CN113285953B - 可用于DDoS攻击的DNS反射器检测方法、系统、设备及可读存储介质 - Google Patents

Abstract

本发明公开了可用于DDoS攻击的DNS反射器检测方法、系统、设备及可读存储介质，通过计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序，取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击，使用攻击效果函数对DDoS攻击的攻击效果进行评估，本发明通过在探测网络中的DNS反射器，并对其威胁程度进行评估，从而检测出潜在可用于DDoS攻击的DNS反射器，本发明能够提前发现网络中潜在的攻击资源，提前做好DDoS攻击防护，保障网络安全；本发明提出的检测方法能够发现网络中DNS服务器配置的异常，从而网络管理员及时处理异常的DNS服务器配置，减少网络中的潜在攻击资源，降低网络攻击风险。

Description

可用于DDoS攻击的DNS反射器检测方法、系统、设备及可读存 储介质

技术领域

本发明属于网络安全领域，具体涉及可用于DDoS攻击的DNS反射器检测方法、系统、设备及可读存储介质。

背景技术

近年来，随着互联网的高速发展，网络已经紧密地融入我们的生产与生活，网络安全也成为一个不可忽视的问题。DNS(Domain Name System，域名系统)服务器是进行域名(domain name)和与之相对应的IP地址(IP address)转换的服务器。DNS服务器中保存了一张域名和与之相对应的IP地址的表，当DNS服务器收到用户发送的DNS解析请求时，向用户返回DNS解析的结果。一般来说，DNS解析结果的数据包大小要大于DNS请求数据包，因此DNS服务器可用于DDoS攻击的反射器，用来进行DDoS攻击(Distributed denial of serviceattack，分布式拒绝服务攻击)，分布式拒绝服务(DDoS)攻击是一种恶意企图，通过大量互联网流量压倒目标或其周围的基础架构来破坏目标服务器，服务或网络的正常流量。DDoS攻击通过利用多个受损计算机系统作为攻击流量来源来实现有效性。网络中存在大量的DNS服务器，且DNS服务器拥有放大流量的能力，如果被实际用于DDoS攻击，将会产生严重的后果，国内外关于可用于DDoS攻击的DNS反射器检测方法目前并没有一个确切的定论，也没有一个确定的可用于DDoS攻击的DNS反射器检测方法。大多数关于DDoS攻击的研究都着力于DDoS攻击流量的识别，由此可见，关于可用于DDoS攻击的DNS反射器检测方法问题尚未被广泛深入研究，相关技术也尚未被广泛应用。

发明内容

本发明的目的在于提供可用于DDoS攻击的DNS反射器检测方法、系统、设备及可读存储介质，以克服现有技术的不足。

为达到上述目的，本发明采用如下技术方案：

一种可用于DDoS攻击的DNS反射器检测方法，包括以下步骤：

S1，采集可用于反射攻击的DNS递归服务器的IP地址集合；

S2，计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序，取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击；

S3，使用攻击效果函数对DDoS攻击的攻击效果进行评估，若攻击效果大于等于设定阈值Y，则该DNS反射器潜在可用于DDoS攻击，否则不可用，即可实现可用于DDoS攻击的DNS反射器的快速检测。

进一步的，对IP地址集合中所有IP地址进行DNS扫描得到各IP地址的DNS信息向量，形成DNS信息向量集合；

DNS信息向量I_X为：

I_X＝{IP，SEC，ANY，RT，Country，City，Lat，Long，Time}

其中IP是被扫描的DNS服务器的IP地址，SEC是DNS服务器是否支持DNSSEC协议标记，0表示不支持，1表示支持；ANY是DNS服务器是否支持Any类型的DNS解析请求标记，0表示不支持，1表示支持；RT是DNS服务器响应的DNS请求数量在所有发送的DNS请求数量中所占的比例；Country是DNS服务器的IP所在的国家名称；City是DNS服务器的IP所在的城市名称；Lat是DNS服务器的IP所在的纬度；Long是DNS服务器的IP所在的经度；Time是本次扫描的时间。

进一步的，DNS扫描具体为构造多种类型的DNS请求包，包括不支持DNSSEC协议的A记录请求、支持DNSSEC协议的A记录请求、不支持DNSSEC协议的Any记录请求。

进一步的，获取已知位置的攻击目标的位置特征向量L_V：

L_V＝{IP，Country，City，Lat，Long}

其中，IP是DDoS攻击目标的IP地址，Country是DDoS攻击目标的IP所在的国家名称，City是DDoS攻击目标的IP所在的城市名称，Lat是DDoS攻击目标的IP所在的纬度，Long是DDoS攻击目标的IP所在的经度。

进一步的，对DNS信息向量集合中的DNS信息向量和攻击目标的位置特征向量使用攻击潜能函数计算攻击潜能Q_XV：

Q_XV＝AR_X+W_XV

其中，AR_X为DNS信息向量中IP对应的DNS反射器的放大潜力的一个函数；W_XV为DNS信息向量中IP对应的DNS反射器和DDoS攻击目标IP的位置特征向量中IP对应的受害者主机之间位置关系的一个函数。

进一步的，具体的AR_X为：

AR_X＝α₁*I_X[SEC]+α₂*I_X[ANY]+(1+I_X[RT])

其中，I_X[SEC]表示DNS信息向量I_X中SEC元素的值，I_X[ANY]表示DNS信息向量I_X中ANY元素的值，I_X[RT]表示DNS信息向量I_X中RT元素的值，α₁和α₂为常数；

W_XV为：

W_XV＝β₁*SP(I_X[IP]，L_V[IP])+β₂*S(I_X[Country]，L_V[Country])+β₃*S(I_X[City]，L_V[City])+β₄*Dis(I_X，L_V)

其中，β₁、β₂、β₃、β₄为常数，SP(IP₁，IP₂)表示IP地址IP₁和IP地址IP₂的网段相似度，Dis(I_X，L_V)表示I_X中的经纬度和L_V中的经纬度之间的地理距离等级。

进一步的，其中攻击效果函数为：

G_XV＝Bind₁-Bind₂

其中，Bind₁表示正常情况下DDoS攻击目标的出口带宽，Bind₂表示攻击情况下DDoS攻击目标的出口带宽。

一种可用于DDoS攻击的DNS反射器检测系统，包括：

IP地址模块，用于采集可用于反射攻击的DNS递归服务器的IP地址形成IP地址集合；

攻击潜能模块，用于计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序；

检测模块，用于根据攻击潜能函数进行排序结果取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击，使用攻击效果函数对DDoS攻击的攻击效果进行评估，输出评估结果。

一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现可用于DDoS攻击的DNS反射器检测方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现可用于DDoS攻击的DNS反射器检测方法的步骤。

与现有技术相比，本发明具有以下有益的技术效果：

本发明一种可用于DDoS攻击的DNS反射器检测方法，通过计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序，取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击，使用攻击效果函数对DDoS攻击的攻击效果进行评估，若攻击效果大于等于设定阈值Y，则该DNS反射器潜在可用于DDoS攻击，否则不可用，即可实现可用于DDoS攻击的DNS反射器的快速检测，本发明通过在探测网络中的DNS反射器，并对其威胁程度进行评估，从而检测出潜在可用于DDoS攻击的DNS反射器，本发明能够提前发现网络中潜在的攻击资源，提前做好DDoS攻击防护，保障网络安全；本发明提出的检测方法能够发现网络中DNS服务器配置的异常，从而网络管理员及时处理异常的DNS服务器配置，减少网络中的潜在攻击资源，降低网络攻击风险。

进一步的，对DNS信息向量集合中的DNS信息向量和攻击目标的位置特征向量使用攻击潜能函数计算攻击潜能，从而快速从众多DNS反射器中筛选出可用于DDoS攻击的DNS反射器，提供网络检测效率。

附图说明

图1为本发明实施例中具体方法流程图。

图2为本发明实施例中系统结构示意图。

具体实施方式

下面结合附图对本发明做进一步详细描述：

如图1所示，一种可用于DDoS攻击的DNS反射器检测方法，包括以下步骤：

S1，采集可用于反射攻击的DNS递归服务器的IP地址集合；

对IP地址集合中所有IP地址进行DNS扫描得到各IP地址的DNS信息向量，形成DNS信息向量集合；

IP地址集合通过指定或者数据分析获取，IP地址集合也可为IP地址范围；采集或者指定得到IP地址集合D，对IP地址集合D中的所有IP地址逐一进行DNS扫描，剔除非DNS服务器的IP地址；对于IP地址X，得到DNS信息向量I_X，IP地址集合D中所有属于DNS服务器的IP地址的DNS信息向量组成DNS信息向量集合C；

S2，计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序，取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击；

设给定DDoS攻击目标IP为V，通过查询GeoIP2数据库得到V的位置特征向量L_V；

通过计算攻击潜能函数，对IP地址集合D中的IP地址对应的DNS反射器按照攻击潜能降序排序，得到有序序列S_D，取S_D中前N个DNS反射器作为潜在可用于DDoS攻击反射器，得到DNS反射器集合T，N为反射器选取个数，取常数；

利用DNS反射器集合T中的所有DNS反射器对给定的攻击目标V，依次发动DDoS攻击；

S3，使用攻击效果函数对发动的DDoS攻击的攻击效果进行评估，若攻击效果大于等于阈值Y，Y的值根据实际情况设置，则认为该DNS反射器潜在可用于大规模DDoS攻击，否则不可用，即可实现可用于DDoS攻击的DNS反射器的快速检测。

在步骤S1中，DNS扫描具体为构造多种类型的DNS请求包，包括不支持DNSSEC协议的A记录请求、支持DNSSEC协议的A记录请求、不支持DNSSEC协议的Any记录请求，快速地向扫描目标DNS服务器的53端口发送构造的数据包，解析目标DNS服务器返回的数据包，剔除非DNS服务器的IP地址，得到DNS信息向量I_X；DNS信息向量I_X的定义如下：

I_X＝{IP，SEC，ANY，RT，Country，City，Lat，Long，Time}

其中IP是被扫描的DNS服务器的IP地址，SEC是DNS服务器是否支持DNSSEC协议标记，0表示不支持，1表示支持；ANY是DNS服务器是否支持Any类型的DNS解析请求标记，0表示不支持，1表示支持；RT是DNS服务器响应的DNS请求数量在所有发送的DNS请求数量中所占的比例；Country是DNS服务器的IP所在的国家名称；City是DNS服务器的IP所在的城市名称；Lat是DNS服务器的IP所在的纬度；Long是DNS服务器的IP所在的经度；Time是本次扫描的时间；集合D中所有IP地址的DNS信息向量组成DNS信息向量集合C。

在步骤S2中，DDoS攻击目标IP的位置特征向量L_V定义如下：

L_V＝{IP，Country，City，Lat，Long}

其中，IP是DDoS攻击目标的IP地址，Country是DDoS攻击目标的IP所在的国家名称，City是DDoS攻击目标的IP所在的城市名称，Lat是DDoS攻击目标的IP所在的纬度，Long是DDoS攻击目标的IP所在的经度。

对DNS信息向量集合C中的元素DNS信息向量I_X和DDoS攻击目标IP的位置特征向量L_V使用攻击潜能函数计算攻击潜能Q_XV，Q_XV表示I_X中IP对应的DNS反射器对L_V中IP对应的受害者主机的攻击潜能的大小，攻击潜能函数的定义如下：

Q_XV＝AR_X+W_XV

其中，AR_X是用来描述I_X中IP对应的DNS反射器的放大潜力的一个函数，AR_X的定义如下：

AR_X＝α₁*I_X[SEC]+α₂*I_X[ANY]+(1+I_X[RT])

其中，I_X[SEC]表示DNS信息向量I_X中SEC元素的值，同样的，I_X[ANY]表示DNS信息向量I_X中ANY元素的值，I_X[RT]表示DNS信息向量I_X中RT元素的值，α₁和α₂为常数，根据实际情况灵活设置；W_XV是用来描述I_X中IP对应的DNS反射器和L_V中IP对应的受害者主机之间位置关系的一个函数，W_XV的定义如下：

W_XV＝β₁*SP(I_X[IP]，L_V[IP])+β₂*S(I_X[Country]，L_V[Country])+β₃*S(I_X[City]，L_V[City])+β₄*Dis(I_X，L_V)

其中，β₁、β₂、β₃、β₄为常数，根据实际情况灵活设置，SP(IP₁，IP₂)表示IP地址IP₁和IP地址IP₂的网段相似度，若两个IP地址的前R位相同，则它们的网段相似度为R，S(S₁，S₂)表示字符串S₁和字符串S₂的完全匹配距离，Dis(I_X，L_V)表示I_X中的经纬度和L_V中的经纬度之间的地理距离等级；S(S₁，S₂)的定义如下：

Dis(I_X，L_V)的定义如下：

攻击效果函数为：

G_XV＝Bind₁-Bind₂

其中，Bind₁表示正常情况下DDoS攻击目标的出口带宽，Bind₂表示攻击情况下DDoS攻击目标的出口带宽。

本发明一个实施例中，提供了一种终端设备，该终端设备包括处理器以及存储器，所述存储器用于存储计算机程序，所述计算机程序包括程序指令，所述处理器用于执行所述计算机存储介质存储的程序指令。处理器采用中央处理单元(CPU)，或者采用其他通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等，其是终端的计算核心以及控制核心，其适于实现一条或一条以上指令，具体适于加载并执行一条或一条以上指令从而实现相应方法流程或相应功能；本发明实施例所述的处理器可用于DDoS攻击的DNS反射器检测方法的操作。

如图2所示，一种可用于DDoS攻击的DNS反射器检测系统，包括：IP地址模块，用于采集可用于反射攻击的DNS递归服务器的IP地址形成IP地址集合；

攻击潜能模块，用于计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序；

检测模块，用于根据攻击潜能函数进行排序结果取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击，使用攻击效果函数对DDoS攻击的攻击效果进行评估，输出评估结果。

本发明再一个实施例中，本发明还提供了一种存储介质，具体采用计算机可读存储介质(Memory)，所述计算机可读存储介质是终端设备中的记忆设备，用于存放程序和数据。计算机可读存储介质包括终端设备中的内置存储介质，提供存储空间，存储了终端的操作系统，也可包括终端设备所支持的扩展存储介质。并且，在该存储空间中还存放了适于被处理器加载并执行的一条或一条以上的指令，这些指令可以是一个或一个以上的计算机程序(包括程序代码)。需要说明的是，此处的计算机可读存储介质可以是高速RAM存储器，也可以是非不稳定的存储器(Non-volatile memory)，例如至少一个磁盘存储器。可由处理器加载并执行计算机可读存储介质中存放的一条或一条以上指令，以实现上述实施例中可用于DDoS攻击的DNS反射器检测方法的相应步骤。

实施例

指定IP地址集合或者IP地址范围，本申请采用IP地址集合D{114.114.114.114，4.2.2.4，8.8.8，119.178.1.0，115.193.1.0，115.210.1.0，……}，对集合D中的所有IP地址逐一进行DNS扫描，剔除非DNS服务器的IP地址，对于IP地址115.193.1.0，得到DNS信息向量I_115.193.1.0＝{115.193.1.0，0，1，0.95，China，None，34.7725，113.7266}，集合D中所有IP地址的DNS信息向量组成DNS信息向量集合C；

步骤2，给定DDoS攻击目标IP为16.156.2.2，查询GeoIP2数据库，得到攻击目标的位置特征向量L_16.156.2.2＝{16.156.2.2，United States，None，37.751，-97.822}；

步骤3，计算潜能函数，如I_115.193.1.0和L_16.156.2.2的潜能函数，取α₁＝3，α₂＝2.5，β₁＝0.05，β₂＝0.2，β₃＝0.2，β₄＝0.4

Q_{115.193.1.016.156.2.2}＝AR_115.193.1.0+W_{115.193.1.0 16.156.2.2}

AR_115.193.1.0＝3*I_X[SEC]+2.5*I_X[ANY]+(1+I_X[RT])

＝3*0+2.5*1+(1+0.95)＝4.45

W_{115.193.1.0 16.156.2.2}

＝0.05*SP(115.193.1.0，16.156.2.2)+0.2*S(China，United States)+0.2*S(None，None)+0.4*Dis((34.7725，113.7266)，(37.751，-97.822))

＝0.05*1+0.2*0+0.2*1+0.4*0＝0.25

Q_{115.193.1.0 16.156.2.2}＝AR_115.193.1.0+W_{115.193.1.0 16.156.2.2}＝4.45+0.25＝4.7

对集合D中的IP地址对应的DNS反射器按照攻击潜能降序排序，得到有序序列S_D，取S_D中前5个DNS反射器作为潜在可用于DDoS攻击反射器，得到DNS反射器集合T，；

步骤4，使用筛选的5个DNS反射器，对步骤2中给定的攻击目标16.156.2.2，发动DDoS攻击；

步骤5，使用攻击效果函数，对步骤4中发动的DDoS攻击的攻击效果进行评估，若攻击效果大于等于阈值30，则认为该DNS反射器潜在可用于大规模DDoS攻击。

本发明提出了攻击潜能函数来描述DNS反射器对DDoS攻击目标的攻击潜能，攻击潜能函数既考虑了DNS反射器本身的放大潜力，又考虑了DNS反射器与DDoS攻击目标之间的位置关系，从而检测出在利用相同的攻击资源条件下可能形成更严重的攻击后果的DNS反射器；本发明提出了攻击效果函数来评估当前选择的DNS反射器的攻击效果，实现了潜在可用于大规模DDoS攻击的DNS反射器检测方法。

Claims (5)

1.一种可用于DDoS攻击的DNS反射器检测方法，其特征在于，包括以下步骤：

S1，采集可用于反射攻击的DNS递归服务器的IP地址集合；

S2，计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序，取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击；

对IP地址集合中所有IP地址进行DNS扫描得到各IP地址的DNS信息向量，形成DNS信息向量集合；

DNS信息向量I_X为：

I_X＝{IP，SEC，ANY，RT，Country，City，Lat，Long，Time}

其中IP是被扫描的DNS服务器的IP地址，SEC是DNS服务器是否支持DNSSEC协议标记，0表示不支持，1表示支持；ANY是DNS服务器是否支持Any类型的DNS解析请求标记，0表示不支持，1表示支持；RT是DNS服务器响应的DNS请求数量在所有发送的DNS请求数量中所占的比例；Country是DNS服务器的IP所在的国家名称；City是DNS服务器的IP所在的城市名称；Lat是DNS服务器的IP所在的纬度；Long是DNS服务器的IP所在的经度；Time是本次扫描的时间；

获取已知位置的攻击目标的位置特征向量L_V：

L_V＝{IP，Country，City，Lat，Long}

其中，IP是DDoS攻击目标的IP地址，Country是DDoS攻击目标的IP所在的国家名称，City是DDoS攻击目标的IP所在的城市名称，Lat是DDoS攻击目标的IP所在的纬度，Long是DDoS攻击目标的IP所在的经度；

对DNS信息向量集合中的DNS信息向量和攻击目标的位置特征向量使用攻击潜能函数计算攻击潜能Q_XV：

Q_XV＝AR_X+W_XV

其中，AR_X为DNS信息向量中IP对应的DNS反射器的放大潜力的一个函数；W_XV为DNS信息向量中IP对应的DNS反射器和DDoS攻击目标IP的位置特征向量中IP对应的受害者主机之间位置关系的一个函数；

AR_X为：

AR_X＝α₁*I_X[SEC]+α₂*I_X[ANY]+(1+I_X[RT])

其中，I_X[SEC]表示DNS信息向量I_X中SEC元素的值，I_X[ANY]表示DNS信息向量I_X中ANY元素的值，I_X[RT]表示DNS信息向量I_X中RT元素的值，α₁和α₂为常数；

W_XV为：

W_XV＝β₁*SP(I_X[IP]，L_V[IP])+β₂*S(I_X[Country]，L_V[Country])+β₃*S(I_X[City]，L_V[City])+β₄*Dis(I_X，L_V)

其中，β₁、β₂、β₃、β₄为常数，SP(IP₁，IP₂)表示IP地址IP₁和IP地址IP₂的网段相似度，若两个IP地址的前R位相同，则它们的网段相似度为R，S(S₁，S₂)表示字符串S₁和字符串S₂的完全匹配距离，Dis(I_X，L_V)表示I_X中的经纬度和L_V中的经纬度之间的地理距离等级；S(S₁，S₂)的定义如下：

Dis(I_X，L_V)的定义如下：

S3，使用攻击效果函数对DDoS攻击的攻击效果进行评估，若攻击效果大于等于设定阈值Y，则该DNS反射器潜在可用于DDoS攻击，否则不可用，即可实现可用于DDoS攻击的DNS反射器的快速检测；其中攻击效果函数为：

G_XV＝Bind₁-Bind₂

其中，Bind₁表示正常情况下DDoS攻击目标的出口带宽，Bind₂表示攻击情况下DDoS攻击目标的出口带宽。

2.根据权利要求1所述的一种可用于DDoS攻击的DNS反射器检测方法，其特征在于，DNS扫描具体为构造多种类型的DNS请求包，包括不支持DNSSEC协议的A记录请求、支持DNSSEC协议的A记录请求、不支持DNSSEC协议的Any记录请求。

3.一种可用于DDoS攻击的DNS反射器检测系统，其特征在于，包括：

IP地址模块，用于采集可用于反射攻击的DNS递归服务器的IP地址形成IP地址集合；

攻击潜能模块，用于计算已知IP地址集合的DNS递归服务器攻击潜能函数，对获取的攻击潜能函数进行排序；

检测模块，用于根据攻击潜能函数进行排序结果取前N个DNS反射器作为潜在可用于DDoS攻击反射器，并对已知位置的攻击目标进行DDoS攻击，使用攻击效果函数对DDoS攻击的攻击效果进行评估，输出评估结果；

对IP地址集合中所有IP地址进行DNS扫描得到各IP地址的DNS信息向量，形成DNS信息向量集合；

DNS信息向量I_X为：

I_X＝{IP，SEC，ANY，RT，Country，City，Lat，Long，Time}

其中IP是被扫描的DNS服务器的IP地址，SEC是DNS服务器是否支持DNSSEC协议标记，0表示不支持，1表示支持；ANY是DNS服务器是否支持Any类型的DNS解析请求标记，0表示不支持，1表示支持；RT是DNS服务器响应的DNS请求数量在所有发送的DNS请求数量中所占的比例；Country是DNS服务器的IP所在的国家名称；City是DNS服务器的IP所在的城市名称；Lat是DNS服务器的IP所在的纬度；Long是DNS服务器的IP所在的经度；Time是本次扫描的时间；

获取已知位置的攻击目标的位置特征向量L_V：

L_V＝{IP，Country，City，Lat，Long}

其中，IP是DDoS攻击目标的IP地址，Country是DDoS攻击目标的IP所在的国家名称，City是DDoS攻击目标的IP所在的城市名称，Lat是DDoS攻击目标的IP所在的纬度，Long是DDoS攻击目标的IP所在的经度；

对DNS信息向量集合中的DNS信息向量和攻击目标的位置特征向量使用攻击潜能函数计算攻击潜能Q_XV：

Q_XV＝AR_X+W_XV

其中，AR_X为DNS信息向量中IP对应的DNS反射器的放大潜力的一个函数；W_XV为DNS信息向量中IP对应的DNS反射器和DDoS攻击目标IP的位置特征向量中IP对应的受害者主机之间位置关系的一个函数；

AR_X为：

AR_X＝α₁*I_X[SEC]+α₂*I_X[ANY]+(1+I_X[RT])

其中，I_X[SEC]表示DNS信息向量I_X中SEC元素的值，I_X[ANY]表示DNS信息向量I_X中ANY元素的值，I_X[RT]表示DNS信息向量I_X中RT元素的值，α₁和α₂为常数；

W_XV为：

W_XV＝β₁*SP(I_X[IP]，L_V[IP])+β₂*S(I_X[Country]，L_V[Country])+β₃*S(I_X[City]，L_V[City])+β₄*Dis(I_X，L_V)

其中，β₁、β₂、β₃、β₄为常数，SP(IP₁，IP₂)表示IP地址IP₁和IP地址IP₂的网段相似度，若两个IP地址的前R位相同，则它们的网段相似度为R，S(S₁，S₂)表示字符串S₁和字符串S₂的完全匹配距离，Dis(I_X，L_V)表示I_X中的经纬度和L_V中的经纬度之间的地理距离等级；S(S₁，S₂)的定义如下：

Dis(I_X，L_V)的定义如下：

其中攻击效果函数为：

G_XV＝Bind₁-Bind₂

其中，Bind₁表示正常情况下DDoS攻击目标的出口带宽，Bind₂表示攻击情况下DDoS攻击目标的出口带宽。

4.一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至2任一项所述方法的步骤。

5.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至3任一项所述方法的步骤。

Images