相同也可能与入侵特征不相同，将实时网络流量数据与DDoS攻击检测模型进行对比时，实时网络流量数据中的入侵特征能够快速的检测出，而未检测出入侵特征的部分则送至训练模型进行学习训练，构成一个循环，能够持续不断的给DDoS攻击检测模型提供实时更新，以增强DDoS攻击检测模型面对未知攻击的应对能力。告警响应操作可以为取消连接、消息回避以及自动隔离三种。取消连接，是当某一连接有入侵的威胁时，自动对该连接进行取消；消息回避，当取消连接无法完全解决问题时，可采用消息回避技术来拒绝传递攻击者所发生的数据；自动隔离，可自动切断路由来避免遭受进一步攻击。

进一步，在本发明的另一个实施例中，所述DDoS攻击检测模型以及所述训练模型的个数均不少于1个。在本实施例中，DDoS攻击检测模型以及训练模型可以为1个，也可以为多个，本实施例优选训练模型为多个，因为实时网络流量数据的数据量较大，特别是在云环境下，设定多个训练模型，能减轻系统训练样本数据的负担，加强了负载平衡。

进一步，在本发明的另一个实施例中，所述实时更新所述DDoS攻击检测模型，包括训练模型实时更新或人工实时更新。通过人工实时更新能加强所述DDoS攻击检测模块扩展性，提高DDoS攻击检测的准确性。

进一步，在本发明的另一个实施例中，所述将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，包括：使用优化BP神经网络对所述训练模型进行学习训练，所述优化BP神经网络将固定学习率改为可变化学习率。

其中，传统BP神经网络的学习率是不会变化的，面对数据量大的情况，会存在收敛速度慢和精确度不高的缺点，相比于传统BP神经网络，本实施例的优化BP神经网络能自动调整学习率，显著提高收敛的速度和精确度。本实施例优化BP神经网络算法的主要是把学习过程分为：正向传播，输入信号通过输入层经隐含层处理并计算每个单元的实际输出值；反向传播，若在输出层未能得到期望的输出值，则逐层递归地计算误差值，根据误差值来调整权值。

参照图2，在本发明的另一个实施例中，所述将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，还包括以下步骤：

步骤S301，将实时网络流量数据不符合入侵特征数据作为样本数据引入训练模型中；

步骤S302，设置优化BP神经网络的所有参数，通过正向传播计算出样本数据的误差值；

步骤S303，将误差值与预设误差值对比，当误差值大于预设误差值，通过反向传播计算调整权值，再通过正向传播计算出调整权值之后的样本数据的误差值；

步骤S304，直至误差值小于预设误差值，结束训练过程。

进一步，在本发明的另一个实施例中，设定优化BP神经网络中含有共L层和n个节点以及N个训练样本，各节点的特性为Sigmoid型，求出第k个样本数据，求出第j个节点的输入和输出：

其中

表示第k个样本数据在l层j节点的输出，

表示第k个样本数据在l层j节点的输入，

表示权值。

定义误差函数E_k和总误差E为：

其中

为l层j节点的实际输出。

定义：

进一步，求得：

若j节点为输出单元，则

若j节点不是输出单元，则：

式中

是l+1层的输入，计算

要从l+1层回算。

在l层m节点时：

根据以上两个公式代入，得：

总结上述结果，有

权值的不断调整决定了学习率的变化，通过对权值的不断调整，可以使学习率发生变化，从而极大程度提高收敛速度。

进一步，本发明的另一个实施例中，还提供了一种DDoS攻击检测装置，包括以下装置：

采集模块，用于从交换机上采集实时网络流量数据；

预处理模块，用于对实时网络流量数据进行检测前的预处理，降低后续检测工作量；

调度模块，用于读取数据分析模块负载情况，并将实时网络流量数据传输至数据分析模块，有利于减轻负载压力，提高检测速度；

数据分析模块，用于检测实时网络流量数据是否具有入侵特征；

更新模块，用于对DDoS攻击检测模型进行更新；

告警响应模块，用于过滤实时网络流量数据中的入侵特征数据以及启动响应或者告警提示。

参照图3，在本发明的另一个实施例中，还提供了一种DDoS攻击检测设备，包括至少一个控制处理器和用于与所述至少一个控制处理器通信连接的存储器；所述存储器存储有可被所述至少一个控制处理器执行的指令，所述指令被所述至少一个控制处理器执行，以使所述至少一个控制处理器能够执行如上述实施例的一种DDoS攻击检测方法。例如，执行以上描述的图1中的方法步骤S1至S3，图2中的方法步骤S301至S304。

进一步，在本发明的另一个实施例中，还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令用于使计算机执行如上述实施例的DDoS攻击检测方法，例如，执行以上描述的图1中的方法步骤S1至S3，图2中的方法步骤S301至S304。

通过以上的实施方式的描述，本领域技术人员可以清楚地了解到各实施方式可借助软件加通用硬件平台的方式来实现。本领域技术人员可以理解实现上述实施例方法中的全部或部分流程是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(ReadOnly Memory,ROM)或随机存储记忆体(Random Access Memory,RAM)等。

以上是对本发明的较佳实施进行了具体说明，但本发明并不局限于上述实施方式，熟悉本领域的技术人员在不违背本发明精神的前提下还可作出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (8)

1.一种DDoS攻击检测方法，其特征在于，包括以下步骤：

接收采集的实时网络流量数据，并对所述实时网络流量数据进行预处理；

将所述实时网络流量数据传输至数据分析模块，所述数据分析模块包括DDoS攻击检测模型和训练模型；

将所述实时网络流量数据与所述DDoS攻击检测模型对比，当存在一个以上相同的入侵特征数据时，启动告警响应操作，并过滤掉所述实时网络流量数据中的入侵特征数据，将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，实时更新所述DDoS攻击检测模型，其中，使用优化BP神经网络对所述训练模型进行学习训练，所述优化BP神经网络将固定学习率改为可变化学习率，其中，所述优化BP神经网络将固定学习率改为可变化学习率包括：

设所述优化BP神经网络中含有共L层和n个节点以及N个训练样本，各节点的特性为Sigmoid型，求出第k个样本数据，求出第j个节点的输入和输出：

其中

表示第k个样本数据在l层j节点的输出，

表示第k个样本数据在l层j节点的输入，

表示权值；

定义误差函数E_k和总误差E为：

其中

为l层j节点的实际输出；

定义：

进一步，求得：

若j节点为输出单元，则

若j节点不是输出单元，则：

式中

是l+1层的输入，计算

要从l+1层回算；

在l层m节点时：

根据以上两个公式代入，得：

得到：

2.根据权利要求1所述的一种DDoS攻击检测方法，其特征在于：所述DDoS攻击检测模型以及所述训练模型的个数均不少于1个。

3.根据权利要求1所述的一种DDoS攻击检测方法，其特征在于：所述实时更新所述DDoS攻击检测模型，包括训练模型实时更新或人工实时更新。

4.根据权利要求3所述的一种DDoS攻击检测方法，其特征在于，所述将所述实时网络流量数据中剩余的特征数据引入所述训练模型进行学习训练，还包括以下步骤：

将所述实时网络流量数据不符合入侵特征数据作为样本数据引入训练模型中；

设置优化BP神经网络的所有参数，通过正向传播计算出所述样本数据的误差值；

将所述误差值与预设误差值对比，当所述误差值大于所述预设误差值，计算调整权值，直至所述误差值小于所述预设误差值，结束训练过程。

5.根据权利要求4所述的一种DDoS攻击检测方法，其特征在于，所述当所述误差值大于所述预设误差值，计算调整权值，还包括以下步骤：

当所述误差值大于所述预设误差值，转至反向传播；

通过反向传播计算调整权值，再通过正向传播计算出调整权值之后的所述样本数据的误差值，并将所述误差值与预设误差值进行对比。

6.一种DDoS攻击检测装置，其特征在于，包括以下装置：

采集模块，用于从交换机上采集实时网络流量数据；

预处理模块，用于对实时网络流量数据进行检测前的预处理；

调度模块，用于读取数据分析模块负载情况，并将实时网络流量数据传输至数据分析模块；

数据分析模块，用于检测实时网络流量数据是否具有入侵特征：

将所述实时网络流量数据与DDoS攻击检测模型对比，当存在一个以上相同的入侵特征数据时，将所述实时网络流量数据中剩余的特征数据引入训练模型进行学习训练，其中，使用优化BP神经网络对所述训练模型进行学习训练，所述优化BP神经网络将固定学习率改为可变化学习率，所述优化BP神经网络将固定学习率改为可变化学习率包括：

设所述优化BP神经网络中含有共L层和n个节点以及N个训练样本，各节点的特性为Sigmoid型，求出第k个样本数据，求出第j个节点的输入和输出：

其中

表示第k个样本数据在l层j节点的输出，

表示第k个样本数据在l层j节点的输入，

表示权值；

定义误差函数E_k和总误差E为：

其中

为l层j节点的实际输出；

定义：

进一步，求得：

若j节点为输出单元，则

若j节点不是输出单元，则：

式中

是l+1层的输入，计算

要从l+1层回算；

在l层m节点时：

根据以上两个公式代入，得：

得到：

更新模块，用于对所述DDoS攻击检测模型进行更新；

告警响应模块，用于过滤所述实时网络流量数据中的入侵特征数据以及在检测到入侵特征数据时启动响应或者告警提示。

7.一种DDoS攻击检测设备，其特征在于：包括至少一个控制处理器和用于与所述至少一个控制处理器通信连接的存储器；所述存储器存储有可被所述至少一个控制处理器执行的指令，所述指令被所述至少一个控制处理器执行，以使所述至少一个控制处理器能够执行如权利要求1－5任一项所述的一种DDoS攻击检测方法。

8.一种计算机可读存储介质，其特征在于：所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令用于使计算机执行如权利要求1－5任一项所述的一种DDoS攻击检测方法。

Images