[發明專利]基于IPv4和IPv6的拒絕服務攻擊檢測方法及系統

有效

• 申請號: 201210022670.4
• 申請日: 2012-02-02
• 公開（公告）號: CN103248607A
• 公開（公告）日: 2013-08-14
• 發明（設計）人: 邱勇良
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于IPv4和IPv6的拒絕服務攻擊檢測方法，其特征在于，包括：

步驟a、對需要保護的主機進行監測時，抓取運營流量進行分析統計，提取基本運營參數；

如果所述基本營運參數超出預設的閾值范圍，則根據所述基本營運參數的來源定位目標主機；

根據所述目標主機的基本營運參數，計算出新的簡單流量模型，與在正常狀態下已經事先建立的簡單流量模型進行對比，判斷所述目標主機是否可能存在異常；

步驟b、如果判斷所述目標主機可能存在異常，則跟蹤分析所述目標主機的運營流量，提取流量參數，通過計算三維數據建立新的業務流量模型，與在正常狀態下已經事先建立的業務流量模型進行對比，如果所述三維數據中至少有一個維度的數據偏離正常范圍，則判斷所述目標主機存在異常情況；所述三維數據包括業務量數據、業務范圍數據、服務質量數據；

步驟c、如果所述目標主機存在異常，則使用所述目標主機的運營流量的流量特征與事先根據不同攻擊類型的流量特征所建立的攻擊流量模型的流量特征進行對比，判斷所述目標主機的攻擊類型。

2.如權利要求1所述的基于IPv4和IPv6的拒絕服務攻擊檢測方法，其特征在于，步驟a之前還包括：

設置需要保護的目標主機列表，分析列表中目標主機的正常網絡流量，事先建立簡單流量模型和業務流量模型，所述簡單流量模型用于判斷對應目標主機的運營流量中是否可能存在異常；所述業務流量模型用于判斷對應目標主機的運營流量中是否存在異常。

3.如權利要求2所述的基于IPv4和IPv6的拒絕服務攻擊檢測方法，其特征在于，所述目標主機列表由用戶自行設定或者由系統自動挑選運營流量大于預設值的服務器作為受保護的目標主機；用戶自行設定時地址描述為IP地址或域名地址。

4.如權利要求1所述的基于IPv4和IPv6的拒絕服務攻擊檢測方法，其特征在于，步驟c之后還包括：

向用戶發出報警或者啟動流量清洗設備，清洗已經判斷出攻擊類型的目標主機的運營流量。

5.如權利要求1至4中所述的任一種基于IPv4和IPv6的拒絕服務攻擊檢測方法，其特征在于，所述基本運營參數包括時間段、數據包平均包長、協議比例、每秒包數、TCP并發連接數、TCP連接成功率；

所述業務量數據包括數據包平均包長、協議比例、每秒包數、TCP并發連接數、請求發送頻率；

所述業務范圍數據包括客戶端IP地址分布以及對應的地理分布；

所述服務質量數據包括服務響應時間、TCP連接成功率、TCP超時比例。

6.一種基于IPv4和IPv6的拒絕服務攻擊檢測系統，其特征在于，包括：

運營監測模塊，用于對需要保護的主機進行監測時，抓取運營流量進行分析統計，提取基本運營參數；

如果所述基本營運參數超出預設的閾值范圍，則根據所述基本營運參數的來源定位目標主機；

根據所述目標主機的基本營運參數，計算出新的簡單流量模型，與在正常狀態下已經事先建立的簡單流量模型進行對比，判斷所述目標主機是否可能存在異常；

異常確認模塊，用于跟蹤分析所述目標主機的運營流量，提取流量參數，通過計算三維數據建立新的業務流量模型，與在正常狀態下已經事先建立的業務流量模型進行對比，如果所述三維數據中至少有一個維度的數據偏離正常范圍，則判斷所述目標主機存在異常情況；所述三維數據包括業務量數據、業務范圍數據、服務質量數據；

攻擊類型確認模塊，用于使用所述目標主機的運營流量的流量特征與事先根據不同攻擊類型的流量特征所建立的攻擊流量模型的流量特征進行對比，判斷所述目標主機的攻擊類型。

7.如權利要求6所述的基于IPv4和IPv6的拒絕服務攻擊檢測系統，其特征在于，還包括流量模型模塊，用于設置需要保護的目標主機列表，分析列表中目標主機的正常網絡流量，事先建立簡單流量模型和業務流量模型，所述簡單流量模型用于判斷對應目標主機的運營流量中是否可能存在異常；所述業務流量模型用于判斷對應目標主機的運營流量中是否存在異常。

8.如權利要求7所述的基于IPv4和IPv6的拒絕服務攻擊檢測系統，其特征在于，所述目標主機列表由用戶自行設定或者由系統自動挑選運營流量大于預設值的服務器作為受保護的目標主機；用戶自行設定時地址描述為IP地址或域名地址。