[發明專利]一種動態閾值DDoS被攻擊地址檢測方法

有效

• 申請號: 201110309008.2
• 申請日: 2011-10-12
• 公開（公告）號: CN102394868A
• 公開（公告）日: 2012-03-28
• 發明（設計）人: 丁力;孫知信;金易琛;宮婧
• 申請（專利權）人: 鎮江金鈦軟件有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 南京經緯專利商標代理有限公司 32200
• 代理人: 許方

1.一種動態閾值DDoS被攻擊地址檢測方法，其特征在于包括如下步驟：

步驟1，分析歷史數據表得到閾值TH_n以及閾值數據表，其中：TH_n為第n次更新時所預測的閾值，n為大于等于1的自然數；

步驟2，在數據采集周期內采集數據包，對采集的數據包提取IP地址，統計實時數據流量TF_n，TF_n為第n次更新時實時數據流量；

步驟3，對比實時數據流量TF_n與閾值TH_n，計算各個數據在第n次更新時溢出積累變量S_n的值，并更新溢出積累變量S_n值的存儲表，溢出積累變量S_n值的具體算法如下：

當TF_n＞TH_n時，進入步驟3-1；

當TF_n≤TH_n時，進入步驟3-2；

步驟3-1，利用公式S_n＝S_n-1+TF_n-TH_n計算第n次更新時溢出積累變量S_n的值；

步驟3-2，當S_n-1＞0時，利用如下公式計算第n次更新時溢出積累變量S_n的值；

Sn=Sn-1÷2,(THn-TFn)<(Sn-1÷2)Sn-1+TFn-THn,(THn-TFn)>(Sn-1÷2)]]>

其中，S₁＝0；

當S_n-1≤0，S_n＝0；

步驟4，設置溢出積累變量的最大值為S_max，比較第n次更新時溢出積累變量S_n的值與溢出積累變量的最大值S_max，僅當S_n＞S_max時，S_n＝S_max；

步驟5，檢查各IP地址第n次更新時溢出積累變量S_n的值是否為0，

當S_n＜0時，表示該IP地址已經被攻擊結束；

當S_n＞0時，將該IP地址列為遭到DDoS攻擊的目標地址；

當S_n＝0時，利用如下公式計算該IP地址閾值，更新閾值數據表，用IP地址未被攻擊的流量數據覆蓋歷史數據表：

THn=αTHn+(1-α)TFn±Σi=n-m+1n-1(THi-THi-1)2+BT;]]>

其中，α為數據更新系數，BT為緩沖流量，0≤α≤1，m∈n；

步驟6，進入下一數據采集周期，返回步驟2。

2.根據權利要求1所述的動態閾值DDoS被攻擊地址檢測方法，其特征在于步驟5中所述的公式中，正負號的選取依據如下原則：

計算第n次閾值時，若第n-1次的數據流量大于第n-2次的數據流量則取正，反之取負。