CN114389830A - DDoS攻击检测方法、装置、设备和可读存储介质 - Google Patents

DDoS攻击检测方法、装置、设备和可读存储介质 Download PDF

Info

Publication number
CN114389830A
CN114389830A CN202011122419.6A CN202011122419A CN114389830A CN 114389830 A CN114389830 A CN 114389830A CN 202011122419 A CN202011122419 A CN 202011122419A CN 114389830 A CN114389830 A CN 114389830A
Authority
CN
China
Prior art keywords
monitored
source
information entropy
ddos attack
traffic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202011122419.6A
Other languages
English (en)
Inventor
孙洋
粟栗
张星
杜海涛
王峰生
安宁宇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd, China Mobile Communications Ltd Research Institute filed Critical China Mobile Communications Group Co Ltd
Priority to CN202011122419.6A priority Critical patent/CN114389830A/zh
Publication of CN114389830A publication Critical patent/CN114389830A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供一种DDoS攻击检测方法、装置、设备和可读存储介质，属于网络安全技术领域，实现对DDoS攻击的快速检测和判断。本发明提供的DDoS攻击检测方法，通过获取待监控IP的流量序列获取流量矩阵，根据所述流量矩阵计算待监控IP的源IP信息熵，从而确定所述待监控IP的源IP对应的动态基线，之后将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击，本申请提供的上述方法能够通过构建待监控IP的源IP信息熵动态基线，实现对待监控IP是否存在DDoS攻击实时而快速的判断，既提高DDoS检测效率及准确度，也能够适应实时变化的网络环境。

Description

DDoS攻击检测方法、装置、设备和可读存储介质
技术领域
本发明涉及网络安全技术领域，尤其涉及一种DDoS攻击检测方法、装置、设备和可读存储介质。
背景技术
分布式拒绝服务(Distributed Denial of Service，DDoS)，是一种隐蔽的拒绝服务攻击，攻击者会选择代理主机来调度其它傀儡机(肉鸡)向目标主机发起网络请求。与DOS攻击相比，DDoS攻击在单条链路上的流量更小，难以被网络设备检测因而更易于形成，而DDoS攻击汇聚后的异常流量总量很大，极具破坏力。近年来为躲避大部分已有的DDoS攻击检测防御方法，黑客逐渐转为使用小流量的低速率的DDoS攻击(如CC攻击)，这给DDoS攻击的检测带来了挑战。
目前DDoS攻击检测方法包括：基于网络流量的统计监测异常流量、基于网络流量行为特征的检测、基于熵的检测方式等。上述方法都存在一定缺陷，如：基于网络流量统计的方法，不能有效区分正常的大流量和DDoS攻击流量；基于网络流量行为特征的检测，需要较多训练数据，不能适应现网实时的要求；基于熵的检测方式大多采用固定阈值，也无法动态适应实时变化的网络环境。
发明内容
本发明提出了一种DDoS攻击检测方法、装置、设备和可读存储介质，提高检测效率及准确度，以适应实时变化的网络环境。
为了解决上述技术问题，本发明是这样实现的：
第一方面，本发明实施例提供了一种分布式拒绝服务DDoS攻击检测方法，所述方法包括：
获取待监控IP的流量序列；
根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
可选的，所述获取待监控IP的流量序列包括：
对于预设周期内的每一天，按照固定时间间隔获取待监控IP的流量序列。
可选的，所述方法还包括：
将所述流量矩阵每列中的异常数据替换为所述异常数据所在列的平均值，所述异常数据包括不合理值和/或空数据。
可选的，所述根据所述流量矩阵计算待监控IP的源IP信息熵包括：
计算所述流量矩阵中，每个滑动时间窗口所在纵列内待监控IP的目标源IP的出现的概率；
所述滑动时间窗口的长度为所述固定时间间隔的整数倍。
可选的，所述根据所述流量矩阵计算待监控IP的源IP信息熵还包括：
根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，生成所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列。
可选的，所述确定所述待监控IP的源IP对应的动态基线包括：
通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列；
通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值；
根据所述源IP信息熵基线值，生成所述待监控IP的源IP对应的动态基线。
可选的，所述方法还包括所述根据所述动态基线，确定DDoS攻击识别阈值，包括：
计算所述流量矩阵中的元素到所述动态基线的方差；
根据所述方差，按照以下公式确定所述DDoS攻击识别阈值：
Figure BDA0002732463320000031
其中，t∈(1,T)，T为滑动时间窗口的总数，α为控制参数，
Figure BDA0002732463320000032
为第t个时间窗口下流量矩阵中的元素到所述动态基线的方差。
可选的，所述将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击包括：
若待监控IP的源IP的熵值在第一时间点大于第一阈值，则确定存在DDoS攻击的概率大于预设值；
若待监控IP的源IP的熵值在第二时间点小于所述第一阈值，则确定不存在DDoS攻击的概率大于预设值。
第二方面，本发明实施例提供了一种分布式拒绝服务DDoS攻击检测装置，所述装置包括：
第一接收模块，用于获取待监控IP的流量序列；
第一处理模块，用于根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
第二处理模块，用于确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
第三处理模块，用于将待监控IP的源IP信息熵和所述动态基线进行比较，，判断是否存在DDoS攻击。
可选的，所述第一接收模块包括：
第一子接收模块，用于对于预设周期内的每一天，按照固定时间间隔获取待监控IP的流量序列。
可选的，所述装置还包括：
第四处理模块，用于将所述流量矩阵每列中的异常数据替换为所述异常数据所在列的平均值，所述异常数据包括不合理值和/或空数据。
可选的，所述第一处理模块包括：
第一子处理模块，用于计算所述流量矩阵中，每个滑动时间窗口所在纵列内待监控IP的目标源IP的出现的概率；
所述滑动时间窗口的长度为所述固定时间间隔的整数倍。
可选的，所述第一处理模块还包括：
第二子处理模块，用于根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，生成所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列。
可选的，所述第二处理模块包括：
第三子处理模块，用于通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列；
通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值；
根据所述源IP信息熵基线值，生成所述待监控IP的源IP对应的动态基线。
可选的，所述装置还包括：
第五处理模块，用于根据所述动态基线，确定DDoS攻击识别阈值：
计算所述流量矩阵中的元素到所述动态基线的方差；
根据所述方差，按照以下公式确定所述DDoS攻击识别阈值：
Figure BDA0002732463320000041
其中，t∈(1,T)，T为滑动时间窗口的总数，α为控制参数，
Figure BDA0002732463320000042
为第t个时间窗口下流量矩阵中的元素到所述动态基线的方差。
可选的，所述第三处理模块包括：
判断模块，用于执行以下判断：
若待监控IP的源IP的熵值在第一时间点大于第一阈值，则确定存在DDoS攻击的概率大于预设值；
若待监控IP的源IP的熵值在第二时间点小于所述第一阈值，则确定不存在DDoS攻击的概率大于预设值。
第三方面，本发明实施例提供了一种分布式拒绝服务DDoS攻击检测装置，所述装置包括：
所述收发器，用于获取待监控IP的流量序列；
所述处理器，用于根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
所述处理器，还用于确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
所述处理器，还用于将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
可选的，所述收发器还用于对于预设周期内的每一天，按照固定时间间隔获取待监控IP的流量序列。
可选的，所述处理器还用于将所述流量矩阵每列中的异常数据替换为所述异常数据所在列的平均值，所述异常数据包括不合理值和/或空数据。
可选的，所述处理还用于计算所述流量矩阵中，每个滑动时间窗口所在纵列内待监控IP的目标源IP的出现的概率；
所述滑动时间窗口的长度为所述固定时间间隔的整数倍。
可选的，所述处理器还用于根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，生成所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列。
可选的，所述处理器还用于通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列；
通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值；
根据所述源IP信息熵基线值，生成所述待监控IP的源IP对应的动态基线。
可选的，所处处理器还用于根据所述动态基线，确定DDoS攻击识别阈值：
计算所述流量矩阵中的元素到所述动态基线的方差；
根据所述方差，按照以下公式确定所述DDoS攻击识别阈值：
Figure BDA0002732463320000051
其中，t∈(1,T)，T为滑动时间窗口的总数，α为控制参数，
Figure BDA0002732463320000052
为第t个时间窗口下流量矩阵中的元素到所述动态基线的方差。
可选的，判断是否存在DDoS攻击包括时，所述处理还用于执行以下判断：
若待监控IP的源IP的熵值在第一时间点大于第一阈值，则确定存在DDoS攻击的概率大于预设值；
若待监控IP的源IP的熵值在第二时间点小于所述第一阈值，则确定不存在DDoS攻击的概率大于预设值。
第四方面，本发明实施例提供了一种网络设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的程序；所述处理器，用于读取存储器中的程序实现如本发明实施例所述的DDoS攻击检测方法中的步骤。
第五方面，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如本发明实施例所述的DDoS攻击检测方法的步骤。
本发明实施例提供的技术方案带来的有益效果至少包括：
本发明提供的DDoS攻击检测方法，通过获取待监控IP的流量序列获取流量矩阵，根据所述流量矩阵计算待监控IP的源IP信息熵，从而确定所述待监控IP的源IP对应的动态基线，之后将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击，本申请提供的上述方法能够通过构建待监控IP的源IP信息熵动态基线，实现对待监控IP是否存在DDoS攻击实时而快速的判断，既提高DDoS检测效率及准确度，也能够适应实时变化的网络环境。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1为本发明实施例提供的一种DDoS攻击检测方法流程图；
图2为本发明实施例提供的一种DDoS攻击检测方法基线拟合示意图；
图3为本发明实施例提供的一种DDoS攻击检测方法基线拟合示意图；
图4为本发明实施例提供的一种DDoS攻击检测装置结构示意图；
图5为本发明实施例提供的一种DDoS攻击检测装置结构示意图；
图6为本发明实施例提供的一种网络设备结构示意图；
图7为本发明实施例提供的一种网络设备结构示意图。
具体实施方式
本发明实施例中术语“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。
本发明实施例中术语“多个”是指两个或两个以上，其它量词与之类似。
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
参考图1，图1为本发明实施例提供的DDoS攻击检测方法的流程示意图，所述方法包括：
步骤101，获取待监控IP的流量序列。
具体的，待监控IP的流量序列中包括待监控IP的历史流量情况，在获取流量序列时可分为两种情况：节假日流量和正常日期的流量。由于对于一些访问量比较大的网络设备，节假日与正常工作日的流量浮动会很大，因此如果混合获取的话，很容易导致检测结果不准，因此分开获取待监控IP的节假日流量与工作日流量能够使检测结果更精准。
可选的，步骤101中所述获取待监控IP的流量序列包括：
对于预设周期内的每一天，按照固定时间间隔获取待监控IP的流量序列。
示例性的，对于工作日待监控IP的流量序列获取，以y天为预设周期，获取这y天中，每天每隔5分钟的流量，生成待监控IP的流量序列，如：
第1天待监控IP的流量序列为：a11，a12，……，a1q；
第2天待监控IP的流量序列为：a21，a22，……，a2q；
……
第y天待监控IP的流量序列为：ay1，ay2，……，ayq；
其中y为预设周期的天数，q为每一天的固定时间间隔数量，如设置预设周期为30天，固定时间间隔为5分钟时，则y＝30，q为288。
同理，对于节假日的待监控IP的流量序列，为了保证数据的充分，则可以以历史半年节假日为预设周期，获取流量序列。
步骤102，根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵。
具体的，所述流量序列包括了待监控IP在预设周期中，每天的每个固定时间间隔的流量序列，示例性的，参考上文步骤中的流量序列，则生成的流量矩阵为：
Figure BDA0002732463320000081
其中，y为预设周期天数，q为每天的固定时间间隔数。如，设置预设周期为30天，固定时间间隔为5分钟时，则q为288，则此时该流量矩阵共有288纵列，30行。上述矩阵的横列为预设周期中，待监控IP在某一天的每个固定时间间隔的流量序列，纵列为待监控IP在预设周期的第一天至第y天，某一个固定时间间隔的流量序列。
可选的，步骤102中，所述根据所述流量矩阵计算待监控IP的源IP信息熵包括：
计算所述流量矩阵中，每个滑动时间窗口所在纵列内待监控IP的目标源IP的出现的概率；
所述滑动时间窗口的长度为所述固定时间间隔的整数倍。
具体的，如设定滑动时间窗口的长度为固定时间间隔的12倍，如固定时间间隔为5分钟，则滑动时间窗口的长度为60分钟，此时所述流量矩阵一共有288列，滑动时间窗口的数量为12个。
示例性的，计算流量矩阵中每个滑动时间窗口内的各纵列(各时间段为固定时间间隔)源IP的信息熵，为了避免单个样本的突发流量对整体的影响，所以累计纵向的滑动窗口内，滑动窗口可以设置为流量矩阵列的整数倍。
在滑动窗口内，目标源IP在预设天数的样本中(即在流量矩阵中的滑动时间窗口内出现的概率)出现的概率情况Pt(xi)：
Figure BDA0002732463320000091
其中，xi表示时间窗口t内出现的所有源IP中的第i个源IP，t∈(1，T)。由于有不同的设备、网络不断在访问待监控IP，因此及时是在同一个滑动时间窗口内也会出现多种不同源IP，因此，需要分别计算出每一个滑动时间窗口内的每一个出现的源IP在该滑动时间窗口内出现的概率。
可选的，步骤102中，所述根据所述流量矩阵计算待监控IP的源IP信息熵还包括：
根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，生成所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列。
具体的，根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，以及每一个滑动时间窗口内所有源IP的出现概率生成每一个待监控IP的每一个滑动时间窗口内的源IP信息熵，具体计算公式如下：
Figure BDA0002732463320000092
其中，H(sip)t表示待监控IP的第t个滑动时间窗口的源IP信息熵，t∈(1，T)，T为待监控IP的滑动时间窗t的总数，N为该滑动时间窗口内的源IP的总数。
之后，再根据每一个待监控IP的每一个滑动时间窗口的源IP信息熵生成所述信息熵时间序列，示例性的，如一共有12个滑动时间窗口，则生成的信息熵时间序列为：
[H1,H2,…,HT-1,HT]
其中源IP分布越分散熵值越大，而分布越集中熵值越小，所以熵值的大小体现了源IP分布的集中或分散程度。
步骤103，确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
具体的，根据上述步骤中获取的所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列，进行多次平滑，可以获得所述待监控IP的源IP对应的动态基线。
值得注意的是，对于网络流量由于DDoS攻击、突发事件、上网行为、上网时间、网络故障、记录故障等因素的影响，导致网络流量的突然上升或下降，具有强烈的随机动态变化特点，即为网络流量构建基线过程中的噪音，所以模型构建的关键是消除网络噪音的影响。在无人工干预的情况下采用平滑算法，可以自动减少波动数据的影响，其中对于平滑算法的选择有如下注意事项：
1.系数K的选择问题：当k比较小时，预测的数据平滑效果不明显，而且突出反映了数据最近的变化；当k较大时，有较好的平滑效果，但数据不敏感会存在延迟现象；
2.若采用普通的移动平均法则运算复杂，对引进的新数据，需要全部计算修改平均值；
3.数据基线为非人工干预的自动拟合，所以不但要平滑出大的波动，而且也要很好的平滑小的波动的对基线的影响。
考虑以上问题，本发明实施例针对待监控IP中的源IP在每个滑动窗口的信息熵时间序列，采用SG滤波器(Savitzky-Golay)和指数加权移动平均的结合方法，自适应拟合生基于成源IP信息熵的基线，获得适合各时间点的动态阈值曲线。
可选的，步骤103中，所述确定所述待监控IP的源IP对应的动态基线包括：
通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列；
通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值；
根据所述源IP信息熵基线值，生成所述待监控IP的源IP对应的动态基线。
其中，SG滤波器是一种在时域内基于局域多项式最小二乘法拟合的方法，它的特点在于可过识别网络中的DDoS攻击等突发引起的源IP信息熵的较大的波动，同时可以确其他基线保波形的形状、宽度不变。
具体的，平滑方式示意如下：
通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列：
对前述步骤中获取的所述待监控IP的源IP的信息熵时间序列[H1,H2,…,HT-1,HT]中的每个数据通过Ht[n](n∈[-M,M],n＝2M+1)用K+1多项式进行拟合，其中Ht分别取[H1,H2,…,HT-1,HT]中的值，对其中的每个数据进行平滑，以Ht的前后M个数据进行拟合，Pn为Ht[n]平滑后的数据表示为：
Figure BDA0002732463320000111
其中，M、k、K、α均为参数，可以根据预设进行调整。
P表示数据Ht平滑后的数据，相应的展开数据为：
Figure BDA0002732463320000112
可以根据均方误差获得αk(k＝0,…,K)的值。
使用SG平滑滤波器对源IP信息熵平滑时，实际上是将比较大波动成分平滑出去了，最大程度的保留了流量中剩余成分，但SG滤波器无法有效平滑小波动(如参考图2中，时间点5:33-8:20之间的随机波动)，或是平滑处理后的大波动会对平滑曲线造成拐点影响(参考图2中示出的SG平滑后的曲线)。
具体的，通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值如下示意：
Figure BDA0002732463320000113
其中β∈(0,1)的权重，Ht为第t时间点的拟合值，Yt为第t个时间点的实际值
其中第一个时间点的数据则为原值，第t时刻拟合的源IP信息熵和之前时刻的信息熵关系如下：
Figure BDA0002732463320000121
Figure BDA0002732463320000122
……
Figure BDA0002732463320000123
示例性的，α若取0.1意味着时间窗为10天内的数据，从公式中可以看到，时间越靠近当前时刻的数据影响力越大，各时刻信息熵的权重系数以指数形式缩小，这样也就消除了突发的波动的影响。
最后平滑拟合后的各时间点的源IP信息熵基线值为：
Figure BDA0002732463320000124
其中，t0，t1，……，tT表示各个滑动时间窗口首尾时刻。
参考图3示出了SG平滑后和加权平均后的基线，可看出，SG+指数加权移动平均法，其SG法有效的去除大波动的影响，而指数加权移动平均法在此基础上平滑小波动，二者结合较好的反应了源IP信息熵在时间序列的变化趋势；模型的加权系数也是随着时间以指数形式递减的，避免了权重选择复杂的运算问题，符合实际场景平滑窗口内越靠近中心数据的权重越大，越靠近平滑窗口边缘的点权重越小；其运算速度快，从公式可以发现当前的数据确定可以根据历史指数加权移动平均值，适应模型随时更改。
可选的，步骤103中，所述方法还包括所述根据所述动态基线，确定DDoS攻击识别阈值：
计算所述流量矩阵中的元素到所述动态基线的方差；
根据所述方差，按照以下公式确定所述DDoS攻击识别阈值：
Figure BDA0002732463320000125
其中，t∈(1,T)，T为滑动时间窗口的总数，α为控制参数，
Figure BDA0002732463320000126
为第t个时间窗口下流量矩阵中的元素到所述动态基线的方差。
具体的，方差
Figure BDA0002732463320000127
按照以下公式进行计算：
Figure BDA0002732463320000131
m是指m天(比如30天)，j从1取到m天。t＝1,2,...T，表示时间序列数，与滑动时间窗口数量T一致。
步骤104，将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
可选的，步骤104，所述将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击包括：
若待监控IP的源IP的熵值在第一时间点大于第一阈值，则确定存在DDoS攻击的概率大于预设值；
若待监控IP的源IP的熵值在第二时间点小于所述第一阈值，则确定不存在DDoS攻击的概率大于预设值。
具体的，本发明提供的DDoS攻击检测方法，用于快速检测和判断是否存在DDoS攻击，但是具体的网络攻击类型还需要通过结合其他软件进一步确定，如：源IP地址的熵值在某一点发生突起大于第一阈值，这就说明在该时点时出现的源IP数目是较分散、较多的，出现DDoS攻击的概率较大；相反，如果在该点的熵值发生下陷小于第一阈值，则说明在时间内源IP地址数目较为集中，这可能是某些蠕虫病毒发作时感染大量其他主机的表征，出现DDos攻击的概率很小，通过不同情况的存在DDoS攻击的概率，来进行快速判断。
可选的，所述方法还包括：
将所述流量矩阵每列中的异常数据替换为所述异常数据所在列的平均值，所述异常数据包括不合理值和/或空数据。
在建立流量矩阵时，能够排除一些异常数据，使得矩阵中的噪音更小，模型判断结果更准确。
可选的，在后续实时监控现网每日流量情况时，可根据日期判定待比较的模型为节假日流量或工作日流量模型，计算各种时间窗内的源IP信息熵值，可以直接找到相应的时间窗基线值，直接进行信息熵计算，并与阈值进行比较，判断是否为DDoS攻击。如果目标时间窗内30％的源IP信息熵值临近阈值，则预示着系统阈值不太适合目前情况，可能会存在误报的情况，可将新数据更新到模型中重新进行基线的拟合，重新生成DDoS攻击识别阈值。
综上所述，本发明实施例提供的DDoS攻击检测方法，通过获取待监控IP的流量序列获取流量矩阵，根据所述流量矩阵计算待监控IP的源IP信息熵，从而确定所述待监控IP的源IP对应的动态基线，之后将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击，本申请提供的上述方法能够通过构建待监控IP的源IP信息熵动态基线，实现对待监控IP是否存在DDoS攻击实时而快速的判断，既提高DDoS检测效率及准确度，也能够适应实时变化的网络环境。
并且，本发明提供的DDoS攻击检测方法，在后续使用中，还能够通过检测结果对动态基线进行重新构建或参数调整，以适应实时变化的网络环境。
请参考图4，本发明实施例提供了一种分布式拒绝服务DDoS攻击检测装置40，所述装置包括：
第一接收模块41，用于获取待监控IP的流量序列；
第一处理模块42，用于根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
第二处理模块43，用于确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
第三处理模块44，用于将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
可选的，参考图5，所述第一接收模块包括：
第一接收子模块411，用于对于预设周期内的每一天，按照固定时间间隔获取待监控IP的流量序列。
可选的，参考图5，所述装置40还包括：
第四处理模块45，用于将所述流量矩阵每列中的异常数据替换为所述异常数据所在列的平均值，所述异常数据包括不合理值和/或空数据。
可选的，参考图5，所述第一处理模块42包括：
第一处理子模块421，用于计算所述流量矩阵中，每个滑动时间窗口所在纵列内待监控IP的目标源IP的出现的概率；
所述滑动时间窗口的长度为所述固定时间间隔的整数倍。
可选的，参考图5，所述第一处理模块42还包括：
第二处理子模块422，用于根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，生成所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列。
可选的，参考图5，所述第二处理模块43包括：
第三子处理模块431，用于通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列；
通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值；
根据所述源IP信息熵基线值，生成所述待监控IP的源IP对应的动态基线。
可选的，参考图5，所述装置40还包括：
第五处理模块46，用于根据所述动态基线，确定DDoS攻击识别阈值：
计算所述流量矩阵中的元素到所述动态基线的方差；
根据所述方差，按照以下公式确定所述DDoS攻击识别阈值：
Figure BDA0002732463320000151
其中，t∈(1,T)，T为滑动时间窗口的总数，α为控制参数，
Figure BDA0002732463320000152
为第t个时间窗口下流量矩阵中的元素到所述动态基线的方差。
可选的，参考图5，所述第三处理模块44包括：
判断模块441，用于执行以下判断：
若待监控IP的源IP的熵值在第一时间点大于第一阈值，则确定存在DDoS攻击的概率大于预设值；
若待监控IP的源IP的熵值在第二时间点小于所述第一阈值，则确定不存在DDoS攻击的概率大于预设值。
请参考图6，本发明实施例还提供了一种分布式拒绝服务DDoS攻击检测装置60，所述装置60包括：
所述收发器62，用于获取待监控IP的流量序列；
所述处理器61，用于根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
所述处理器61，还用于确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
所述处理器61，还用于将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
可选的，所述收发器62还用于对于预设周期内的每一天，按照固定时间间隔获取待监控IP的流量序列。
可选的，所述处理器61还用于将所述流量矩阵每列中的异常数据替换为所述异常数据所在列的平均值，所述异常数据包括不合理值和/或空数据。
可选的，所述处理器61还用于计算所述流量矩阵中，每个滑动时间窗口所在纵列内待监控IP的目标源IP的出现的概率；
所述滑动时间窗口的长度为所述固定时间间隔的整数倍。
可选的，所述处理器61还用于根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，生成所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列。
可选的，所述处理器61还用于通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列；
通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值；
根据所述源IP信息熵基线值，生成所述待监控IP的源IP对应的动态基线。
可选的，所述处理器61还用于根据所述动态基线，确定DDoS攻击识别阈值：
计算所述流量矩阵中的元素到所述动态基线的方差；
根据所述方差，按照以下公式确定所述DDoS攻击识别阈值：
Figure BDA0002732463320000161
其中，t∈(1,T)，T为滑动时间窗口的总数，α为控制参数，
Figure BDA0002732463320000162
为第t个时间窗口下流量矩阵中的元素到所述动态基线的方差。
可选的，判断是否存在DDoS攻击包括时，所述处理还用于执行以下判断：
若待监控IP的源IP的熵值在第一时间点大于第一阈值，则确定存在DDoS攻击的概率大于预设值；
若待监控IP的源IP的熵值在第二时间点小于所述第一阈值，则确定不存在DDoS攻击的概率大于预设值。
请参考图7，本发明实施例还提供一种网络设备70，包括处理器71，存储器72，存储在存储器72上并可在所述处理器81上运行的计算机程序，该计算机程序被处理器71执行时实现上述DDoS攻击检测方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。
本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质上存储计算机程序，所述计算机程序被处理器执行时实现上述DDoS攻击检测方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等。
需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。
上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本发明的保护之内。

Claims (12)

1.一种分布式拒绝服务DDoS攻击检测方法，其特征在于，所述方法包括：
获取待监控IP的流量序列；
根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
2.根据权利要求1所述的方法，其特征在于，所述获取待监控IP的流量序列包括：
对于预设周期内的每一天，按照固定时间间隔获取待监控IP的流量序列。
3.根据权利要求1所述的方法，其特征在于，所述方法还包括：
将所述流量矩阵每列中的异常数据替换为所述异常数据所在列的平均值，所述异常数据包括不合理值和/或空数据。
4.根据权利要求2所述的方法，其特征在于，所述根据所述流量矩阵计算待监控IP的源IP信息熵包括：
计算所述流量矩阵中，每个滑动时间窗口所在纵列内待监控IP的目标源IP的出现的概率；
所述滑动时间窗口的长度为所述固定时间间隔的整数倍。
5.根据权利要求4所述的方法，其特征在于，所述根据所述流量矩阵计算待监控IP的源IP信息熵还包括：
根据待监控IP中所有源IP在其对应的滑动时间窗口内出现的概率，生成所述待监控IP中的源IP在每个滑动窗口的信息熵时间序列。
6.根据权利要求1所述的方法，其特征在于，所述确定所述待监控IP的源IP对应的动态基线包括：
通过SG滤波器的局域多项式最小二乘法拟合，对所述待监控IP的源IP的信息熵时间序列进行第一次平滑，得到第一数列；
通过指数加权移动平均对所述第一数列进行第二次平滑，获取各时间点的所述待监控IP的源IP信息熵基线值；
根据所述源IP信息熵基线值，生成所述待监控IP的源IP对应的动态基线。
7.根据权利要求1所述的方法，其特征在于，所述方法还包括：根据所述动态基线，确定DDoS攻击识别阈值，包括：
计算所述流量矩阵中的元素到所述动态基线的方差；
根据所述方差，按照以下公式确定所述DDoS攻击识别阈值：
Figure FDA0002732463310000021
其中，t∈(1,T)，T为滑动时间窗口的总数，α为控制参数，
Figure FDA0002732463310000022
为第t个时间窗口下流量矩阵中的元素到所述动态基线的方差。
8.根据权利要求7所述的方法，其特征在于，所述将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击包括：
若待监控IP的源IP的熵值在第一时间点大于第一阈值，则确定存在DDoS攻击的概率大于预设值；
若待监控IP的源IP的熵值在第二时间点小于所述第一阈值，则确定不存在DDoS攻击的概率大于预设值。
9.一种DDoS攻击检测装置，其特征在于，包括：
第一接收模块，用于获取待监控IP的流量序列；
第一处理模块，用于根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
第二处理模块，用于确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
第三处理模块，将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
10.一种DDoS攻击检测装置，包括处理器和收发器，其特征在于：
所述收发器，用于获取待监控IP的流量序列；
所述处理器，用于根据所述流量序列获取所述待监控IP的流量矩阵，并根据所述流量矩阵计算待监控IP的源IP信息熵；
所述处理器，还用于确定所述待监控IP的源IP对应的动态基线，其中，所述动态基线是采用SG滤波器和指数加权移动平均方法对所述流量矩阵中的源IP信息熵进行拟合获得的；
所述处理器，还用于将待监控IP的源IP信息熵和所述动态基线进行比较，判断是否存在DDoS攻击。
11.一种网络设备，其特征在于，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现如权利要求1至8中任一项所述的DDoS攻击检测方法的步骤。
12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至8中任一项所述的DDoS攻击检测方法的步骤。
CN202011122419.6A 2020-10-20 2020-10-20 DDoS攻击检测方法、装置、设备和可读存储介质 Pending CN114389830A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011122419.6A CN114389830A (zh) 2020-10-20 2020-10-20 DDoS攻击检测方法、装置、设备和可读存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011122419.6A CN114389830A (zh) 2020-10-20 2020-10-20 DDoS攻击检测方法、装置、设备和可读存储介质

Publications (1)

Publication Number Publication Date
CN114389830A true CN114389830A (zh) 2022-04-22

Family

ID=81193959

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011122419.6A Pending CN114389830A (zh) 2020-10-20 2020-10-20 DDoS攻击检测方法、装置、设备和可读存储介质

Country Status (1)

Country Link
CN (1) CN114389830A (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104202336A (zh) * 2014-09-22 2014-12-10 浪潮电子信息产业股份有限公司 一种基于信息熵的DDoS攻击检测方法
US20150229669A1 (en) * 2013-08-05 2015-08-13 Tencent Technology (Shenzhen) Company Limited Method and device for detecting distributed denial of service attack
CN109302378A (zh) * 2018-07-13 2019-02-01 哈尔滨工程大学 一种SDN网络DDoS攻击检测方法
CN110602109A (zh) * 2019-09-17 2019-12-20 东南大学 一种基于多特征熵的应用层DDoS攻击检测与防御方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150229669A1 (en) * 2013-08-05 2015-08-13 Tencent Technology (Shenzhen) Company Limited Method and device for detecting distributed denial of service attack
CN104202336A (zh) * 2014-09-22 2014-12-10 浪潮电子信息产业股份有限公司 一种基于信息熵的DDoS攻击检测方法
CN109302378A (zh) * 2018-07-13 2019-02-01 哈尔滨工程大学 一种SDN网络DDoS攻击检测方法
CN110602109A (zh) * 2019-09-17 2019-12-20 东南大学 一种基于多特征熵的应用层DDoS攻击检测与防御方法

Similar Documents

Publication Publication Date Title
JP6377261B2 (ja) ＤＤｏＳ攻撃検出のための方法および装置
EP2769508B1 (en) System and method for detection of denial of service attacks
US20160226901A1 (en) Anomaly Detection Using Adaptive Behavioral Profiles
US9900344B2 (en) Identifying a potential DDOS attack using statistical analysis
US10511625B2 (en) Identifying a potential DDOS attack using statistical analysis
US10841338B1 (en) Dynamic rule risk score determination in a cybersecurity monitoring system
CN107682345B (zh) Ip地址的检测方法、检测装置及电子设备
CN109936475B (zh) 一种异常检测方法及装置
CN110351291B (zh) 基于多尺度卷积神经网络的DDoS攻击检测方法及装置
CN108306846B (zh) 一种网络访问异常检测方法及系统
CN112738107B (zh) 一种网络安全的评价方法、装置、设备及存储介质
CN112668005A (zh) webshell文件的检测方法及装置
CN115001812B (zh) 基于互联网的数据中心在线监管安全预警系统
CN112272175A (zh) 一种基于dns的木马病毒检测方法
CN109818921B (zh) 一种网站接口非正常流量的分析方法及装置
CN111147300A (zh) 一种网络安全告警置信度评估方法及装置
CN112491869A (zh) 一种基于ip信誉度的应用层ddos攻击的检测防护方法及系统
CN114389830A (zh) DDoS攻击检测方法、装置、设备和可读存储介质
CN112261004B (zh) 一种Domain Flux数据流的检测方法及装置
Chen et al. Early dengue outbreak detection modeling based on dengue incidences in Singapore during 2012 to 2017
Wang et al. A novel approach for countering application layer DDoS attacks
CN110011977B (zh) 一种网站安全防御方法
CN107786524B (zh) 高级持续性威胁的检测方法和装置
CN113157542A (zh) 基于应用日志的趋同行为用户识别方法及系统
CN114157442A (zh) 异常流量检测方法、DDoS攻击检测方法、装置和电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination