CN111181932A - Ddos攻击检测与防御方法、装置、终端设备及存储介质 - Google Patents

Ddos攻击检测与防御方法、装置、终端设备及存储介质 Download PDF

Info

Publication number
CN111181932A
CN111181932A CN201911311155.6A CN201911311155A CN111181932A CN 111181932 A CN111181932 A CN 111181932A CN 201911311155 A CN201911311155 A CN 201911311155A CN 111181932 A CN111181932 A CN 111181932A
Authority
CN
China
Prior art keywords
data flow
preset
flood
defense
flow
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201911311155.6A
Other languages
English (en)
Other versions
CN111181932B (zh
Inventor
罗倩倩
黄宗慧
王文沛
张继栋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangdong Communications and Networks Institute
Original Assignee
Guangdong Communications and Networks Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangdong Communications and Networks Institute filed Critical Guangdong Communications and Networks Institute
Priority to CN201911311155.6A priority Critical patent/CN111181932B/zh
Publication of CN111181932A publication Critical patent/CN111181932A/zh
Application granted granted Critical
Publication of CN111181932B publication Critical patent/CN111181932B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种DDOS攻击检测与防御方法，包括：获取通信网络中的数据流，并提取所述数据流的流量行为特征参数；其中，所述流量行为特征参数包括源IP地址及源端口号；计算所述流量行为特征参数的信息熵；获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流；按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御。本发明还公开了一种DDOS攻击检测与防御装置、终端设备及存储介质，能有效解决现有技术DDOS攻击难以被网络设备检测和识别的问题，能有效防止DDOS攻击，操作简单，能有效缩短检测时间，提高执行效率。

Description

DDOS攻击检测与防御方法、装置、终端设备及存储介质
技术领域
本发明涉及网络安全技术领域，尤其涉及DDOS攻击检测与防御方法、装置、终端设备及存储介质。
背景技术
随着通信技术的快速发展，计算机网络已成为人们日常生活中不可或缺的通信媒介。计算机网络及其承载协议的开放，在给人们提供便利的同时，也极大的增加了网络的安全隐患。
近年来，互联网行业不断遭受大规模的DDoS网络攻击。其最大攻击峰值可达1.7T，Github被攻击时流量值约为1.35Tbps。DDoS攻击在单条链路上的流量正常，难以被网络设备检测和识别。但汇聚后所形成的异常流量很强大，极具破坏力。目前已成为影响整体网络性能的主要因素。
发明内容
本发明实施例提供DDOS攻击检测与防御方法、装置、终端设备及存储介质，能有效解决现有技术DDOS攻击难以被网络设备检测和识别的问题，能有效防止DDOS攻击，操作简单，能有效缩短检测时间，提高执行效率。
本发明一实施例提供一种DDOS攻击检测与防御方法，包括：
获取通信网络中的数据流，并提取所述数据流的流量行为特征参数；其中，所述流量行为特征参数包括源IP地址及源端口号；
计算所述流量行为特征参数的信息熵；
获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流；
按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御。
作为上述方案的改进，在所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御之前，还包括：
将所述异常数据流按所述协议类型划分为TCP Flood数据流、UDP Flood数据流、DNS Flood数据流及HTTP Flood数据流。
作为上述方案的改进，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为TCP Flood数据流时，判断所述TCP Flood数据流的TCP协议数据包比例是否不满足任一预设的TCP协议数据包比例规则；其中，所述TCP协议数据包比例规则为公式(1)、(2)、(3)及(4)：
NSYN＝NSYN+ACK (1)
NSYN+ACK＝NFlow (2)
NRST/NSYN+ACK≈0 (3)
NFIN/NSYN+ACK＝2 (4)
其中，NSYN为TCP报头带有SYN标识的报文数量，NSYN+ACK为TCP报头带有SYN+ACK标识的报文数量，NFlow为TCP报头带有Flow标识的报文数量,NRST为TCP报头带有RST标识的报文数量,NFIN为TCP报头带有FIN标识的报文数量；
当判断出所述TCP协议数据包比例不满足任一所述TCP协议数据包比例规则时，则认为存在TCP Flood攻击，根据各TCP连接状态，判断是否满足至少一种预设的IP异常条件；其中，所述IP异常条件包括：TCP Flood数据流的源IP地址的新建连接速率超过预设的新建连接速率阈值、TCP Flood数据流的源IP地址的并发连接数超过预设的并发连接数阈值、建立TCP连接后发送的报文数量为0、windows size值小于预设阈值及重传请求次数大于预设的请求次数阈值；
当判断出满足至少一种所述IP异常条件时，则确定为可疑连接并断开。
作为上述方案的改进，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为UDP Flood数据流时，根据UDP报文段特征，判断所述UDPFlood数据流是否满足至少一种预设的UDP Flood攻击条件；其中，所述UDP Flood攻击条件包括：UDP报文数量占总数量包的比例超过预设的比例阈值、UDP报文长度在预设的长度范围内或相同及UDP报文存在相同或有规律变化的报文字段；
当判断出所述UDP Flood数据流满足至少一种所述UDP Flood攻击条件时，则认为存在UDP Flood攻击，对具有固定特征的UDP报文进行识别，建立指纹特征库；
以所述指纹特征库作为UDP报文过滤条件，丢弃被所述指纹特征库匹配到的UDP报文，转发未匹配到所述指纹特征库的UDP报文。
作为上述方案的改进，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为DNS Flood数据流时，检测所述DNS Flood数据流的数据包是否具有特定的DNS攻击源端口号；
当判断出所述DNS Flood数据流的数据包具有所述DNS攻击源端口号时，则认定为存在DNS反射放大攻击，根据DNS协议报文，建立会话记录表；其中，所述会话记录表的记录项为源IP地址、目的IP地址、源端口、目的端口及协议类型；
当接收到DNS Reply报文时，判断所述DNS Reply报文的报文信息是否与所述会话记录表相匹配，若是，则允许所述DNS Reply报文通过；若否，则认定为DNS攻击报文，禁止所述DNS Reply报文通过。
作为上述方案的改进，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为HTTP Flood数据流时，根据HTTP报文规律，判断所述HTTPFlood数据流是否满足至少一种预设的HTTP攻击条件，若是，则认为存在HTTP攻击；其中，所述HTTP攻击条件包括：流量超过预设的流量阈值、HTTP请求报文速率超过预设的请求报文速率阈值、访问url、jpg动态页面、php动态资源和html页面的比例频度超过预设的比例频度阈值、及HTTP报文的头部信息异于预设的正常http请求；
当所述HTTP Flood数据流的源IP地址的HTTP并发连接数超过预设的HTTP并发连接数阈值时，则认定为异常IP；
当所述HTTP Flood数据流的HTTP报文的请求头部存在异于预设的正常浏览器特征时，则认定为攻击报文；
当所述HTTP Flood数据流的源IP地址的访问流量大于预设的访问流量阈值时，则认定为可疑IP，进而在判断出所述HTTP Flood数据流的源IP地址对预设url的访问数与总访问数的比例超过预设的访问比例阈值，则认定为攻击IP。
作为上述方案的改进，通过如下步骤获取正常数据流：
将所述信息熵的波动趋势未达到预设的波动变化条件时对应的数据流，以及获取所述异常数据流进行分流检测与防御后的数据流，作为正常数据流。
本发明另一实施例对应提供了一种DDOS攻击检测与防御装置，包括：
流量行为特征参数提取模块，用于获取通信网络中的数据流，并提取所述数据流的流量行为特征参数；其中，所述流量行为特征参数包括源IP地址及源端口号；
信息熵计算模块，用于计算所述流量行为特征参数的信息熵；
异常数据流获取模块，用于获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流；
分流检测与防御模块，用于按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御。
与现有技术相比，本发明实施例公开的DDOS攻击检测与防御方法及装置，通过获取通信网络中的数据流，并提取所述数据流的流量行为特征参数，其中，所述流量行为特征参数包括源IP地址及源端口号，计算所述流量行为特征参数的信息熵，获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流，按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，这样利用流量行为特征参数的信息熵进行DDOS攻击检测，进而结合数据流分流方法，将异常数据流按照协议类型进行分流检测及防御，能有效增加攻击检测的准确性，能降低攻击检测时间，提高执行效率，并能有效防止DDOS攻击，从而能有效解决现有技术DDOS攻击难以被网络设备检测和识别的问题，能有效提高通信网络的安全性和可靠性，降低DDOS攻击造成的严重后果。同时，本发明无需学习复杂的机器学习过程及长期的训练阶段，操作简单，利用最低的防御成本，最大程度降低DDOS攻击对通信网络造成的危害，从而大大降低了计算复杂度，降低对计算机硬件的要求。
本发明另一实施例提供了一种DDOS攻击检测与防御终端设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述处理器执行所述计算机程序时实现上述发明实施例所述的DDOS攻击检测与防御方法。
本发明另一实施例提供了一种存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行上述发明实施例所述的DDOS攻击检测与防御方法。
附图说明
图1是本发明实施例一提供的一种DDOS攻击检测与防御方法的流程示意图；
图2是本发明实施例一提供的源IP地址及源端口号的信息熵波动趋势的具体实施例示意图；
图3是本发明实施例二提供的一种DDOS攻击检测与防御装置的结构示意图；
图4是本发明实施例三提供的一种DDOS攻击检测与防御终端设备的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
实施例一
参见图1，是本发明实施例一提供的一种DDOS攻击检测与防御方法的流程示意图，所述方法包括步骤S101至步骤S104。
S101、获取通信网络中的数据流，并提取所述数据流的流量行为特征参数；其中，所述流量行为特征参数包括源IP地址及源端口号。
本发明中，所述DDOS攻击检测与防御方法分为两个阶段，第一阶段利用流量行为特征信息熵进行攻击检测，第二阶段将攻击数据流按照协议类型进行分流检测及防御。其中，示例性的，第一阶段检测过程中的信息熵计算的时间间隔建议为60s-600s，作为一个折中计算，可以选择间隔时间300s。
具体的，根据实际网络设备，获取通信网络中的Netflow流量数据，并使用工具Flow-tools将数据流中的源IP地址及源端口号输出至文本文件。进而，根据公式(5)得到所述数据流中所述源IP地址的出现概率，实现所述数据流的源IP地址：
Figure BDA0002324554840000071
其中，X1＝{X1i,i＝1,…,N}表示时间间隔内所述数据流中所述源IP地址的所有可能的N个取值状态，X1i为其中一个所述源IP地址的取值，P1为所述源IP地址的出现概率，P1＝{P1i,i＝1,…,N}，P1i为其中一个所述源IP地址的出现概率，n1i为时间间隔内其中一个所述源IP地址的出现次数。
同理地，根据公式(6)得到所述数据流中所述源端口号的出现概率，实现所述数据流的源端口号：
Figure BDA0002324554840000072
其中，X2＝{X2i,i＝1,…,N}表示时间间隔内所述数据流中所述源端口号的所有可能的N个取值状态，X2i为其中一个所述源端口号的取值，n2i为时间间隔内其中一个所述源端口号的出现次数，P2为所述源端口号的出现概率，P2＝{P2i,i＝1,…,N}，P2i为其中一个所述源IP地址的出现概率。
S102、计算所述流量行为特征参数的信息熵。
优选的，根据公式(7)得到所述流量行为特征参数的信息熵：
Figure BDA0002324554840000073
其中，H(X)为所述源IP地址和所述源端口号的信息熵，X表示数据流信源系统的属性，共有{X1,X2,…,XN}个状态，Pi为数据流信源系统的属性的出现概率。本实施例中，N＝2，X1为所述源IP地址，X2为所述源端口号，Pi包括所述源IP地址的出现概率P1和所述源端口号的出现概率P2，且满足P1+P2＝1。
S103、获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流。
需要说明的是，分析不同时间间隔节点处源IP地址与源端口号的信息熵值，若某一时间点源IP地址或源端口号的信息熵值发生明显下降和上升，即检测到所述信息熵的波动趋势达到预设的波动变化条件，则确定该时间点为异常时间点，该异常时间点处的数据流为异常数据流。参见图2，是本发明实施例一提供的源IP地址及源端口号的信息熵波动趋势的具体实施例示意图，图2(a)为源IP地址的信息熵波动趋势，图2(b)为源端口号的信息熵波动趋势，在300秒处添加DDOS攻击流，基于源IP地址及源端口号信息熵发生明显变化，基于源IP地址的信息熵在300S处急剧增大；基于源端口号的信息熵在300S处急剧减小。因此，针对异常数据流转入第二阶段的分流检测与防御。
S104、按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御。
在上述实施例中，优选的，在步骤S104之前，还包括：
将所述异常数据流按所述协议类型划分为TCP Flood数据流、UDP Flood数据流、DNS Flood数据流及HTTP Flood数据流。
基于上述实施例，步骤S104优选为：
当所述异常数据流为TCP Flood数据流时，判断所述TCP Flood数据流的TCP协议数据包比例是否不满足任一预设的TCP协议数据包比例规则；其中，所述TCP协议数据包比例规则为公式(1)、(2)、(3)及(4)：
NSYN＝NSYN+ACK (1)
NSYN+ACK＝NFlow (2)
NRST/NSY++ACK≈0 (3)
NFIN/NSYN+ACK＝2 (4)
其中，NSYN为TCP报头带有SYN标识的报文数量，NSYN+ACK为TCP报头带有SYN+ACK标识的报文数量，NFlow为TCP报头带有Flow标识的报文数量,NRST为TCP报头带有RST标识的报文数量,NFIN为TCP报头带有FIN标识的报文数量；
当判断出所述TCP协议数据包比例不满足任一所述TCP协议数据包比例规则时，则认为存在TCP Flood攻击，根据各TCP连接状态，判断是否满足至少一种预设的IP异常条件；其中，所述IP异常条件包括：TCP Flood数据流的源IP地址的新建连接速率超过预设的新建连接速率阈值、TCP Flood数据流的源IP地址的并发连接数超过预设的并发连接数阈值、建立TCP连接后发送的报文数量为0、windows size值小于预设阈值及重传请求次数大于预设的请求次数阈值；
当判断出满足至少一种所述IP异常条件时，则确定为可疑连接并断开。
需要说明的是，当判断出所述TCP协议数据包比例满足至少一项所述TCP协议数据包比例规则时，则认为不存在TCP Flood攻击，不继续执行TCP Flood数据流的防御操作。当判断出满足至少一种所述IP异常条件时，则认定为异常IP，确定为可疑连接并断开；当判断出不满足任一种所述IP异常条件时，则不执行断开操作。
基于上述实施例，步骤S104优选为：
当所述异常数据流为UDP Flood数据流时，根据UDP报文段特征，判断所述UDPFlood数据流是否满足至少一种预设的UDP Flood攻击条件；其中，所述UDP Flood攻击条件包括：UDP报文数量占总数量包的比例超过预设的比例阈值、UDP报文长度在预设的长度范围内或相同及UDP报文存在相同或有规律变化的报文字段；
当判断出所述UDP Flood数据流满足至少一种所述UDP Flood攻击条件时，则认为存在UDP Flood攻击，对具有固定特征的UDP报文进行识别，建立指纹特征库；
以所述指纹特征库作为UDP报文过滤条件，丢弃被所述指纹特征库匹配到的UDP报文，转发未匹配到所述指纹特征库的UDP报文。
需要说明的是，当判断出所述UDP Flood数据流不满足任一种所述UDP Flood攻击条件时，则认为不存在UDP Flood攻击，不继续执行UDP Flood数据流的防御操作。
基于上述实施例，步骤S104优选为：
当所述异常数据流为DNS Flood数据流时，检测所述DNS Flood数据流的数据包是否具有特定的DNS攻击源端口号；
当判断出所述DNS Flood数据流的数据包具有所述DNS攻击源端口号时，则认定为存在DNS反射放大攻击，根据DNS协议报文，建立会话记录表；其中，所述会话记录表的记录项为源IP地址、目的IP地址、源端口、目的端口及协议类型；
当接收到DNS Reply报文时，判断所述DNS Reply报文的报文信息是否与所述会话记录表相匹配，若是，则允许所述DNS Reply报文通过；若否，则认定为DNS攻击报文，禁止所述DNS Reply报文通过。
示例性的，若数据包具有特定的源端口号，则认定为DNS反射放大攻击，如DNS反射放大攻击对应的端口号为53。
基于上述实施例，步骤S104优选为：
当所述异常数据流为HTTP Flood数据流时，根据HTTP报文规律，判断所述HTTPFlood数据流是否满足至少一种预设的HTTP攻击条件，若是，则认为存在HTTP攻击；其中，所述HTTP攻击条件包括：流量超过预设的流量阈值、HTTP请求报文速率超过预设的请求报文速率阈值、访问url、jpg动态页面、php动态资源和html页面的比例频度超过预设的比例频度阈值、及HTTP报文的头部信息异于预设的正常http请求；
当所述HTTP Flood数据流的源IP地址的HTTP并发连接数超过预设的HTTP并发连接数阈值时，则认定为异常IP；
当所述HTTP Flood数据流的HTTP报文的请求头部存在异于预设的正常浏览器特征时，则认定为攻击报文；
当所述HTTP Flood数据流的源IP地址的访问流量大于预设的访问流量阈值时，则认定为可疑IP，进而在判断出所述HTTP Flood数据流的源IP地址对预设url的访问数与总访问数的比例超过预设的访问比例阈值，则认定为攻击IP。
其中，所述HTTP报文的头部信息包括user-agent、referer、cookie、cache-control，所述正常http请求可以是信息user-agent为googlebot或user-agent等，HTTP报文的请求头部可以包括user-agent、referer和cookie等。当判断出所述HTTP Flood数据流不满足任一种HTTP攻击条件时，则认为不存在HTTP攻击，不继续执行HTTP Flood数据流的防御操作。
在一种优选的实施例中，通过如下步骤获取正常数据流：
将所述信息熵的波动趋势未达到预设的波动变化条件时对应的数据流，以及获取所述异常数据流进行检测与防御后的数据流，作为正常数据流。
需要说明的是，若所述信息熵的波动趋势未达到预设的波动变化条件时对应的正常数据流，不需要执行对数据流进行检测与防御。另外，异常数据流在分流检测与防御后放行的数据流视为正常数据流。
本发明实施例提供的一种DDOS攻击检测与防御方法，通过获取通信网络中的数据流，并提取所述数据流的流量行为特征参数，其中，所述流量行为特征参数包括源IP地址及源端口号，计算所述流量行为特征参数的信息熵，获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流，按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，这样利用流量行为特征参数的信息熵进行DDOS攻击检测，进而结合数据流分流方法，将异常数据流按照协议类型进行分流检测及防御，能有效增加攻击检测的准确性，能降低攻击检测时间，提高执行效率，并能有效防止DDOS攻击，从而能有效解决现有技术DDOS攻击难以被网络设备检测和识别的问题，能有效提高通信网络的安全性和可靠性，降低DDOS攻击造成的严重后果。同时，本发明无需学习复杂的机器学习过程及长期的训练阶段，操作简单，利用最低的防御成本，最大程度降低DDOS攻击对通信网络造成的危害，从而大大降低了计算复杂度，降低对计算机硬件的要求。
实施例二
参见图3，是本发明实施例二提供的一种DDOS攻击检测与防御装置的结构示意图，包括：
流量行为特征参数提取模块201，用于获取通信网络中的数据流，并提取所述数据流的流量行为特征参数；其中，所述流量行为特征参数包括源IP地址及源端口号；
信息熵计算模块202，用于计算所述流量行为特征参数的信息熵；
异常数据流获取模块203，用于获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流；
分流检测与防御模块204，用于按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御。
优选的，所述DDOS攻击检测与防御装置还包括：
异常数据流划分单元，用于将所述异常数据流按所述协议类型划分为TCP Flood数据流、UDP Flood数据流、DNS Flood数据流及HTTP Flood数据流。
优选的，所述分流检测与防御模块204包括：
TCP Flood数据流检测单元，用于当所述异常数据流为TCP Flood数据流时，判断所述TCP Flood数据流的TCP协议数据包比例是否不满足任一预设的TCP协议数据包比例规则；其中，所述TCP协议数据包比例规则为公式(1)、(2)、(3)及(4)：
NSYN＝NSYN+ACK (1)
NSYN+ACK＝NFlow (2)
NRST/NSYN+ACK≈0 (3)
NFIN/NSYN+ACK＝2 (4)
其中，NSYN为TCP报头带有SYN标识的报文数量，NSYN+ACK为TCP报头带有SYN+ACK标识的报文数量，NFlow为TCP报头带有Flow标识的报文数量,NRST为TCP报头带有RST标识的报文数量,NFIN为TCP报头带有FIN标识的报文数量；
第一TCP Flood数据流防御单元，用于当判断出所述TCP协议数据包比例不满足任一所述TCP协议数据包比例规则时，则认为存在TCP Flood攻击，根据各TCP连接状态，判断是否满足至少一种预设的IP异常条件；其中，所述IP异常条件包括：TCP Flood数据流的源IP地址的新建连接速率超过预设的新建连接速率阈值、TCP Flood数据流的源IP地址的并发连接数超过预设的并发连接数阈值、建立TCP连接后发送的报文数量为0、windows size值小于预设阈值及重传请求次数大于预设的请求次数阈值；
第二TCP Flood数据流防御单元，用于当判断出满足至少一种所述IP异常条件时，则确定为可疑连接并断开。
优选的，所述分流检测与防御模块204包括：
UDP Flood数据流检测单元，用于当所述异常数据流为UDP Flood数据流时，根据UDP报文段特征，判断所述UDP Flood数据流是否满足至少一种预设的UDP Flood攻击条件；其中，所述UDP Flood攻击条件包括：UDP报文数量占总数量包的比例超过预设的比例阈值、UDP报文长度在预设的长度范围内或相同及UDP报文存在相同或有规律变化的报文字段；
第一UDP Flood数据流防御单元，用于当判断出所述UDP Flood数据流满足至少一种所述UDP Flood攻击条件时，则认为存在UDP Flood攻击，对具有固定特征的UDP报文进行识别，建立指纹特征库；
第二UDP Flood数据流防御单元，用于以所述指纹特征库作为UDP报文过滤条件，丢弃被所述指纹特征库匹配到的UDP报文，转发未匹配到所述指纹特征库的UDP报文。
优选的，所述分流检测与防御模块204包括：
DNS Flood数据流检测单元，用于当所述异常数据流为DNS Flood数据流时，检测所述DNS Flood数据流的数据包是否具有特定的DNS攻击源端口号；
第一DNS Flood数据流防御单元，用于当判断出所述DNS Flood数据流的数据包具有所述DNS攻击源端口号时，则认定为存在DNS反射放大攻击，根据DNS协议报文，建立会话记录表；其中，所述会话记录表的记录项为源IP地址、目的IP地址、源端口、目的端口及协议类型；
第二DNS Flood数据流防御单元，用于当接收到DNS Reply报文时，判断所述DNSReply报文的报文信息是否与所述会话记录表相匹配，若是，则允许所述DNS Reply报文通过；若否，则认定为DNS攻击报文，禁止所述DNS Reply报文通过。
优选的，所述分流检测与防御模块204包括：
HTTP Flood数据流检测单元，用于当所述异常数据流为HTTP Flood数据流时，根据HTTP报文规律，判断所述HTTP Flood数据流是否满足至少一种预设的HTTP攻击条件，若是，则认为存在HTTP攻击；其中，所述HTTP攻击条件包括：流量超过预设的流量阈值、HTTP请求报文速率超过预设的请求报文速率阈值、访问url、jpg动态页面、php动态资源和html页面的比例频度超过预设的比例频度阈值、及HTTP报文的头部信息异于预设的正常http请求；
第一HTTP Flood数据流防御单元，用于当所述HTTP Flood数据流的源IP地址的HTTP并发连接数超过预设的HTTP并发连接数阈值时，则认定为异常IP；
第二HTTP Flood数据流防御单元，用于当所述HTTP Flood数据流的HTTP报文的请求头部存在异于预设的正常浏览器特征时，则认定为攻击报文；
第三HTTP Flood数据流防御单元，用于当所述HTTP Flood数据流的源IP地址的访问流量大于预设的访问流量阈值时，则认定为可疑IP，进而在判断出所述HTTP Flood数据流的源IP地址对预设url的访问数与总访问数的比例超过预设的访问比例阈值，则认定为攻击IP。
优选的，所述DDOS攻击检测与防御装置还包括：
正常数据流检测单元，用于将所述信息熵的波动趋势未达到预设的波动变化条件时对应的数据流，以及获取所述异常数据流进行分流检测与防御后的数据流，作为正常数据流。
本发明实施例提供的一种DDOS攻击检测与防御装置，通过获取通信网络中的数据流，并提取所述数据流的流量行为特征参数，其中，所述流量行为特征参数包括源IP地址及源端口号，计算所述流量行为特征参数的信息熵，获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流，按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，这样利用流量行为特征参数的信息熵进行DDOS攻击检测，进而结合数据流分流方法，将异常数据流按照协议类型进行分流检测及防御，能有效增加攻击检测的准确性，能降低攻击检测时间，提高执行效率，并能有效防止DDOS攻击，从而能有效解决现有技术DDOS攻击难以被网络设备检测和识别的问题，能有效提高通信网络的安全性和可靠性，降低DDOS攻击造成的严重后果。同时，本发明无需学习复杂的机器学习过程及长期的训练阶段，操作简单，利用最低的防御成本，最大程度降低DDOS攻击对通信网络造成的危害，从而大大降低了计算复杂度，降低对计算机硬件的要求。
实施例三
参见图4，是本发明实施例三提供的一种DDOS攻击检测与防御终端设备的结构示意图。该实施例的DDOS攻击检测与防御终端设备包括：处理器301、存储器302以及存储在所述存储器302中并可在所述处理器301上运行的计算机程序，例如DDOS攻击检测与防御程序。所述处理器执行所述计算机程序时实现上述各个DDOS攻击检测与防御方法实施例中的步骤。或者，所述处理器执行所述计算机程序时实现上述各装置实施例中各模块/单元的功能。
示例性的，所述计算机程序可以被分割成一个或多个模块/单元，所述一个或者多个模块/单元被存储在所述存储器中，并由所述处理器执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述DDOS攻击检测与防御终端设备中的执行过程。
所述DDOS攻击检测与防御终端设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述DDOS攻击检测与防御终端设备可包括，但不仅限于，处理器、存储器。本领域技术人员可以理解，所述示意图仅仅是DDOS攻击检测与防御终端设备的示例，并不构成对DDOS攻击检测与防御终端设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述DDOS攻击检测与防御终端设备还可以包括输入输出设备、网络接入设备、总线等。
所称处理器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述DDOS攻击检测与防御终端设备的控制中心，利用各种接口和线路连接整个DDOS攻击检测与防御终端设备的各个部分。
所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现所述DDOS攻击检测与防御终端设备的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(SecureDigital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。
其中，所述DDOS攻击检测与防御终端设备集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。
需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (10)

1.一种DDOS攻击检测与防御方法，其特征在于，包括：
获取通信网络中的数据流，并提取所述数据流的流量行为特征参数；其中，所述流量行为特征参数包括源IP地址及源端口号；
计算所述流量行为特征参数的信息熵；
获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流；
按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御。
2.如权利要求1所述的DDOS攻击检测与防御方法，其特征在于，在所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御之前，还包括：
将所述异常数据流按所述协议类型划分为TCP Flood数据流、UDP Flood数据流、DNSFlood数据流及HTTP Flood数据流。
3.如权利要求2所述的DDOS攻击检测与防御方法，其特征在于，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为TCP Flood数据流时，判断所述TCP Flood数据流的TCP协议数据包比例是否不满足任一预设的TCP协议数据包比例规则；其中，所述TCP协议数据包比例规则为公式(1)、(2)、(3)及(4)：
NSYN＝NSYN+ACK (1)
NSYN+ACK＝NFlow (2)
NRST/NSYN+ACK≈0 (3)
NFIN/NSYN+ACK＝2 (4)
其中，NSYN为TCP报头带有SYN标识的报文数量，NSYN+ACK为TCP报头带有SYN+ACK标识的报文数量，NFlow为TCP报头带有Flow标识的报文数量，NRST为TCP报头带有RST标识的报文数量，NFIN为TCP报头带有FIN标识的报文数量；
当判断出所述TCP协议数据包比例不满足任一所述TCP协议数据包比例规则时，则认为存在TCP Flood攻击，根据各TCP连接状态，判断是否满足至少一种预设的IP异常条件；其中，所述IP异常条件包括：TCP Flood数据流的源IP地址的新建连接速率超过预设的新建连接速率阈值、TCP Flood数据流的源IP地址的并发连接数超过预设的并发连接数阈值、建立TCP连接后发送的报文数量为0、windows size值小于预设阈值及重传请求次数大于预设的请求次数阈值；
当判断出满足至少一种所述IP异常条件时，则确定为可疑连接并断开。
4.如权利要求2所述的DDOS攻击检测与防御方法，其特征在于，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为UDP Flood数据流时，根据UDP报文段特征，判断所述UDP Flood数据流是否满足至少一种预设的UDP Flood攻击条件；其中，所述UDP Flood攻击条件包括：UDP报文数量占总数量包的比例超过预设的比例阈值、UDP报文长度在预设的长度范围内或相同及UDP报文存在相同或有规律变化的报文字段；
当判断出所述UDP Flood数据流满足至少一种所述UDP Flood攻击条件时，则认为存在UDP Flood攻击，对具有固定特征的UDP报文进行识别，建立指纹特征库；
以所述指纹特征库作为UDP报文过滤条件，丢弃被所述指纹特征库匹配到的UDP报文，转发未匹配到所述指纹特征库的UDP报文。
5.如权利要求2所述的DDOS攻击检测与防御方法，其特征在于，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为DNS Flood数据流时，检测所述DNS Flood数据流的数据包是否具有特定的DNS攻击源端口号；
当判断出所述DNS Flood数据流的数据包具有所述DNS攻击源端口号时，则认定为存在DNS反射放大攻击，根据DNS协议报文，建立会话记录表；其中，所述会话记录表的记录项为源IP地址、目的IP地址、源端口、目的端口及协议类型；
当接收到DNS Reply报文时，判断所述DNS Reply报文的报文信息是否与所述会话记录表相匹配，若是，则允许所述DNS Reply报文通过；若否，则认定为DNS攻击报文，禁止所述DNS Reply报文通过。
6.如权利要求2所述的DDOS攻击检测与防御方法，其特征在于，所述按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御，具体包括：
当所述异常数据流为HTTP Flood数据流时，根据HTTP报文规律，判断所述HTTP Flood数据流是否满足至少一种预设的HTTP攻击条件，若是，则认为存在HTTP攻击；其中，所述HTTP攻击条件包括：流量超过预设的流量阈值、HTTP请求报文速率超过预设的请求报文速率阈值、访问url、jpg动态页面、php动态资源和html页面的比例频度超过预设的比例频度阈值、及HTTP报文的头部信息异于预设的正常ht中请求；
当所述HTTP Flood数据流的源IP地址的HTTP并发连接数超过预设的HTTP并发连接数阈值时，则认定为异常IP；
当所述HTTP Flood数据流的HTTP报文的请求头部存在异于预设的正常浏览器特征时，则认定为攻击报文；
当所述HTTP Flood数据流的源IP地址的访问流量大于预设的访问流量阈值时，则认定为可疑IP，进而在判断出所述HTTP Flood数据流的源IP地址对预设url的访问数与总访问数的比例超过预设的访问比例阈值，则认定为攻击IP。
7.如权利要求1所述的DDOS攻击检测与防御方法，其特征在于，通过如下步骤获取正常数据流：
将所述信息熵的波动趋势未达到预设的波动变化条件时对应的数据流，以及获取所述异常数据流进行分流检测与防御后的数据流，作为正常数据流。
8.一种DDOS攻击检测与防御装置，其特征在于，包括：
流量行为特征参数提取模块，用于获取通信网络中的数据流，并提取所述数据流的流量行为特征参数；其中，所述流量行为特征参数包括源IP地址及源端口号；
信息熵计算模块，用于计算所述流量行为特征参数的信息熵；
异常数据流获取模块，用于获取当所述信息熵的波动趋势达到预设的波动变化条件时对应的数据流，作为异常数据流；
分流检测与防御模块，用于按所述异常数据流的协议类型对所述异常数据流进行分流检测与防御。
9.一种DDOS攻击检测与防御终端设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述处理器执行所述计算机程序时实现如权利要求1至7中任意一项所述的DDOS攻击检测与防御方法。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行如权利要求1至7中任意一项所述的DDOS攻击检测与防御方法。
CN201911311155.6A 2019-12-18 2019-12-18 Ddos攻击检测与防御方法、装置、终端设备及存储介质 Active CN111181932B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911311155.6A CN111181932B (zh) 2019-12-18 2019-12-18 Ddos攻击检测与防御方法、装置、终端设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911311155.6A CN111181932B (zh) 2019-12-18 2019-12-18 Ddos攻击检测与防御方法、装置、终端设备及存储介质

Publications (2)

Publication Number Publication Date
CN111181932A true CN111181932A (zh) 2020-05-19
CN111181932B CN111181932B (zh) 2022-09-27

Family

ID=70657327

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911311155.6A Active CN111181932B (zh) 2019-12-18 2019-12-18 Ddos攻击检测与防御方法、装置、终端设备及存储介质

Country Status (1)

Country Link
CN (1) CN111181932B (zh)

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111818103A (zh) * 2020-09-09 2020-10-23 信联科技(南京)有限公司 一种网络靶场中基于流量的溯源攻击路径方法
CN111935121A (zh) * 2020-07-31 2020-11-13 北京天融信网络安全技术有限公司 一种漏洞上报方法及装置
CN112333174A (zh) * 2020-10-29 2021-02-05 杭州光通天下网络科技有限公司 一种反射型DDos的IP扫描探测系统
CN112491806A (zh) * 2020-11-04 2021-03-12 深圳供电局有限公司 一种云平台流量安全分析系统及方法
CN112532617A (zh) * 2020-11-27 2021-03-19 神州绿盟成都科技有限公司 一种针对HTTP Flood攻击的检测方法、装置、设备及介质
CN112702321A (zh) * 2020-12-15 2021-04-23 深圳市快付通金融网络科技服务有限公司 分布式交易限流方法、装置、设备及存储介质
CN112788039A (zh) * 2021-01-15 2021-05-11 合肥浩瀚深度信息技术有限公司 一种DDoS攻击识别方法、装置及存储介质
CN112839054A (zh) * 2021-02-02 2021-05-25 杭州安恒信息技术股份有限公司 一种网络攻击检测方法、装置、设备及介质
CN112929369A (zh) * 2021-02-07 2021-06-08 辽宁科技大学 一种分布式实时DDoS攻击检测方法
CN112995235A (zh) * 2021-05-20 2021-06-18 清华大学 一种对DDoS攻击进行检测的方法、装置及电子设备
CN113221113A (zh) * 2021-05-28 2021-08-06 东北林业大学 基于分布式机器学习和区块链的物联网DDoS检测、防御方法、检测装置及存储介质
CN113596000A (zh) * 2021-07-19 2021-11-02 中移（杭州）信息技术有限公司 攻击检测方法、装置以及存储介质
CN113630389A (zh) * 2021-07-22 2021-11-09 北京明略软件系统有限公司 用户异常行为识别方法、系统、电子设备及存储介质
CN113779567A (zh) * 2021-09-10 2021-12-10 哈尔滨工业大学 一种面向dpi缓存丢失攻击的防御方法、计算机及存储介质
CN113824730A (zh) * 2021-09-29 2021-12-21 恒安嘉新（北京）科技股份公司 一种攻击分析方法、装置、设备及存储介质
CN113824700A (zh) * 2021-08-31 2021-12-21 浙江大学 基于端口相似性的双阶段软件定义网络流表溢出防御方法
CN114095258A (zh) * 2021-11-23 2022-02-25 北京天融信网络安全技术有限公司 攻击防御方法、装置、电子设备及存储介质
CN114268383A (zh) * 2021-12-21 2022-04-01 瑞德电子(信丰)有限公司 一种无线数据收发模块及其测试方法
CN114338206A (zh) * 2021-12-31 2022-04-12 曙光网络科技有限公司 Ddos攻击检测方法、装置、设备以及存储介质
CN114338120A (zh) * 2021-12-23 2022-04-12 绿盟科技集团股份有限公司 一种扫段攻击检测方法、装置、介质和电子设备
CN114884749A (zh) * 2022-07-06 2022-08-09 智联信通科技股份有限公司 一种基于人工智能的网络安全态势感知方法
CN117081863A (zh) * 2023-10-16 2023-11-17 武汉博易讯信息科技有限公司 Ddos攻击检测防御方法、系统、计算机设备及存储介质
CN117857222A (zh) * 2024-03-07 2024-04-09 国网江西省电力有限公司电力科学研究院 一种基于动态ip的新能源集控站网络动态防御系统及方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102271068A (zh) * 2011-09-06 2011-12-07 电子科技大学 一种dos/ddos攻击检测方法
CN106953833A (zh) * 2016-01-07 2017-07-14 无锡聚云科技有限公司 一种DDoS攻击检测系统
CN107241301A (zh) * 2016-03-29 2017-10-10 阿里巴巴集团控股有限公司 防御反射攻击的方法、装置和系统
CN108173812A (zh) * 2017-12-07 2018-06-15 东软集团股份有限公司 防止网络攻击的方法、装置、存储介质和设备
CN108737447A (zh) * 2018-06-22 2018-11-02 腾讯科技（深圳）有限公司 用户数据报协议流量过滤方法、装置、服务器及存储介质
CN109194680A (zh) * 2018-09-27 2019-01-11 腾讯科技（深圳）有限公司 一种网络攻击识别方法、装置及设备

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102271068A (zh) * 2011-09-06 2011-12-07 电子科技大学 一种dos/ddos攻击检测方法
CN106953833A (zh) * 2016-01-07 2017-07-14 无锡聚云科技有限公司 一种DDoS攻击检测系统
CN107241301A (zh) * 2016-03-29 2017-10-10 阿里巴巴集团控股有限公司 防御反射攻击的方法、装置和系统
CN108173812A (zh) * 2017-12-07 2018-06-15 东软集团股份有限公司 防止网络攻击的方法、装置、存储介质和设备
CN108737447A (zh) * 2018-06-22 2018-11-02 腾讯科技（深圳）有限公司 用户数据报协议流量过滤方法、装置、服务器及存储介质
CN109194680A (zh) * 2018-09-27 2019-01-11 腾讯科技（深圳）有限公司 一种网络攻击识别方法、装置及设备

Cited By (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111935121A (zh) * 2020-07-31 2020-11-13 北京天融信网络安全技术有限公司 一种漏洞上报方法及装置
CN111935121B (zh) * 2020-07-31 2022-04-26 北京天融信网络安全技术有限公司 一种漏洞上报方法及装置
CN111818103A (zh) * 2020-09-09 2020-10-23 信联科技(南京)有限公司 一种网络靶场中基于流量的溯源攻击路径方法
CN111818103B (zh) * 2020-09-09 2020-12-15 信联科技(南京)有限公司 一种网络靶场中基于流量的溯源攻击路径方法
CN112333174A (zh) * 2020-10-29 2021-02-05 杭州光通天下网络科技有限公司 一种反射型DDos的IP扫描探测系统
CN112333174B (zh) * 2020-10-29 2022-08-23 杭州光通天下网络科技有限公司 一种反射型DDos的IP扫描探测系统
CN112491806A (zh) * 2020-11-04 2021-03-12 深圳供电局有限公司 一种云平台流量安全分析系统及方法
CN112532617A (zh) * 2020-11-27 2021-03-19 神州绿盟成都科技有限公司 一种针对HTTP Flood攻击的检测方法、装置、设备及介质
CN112702321A (zh) * 2020-12-15 2021-04-23 深圳市快付通金融网络科技服务有限公司 分布式交易限流方法、装置、设备及存储介质
CN112788039A (zh) * 2021-01-15 2021-05-11 合肥浩瀚深度信息技术有限公司 一种DDoS攻击识别方法、装置及存储介质
CN112839054A (zh) * 2021-02-02 2021-05-25 杭州安恒信息技术股份有限公司 一种网络攻击检测方法、装置、设备及介质
CN112929369A (zh) * 2021-02-07 2021-06-08 辽宁科技大学 一种分布式实时DDoS攻击检测方法
CN112995235A (zh) * 2021-05-20 2021-06-18 清华大学 一种对DDoS攻击进行检测的方法、装置及电子设备
CN112995235B (zh) * 2021-05-20 2021-07-27 清华大学 一种对DDoS攻击进行检测的方法、装置及电子设备
CN113221113B (zh) * 2021-05-28 2021-10-01 东北林业大学 基于分布式机器学习和区块链的物联网DDoS检测、防御方法、检测装置及存储介质
CN113221113A (zh) * 2021-05-28 2021-08-06 东北林业大学 基于分布式机器学习和区块链的物联网DDoS检测、防御方法、检测装置及存储介质
CN113596000A (zh) * 2021-07-19 2021-11-02 中移（杭州）信息技术有限公司 攻击检测方法、装置以及存储介质
CN113630389A (zh) * 2021-07-22 2021-11-09 北京明略软件系统有限公司 用户异常行为识别方法、系统、电子设备及存储介质
CN113630389B (zh) * 2021-07-22 2024-04-12 北京明略软件系统有限公司 用户异常行为识别方法、系统、电子设备及存储介质
CN113824700A (zh) * 2021-08-31 2021-12-21 浙江大学 基于端口相似性的双阶段软件定义网络流表溢出防御方法
CN113824700B (zh) * 2021-08-31 2022-11-15 浙江大学 基于端口相似性的双阶段软件定义网络流表溢出防御方法
CN113779567A (zh) * 2021-09-10 2021-12-10 哈尔滨工业大学 一种面向dpi缓存丢失攻击的防御方法、计算机及存储介质
CN113824730A (zh) * 2021-09-29 2021-12-21 恒安嘉新（北京）科技股份公司 一种攻击分析方法、装置、设备及存储介质
CN114095258A (zh) * 2021-11-23 2022-02-25 北京天融信网络安全技术有限公司 攻击防御方法、装置、电子设备及存储介质
CN114095258B (zh) * 2021-11-23 2024-02-06 北京天融信网络安全技术有限公司 攻击防御方法、装置、电子设备及存储介质
CN114268383A (zh) * 2021-12-21 2022-04-01 瑞德电子(信丰)有限公司 一种无线数据收发模块及其测试方法
CN114268383B (zh) * 2021-12-21 2023-12-22 瑞德电子(信丰)有限公司 一种无线数据收发模块及其测试方法
CN114338120A (zh) * 2021-12-23 2022-04-12 绿盟科技集团股份有限公司 一种扫段攻击检测方法、装置、介质和电子设备
CN114338120B (zh) * 2021-12-23 2023-11-21 绿盟科技集团股份有限公司 一种扫段攻击检测方法、装置、介质和电子设备
CN114338206A (zh) * 2021-12-31 2022-04-12 曙光网络科技有限公司 Ddos攻击检测方法、装置、设备以及存储介质
CN114338206B (zh) * 2021-12-31 2024-05-07 曙光网络科技有限公司 Ddos攻击检测方法、装置、设备以及存储介质
CN114884749A (zh) * 2022-07-06 2022-08-09 智联信通科技股份有限公司 一种基于人工智能的网络安全态势感知方法
CN117081863A (zh) * 2023-10-16 2023-11-17 武汉博易讯信息科技有限公司 Ddos攻击检测防御方法、系统、计算机设备及存储介质
CN117081863B (zh) * 2023-10-16 2023-12-15 武汉博易讯信息科技有限公司 Ddos攻击检测防御方法、系统、计算机设备及存储介质
CN117857222A (zh) * 2024-03-07 2024-04-09 国网江西省电力有限公司电力科学研究院 一种基于动态ip的新能源集控站网络动态防御系统及方法

Also Published As

Publication number Publication date
CN111181932B (zh) 2022-09-27

Similar Documents

Publication Publication Date Title
CN111181932B (zh) Ddos攻击检测与防御方法、装置、终端设备及存储介质
US10284594B2 (en) Detecting and preventing flooding attacks in a network environment
CN109194680B (zh) 一种网络攻击识别方法、装置及设备
US9135439B2 (en) Methods and apparatus to detect risks using application layer protocol headers
US10257213B2 (en) Extraction criterion determination method, communication monitoring system, extraction criterion determination apparatus and extraction criterion determination program
CN108600003B (zh) 一种面向视频监控网络的入侵检测方法、装置及系统
CN110933111B (zh) 一种基于DPI的DDoS攻击识别方法及装置
US10616271B2 (en) System and method for mitigating distributed denial of service attacks
CN115398860A (zh) 一种会话检测方法、装置、检测设备及计算机存储介质
CN113556343B (zh) 基于浏览器指纹识别的DDoS攻击防御方法及设备
CN110061998B (zh) 一种攻击防御方法及装置
CN111131309A (zh) 分布式拒绝服务检测方法、装置及模型创建方法、装置
CN108347359B (zh) 一种大型网络地址转换出口判断方法及装置
CN112559824A (zh) 报文处理方法、装置和设备
CN115017502A (zh) 一种流量处理方法、及防护系统
CN112738110A (zh) 一种旁路阻断方法、装置、电子设备和存储介质
CN106656912B (zh) 一种检测拒绝服务攻击的方法及装置
CN110995586A (zh) 一种bgp报文的处理方法、装置、电子设备及存储介质
CN112640392B (zh) 一种木马检测方法、装置和设备
CN112532610B (zh) 一种基于tcp分段的入侵防御检测方法及装置
CN112261004B (zh) 一种Domain Flux数据流的检测方法及装置
CN110995700A (zh) 一种畸形ip报文检测方法、设备以及存储介质
CN110162969B (zh) 一种流量的分析方法和装置
CN111885092A (zh) 一种边缘节点的DDoS攻击检测方法、处理方法及SDN
TWI784938B (zh) 電文清理方法及裝置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant