[發(fā)明專利]網(wǎng)絡(luò)攻擊檢測(cè)方法及其裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201310253500.1
• 申請(qǐng)日: 2013-06-24
• 公開（公告）號(hào): CN104113519B
• 公開（公告）日: 2017-07-14
• 發(fā)明（設(shè)計(jì)）人: 張峰;張玉東
• 申請(qǐng)（專利權(quán)）人: 阿里巴巴集團(tuán)控股有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京國昊天誠知識(shí)產(chǎn)權(quán)代理有限公司11315
• 代理人: 許志勇

1.一種網(wǎng)絡(luò)攻擊檢測(cè)方法，用于檢測(cè)對(duì)于網(wǎng)站的HTTP-Flood攻擊，其特征在于，所述方法包括：

獲取訪問網(wǎng)站服務(wù)器的訪問請(qǐng)求信息，所述訪問請(qǐng)求信息包括訪問者的以下信息：IP地址、訪問時(shí)間和用戶代理字段值；

統(tǒng)計(jì)預(yù)設(shè)時(shí)間段內(nèi)的訪問請(qǐng)求信息；

根據(jù)預(yù)設(shè)時(shí)間段內(nèi)的訪問請(qǐng)求信息計(jì)算IP地址的訪問頻率和與該IP地址關(guān)聯(lián)的用戶代理字段值的信息熵，如果所述IP地址的訪問頻率大于第一閾值并且用戶代理字段值的信息熵小于第二閾值，則判定該IP為攻擊IP地址。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，還包括：建立IP地址信息表；

所述統(tǒng)計(jì)預(yù)設(shè)時(shí)間段內(nèi)的訪問請(qǐng)求信息的步驟包括：

將所述訪問請(qǐng)求信息記錄至所述IP地址信息表中，若所述IP地址信息表中不存在該IP地址，則在所述IP地址信息表中增加該IP地址，置計(jì)數(shù)為1，并將用戶代理字段值也添加到與該IP地址相關(guān)的用戶代理字段值記錄列表中，并置計(jì)數(shù)為1；若所述IP地址信息表中存在該IP地址，則將該IP地址的計(jì)數(shù)加1，并查找該IP地址相關(guān)的用戶代理字段值記錄列表中是否存在相同的用戶代理字段值，如果存在，則將對(duì)應(yīng)的用戶代理字段值的計(jì)數(shù)加1，否則，將該用戶代理字段值添加到該IP對(duì)應(yīng)的用戶代理字段值列表中，并置計(jì)數(shù)為1。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述根據(jù)預(yù)設(shè)時(shí)間段內(nèi)的訪問請(qǐng)求信息計(jì)算IP地址的訪問頻率和與該IP地址關(guān)聯(lián)的用戶代理字段值的信息熵的步驟包括：

預(yù)設(shè)時(shí)間到達(dá)時(shí)遍歷所述IP地址信息表中的IP地址，分別計(jì)算IP地址的訪問頻率，并計(jì)算該IP地址相關(guān)的用戶代理字段值記錄列表中的信息熵。

4.一種網(wǎng)絡(luò)攻擊檢測(cè)裝置，用于檢測(cè)對(duì)于網(wǎng)站的HTTP-Flood攻擊，其特征在于，所述裝置包括：

第二獲取模塊，用于獲取訪問網(wǎng)站服務(wù)器的訪問請(qǐng)求信息，所述訪問請(qǐng)求信息包括訪問者的以下信息：IP地址、訪問時(shí)間和用戶代理字段值；

第二統(tǒng)計(jì)模塊，用于統(tǒng)計(jì)預(yù)設(shè)時(shí)間段內(nèi)的訪問請(qǐng)求信息；

第二計(jì)算處理模塊，用于根據(jù)預(yù)設(shè)時(shí)間段內(nèi)的訪問請(qǐng)求信息計(jì)算IP地址的訪問頻率和與該IP地址關(guān)聯(lián)的用戶代理字段值的信息熵，如果所述IP地址的訪問頻率大于第一閾值并且用戶代理字段值的信息熵小于第二閾值，則判定該IP為攻擊IP地址。

5.根據(jù)權(quán)利要求4所述的裝置，其特征在于，還包括：

第二IP地址信息表建立模塊，用于建立IP地址信息表；

所述第二統(tǒng)計(jì)模塊還用于，將所述訪問請(qǐng)求信息記錄至所述IP地址信息表中，若所述IP地址信息表中不存在該IP地址，則在所述IP地址信息表中增加該IP地址，置計(jì)數(shù)為1，并將用戶代理字段值也添加到與該IP地址相關(guān)的用戶代理字段值記錄列表中，并置計(jì)數(shù)為1；若所述IP地址信息表中存在該IP地址，則將該IP地址的計(jì)數(shù)加1，并查找該IP地址相關(guān)的用戶代理字段值記錄列表中是否存在相同的用戶代理字段值，如果存在，則將對(duì)應(yīng)的用戶代理字段值的計(jì)數(shù)加1，否則，將該用戶代理字段值添加到該IP對(duì)應(yīng)的用戶代理字段值列表中，并置計(jì)數(shù)為1。

6.根據(jù)權(quán)利要求5所述的裝置，其特征在于，所述第二計(jì)算處理模塊包括：

計(jì)算模塊，用于預(yù)設(shè)時(shí)間到達(dá)時(shí)遍歷所述IP地址信息表中的IP地址，分別計(jì)算IP地址的訪問頻率，并計(jì)算該IP地址相關(guān)的用戶代理字段值記錄列表中的信息熵；

處理模塊，用于如果所述IP地址的訪問頻率大于第一閾值并且用戶代理字段值的信息熵小于第二閾值，則判定該IP為攻擊IP地址。