[發(fā)明專利]分布式拒絕服務(wù)攻擊檢測(cè)方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201010129304.X
• 申請(qǐng)日: 2010-03-19
• 公開（公告）號(hào): CN101841533A
• 公開（公告）日: 2010-09-22
• 發(fā)明（設(shè)計(jì)）人: 李曉東;毛偉;吳軍;王欣;金鍵
• 申請(qǐng)（專利權(quán)）人: 中國科學(xué)院計(jì)算機(jī)網(wǎng)絡(luò)信息中心
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/12
• 代理公司: 北京同立鈞成知識(shí)產(chǎn)權(quán)代理有限公司 11205
• 代理人: 劉芳

技術(shù)領(lǐng)域

本發(fā)明實(shí)施例涉及分布式拒絕服務(wù)攻擊檢測(cè)技術(shù)領(lǐng)域，尤其涉及一種分布式拒絕服務(wù)攻擊檢測(cè)方法和裝置。

背景技術(shù)

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，利用互聯(lián)網(wǎng)進(jìn)行攻擊的黑客行為也越來越多，其中，分布式拒絕服務(wù)(Distribution?Denial?of?Service，DDoS)攻擊就是一種常見的黑客攻擊手段。

DDoS攻擊的手段和表現(xiàn)形式很多，但是其共同的攻擊策略就是利用協(xié)議漏洞，并通過很多“僵尸主機(jī)”向受害主機(jī)發(fā)送大量看似合法的網(wǎng)絡(luò)包，從而造成網(wǎng)絡(luò)阻塞或因服務(wù)器資源耗盡而導(dǎo)致拒絕服務(wù)，其中，利用DDoS對(duì)域名系統(tǒng)(Domain?Name?System，DNS)的攻擊即是黑客的一種常見攻擊行為。DNS是互聯(lián)網(wǎng)基礎(chǔ)設(shè)施提供的一項(xiàng)核心服務(wù)，DNS包括將域名和互聯(lián)網(wǎng)協(xié)議(Internet?Protocol，IP)地址相互映射的分布式數(shù)據(jù)庫，以及實(shí)現(xiàn)域名和網(wǎng)絡(luò)可以識(shí)別的IP地址轉(zhuǎn)換的軟件系統(tǒng)，DNS在網(wǎng)絡(luò)中具有非常重要的作用。DNS服務(wù)器一旦遭受DDoS攻擊，將會(huì)對(duì)整個(gè)網(wǎng)絡(luò)造成嚴(yán)重的影響，產(chǎn)生災(zāi)難性的后果。目前，針對(duì)DNS中對(duì)DDoS攻擊進(jìn)行防范的方法主要包括：采用高性能的網(wǎng)絡(luò)設(shè)備，或者保證充足的網(wǎng)絡(luò)帶寬，或者升級(jí)服務(wù)器的硬件，或者增強(qiáng)操作系統(tǒng)的TCP/IP協(xié)議棧，或者安裝專業(yè)的抗DDoS防火墻。

發(fā)明人在實(shí)現(xiàn)本發(fā)明的過程中發(fā)現(xiàn)現(xiàn)有技術(shù)在針對(duì)DNS服務(wù)器的DDoS攻擊中，未能有效地對(duì)DDoS攻擊進(jìn)行主動(dòng)檢測(cè)，主要是以被動(dòng)防御的方式防范DDoS攻擊或減少DDoS攻擊的影響，使得DDoS攻擊的防御成本較高，且防御效果較差。

發(fā)明內(nèi)容

本發(fā)明提供一種分布式拒絕服務(wù)攻擊檢測(cè)方法和裝置，可基于DNS查詢數(shù)據(jù)實(shí)時(shí)和主動(dòng)地檢測(cè)DDoS攻擊行為，便于及時(shí)對(duì)DDoS攻擊行為進(jìn)行處理，消除DDoS攻擊對(duì)DNS服務(wù)器的影響。

本發(fā)明實(shí)施例提供一種分布式拒絕服務(wù)攻擊檢測(cè)方法，包括：

獲取DNS服務(wù)器上記錄的查詢?nèi)罩拘畔ⅲ?/p>

根據(jù)獲得的所述查詢?nèi)罩拘畔ⅲ瑱z測(cè)是否存在針對(duì)所述DNS服務(wù)器的DDoS攻擊行為。

其中，所述根據(jù)獲得的所述查詢?nèi)罩拘畔ⅲ瑱z測(cè)是否存在針對(duì)所述DNS服務(wù)器的DDoS攻擊行為包括：

基于多層感知神經(jīng)網(wǎng)絡(luò)和所述DNS服務(wù)器上記錄的當(dāng)前查詢?nèi)罩拘畔ⅲ瑱z測(cè)是否存在針對(duì)所述DNS服務(wù)器的DDoS攻擊行為。

所述基于多層感知神經(jīng)網(wǎng)絡(luò)和所述DNS服務(wù)器上記錄的當(dāng)前查詢?nèi)罩拘畔ⅲ瑱z測(cè)是否存在針對(duì)所述DNS服務(wù)器的DDoS攻擊行為之前還包括：

根據(jù)所述DNS服務(wù)器上記錄的所有查詢?nèi)罩拘畔ⅲ崛》从矰DoS攻擊特征的特征向量；

基于提取的所述反映DDoS攻擊特征的特征向量，訓(xùn)練并獲得所述多層感知神經(jīng)網(wǎng)絡(luò)。

所述提取反映DDoS攻擊特征的特征向量包括：

按預(yù)設(shè)時(shí)間粒度提取所述反映DDoS攻擊特征的特征向量。

所述多層感知神經(jīng)網(wǎng)絡(luò)包括：輸入層、隱藏層和輸出層，其中，輸入層的輸入信息即所述反映DDoS攻擊特征的特征向量。

所述反映DDoS攻擊特征的特征向量包括：

DNS查詢量、查詢率的標(biāo)準(zhǔn)差、IP空間大小、域名空間大小、源端口設(shè)置為53的查詢數(shù)量、查詢記錄類型的熵的變化情況、設(shè)置遞歸查詢的比例和域名的平均長(zhǎng)度的至少一種。

本發(fā)明實(shí)施例提供一種分布式拒絕服務(wù)攻擊檢測(cè)裝置，包括：

信息獲取模塊，用于獲取DNS服務(wù)器上記錄的查詢?nèi)罩拘畔ⅲ?/p>

檢測(cè)模塊，根據(jù)獲得的所述查詢?nèi)罩拘畔ⅲ瑱z測(cè)是否存在針對(duì)所述DNS服務(wù)器的DDoS攻擊行為。

其中，所述檢測(cè)模塊，具體用于基于多層感知神經(jīng)網(wǎng)絡(luò)和所述DNS服務(wù)器上記錄的當(dāng)前查詢?nèi)罩拘畔ⅲ瑱z測(cè)是否存在針對(duì)所述DNS服務(wù)器的DDoS攻擊行為。

上述的裝置還可包括：

特征向量提取模塊，用于根據(jù)所述DNS服務(wù)器上記錄的所有查詢?nèi)罩拘畔ⅲ崛》从矰DoS攻擊特征的特征向量；

神經(jīng)網(wǎng)絡(luò)訓(xùn)練模塊，用于基于提取的所述反映DDoS攻擊特征的特征向量，訓(xùn)練并獲得所述多層感知神經(jīng)網(wǎng)絡(luò)。

所述特征向量提取模塊，具體用于根據(jù)所述DNS服務(wù)器上記錄的所有查詢?nèi)罩拘畔ⅲ搭A(yù)設(shè)時(shí)間粒度提取所述反映DDoS攻擊特征的特征向量。