[發(fā)明專利]一種DDoS攻擊的檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201610189056.5
• 申請(qǐng)日: 2016-03-29
• 公開(kāi)（公告）號(hào): CN107241304B
• 公開(kāi)（公告）日: 2021-02-02
• 發(fā)明（設(shè)計(jì)）人: 張釗;胡閩;程行峰
• 申請(qǐng)（專利權(quán)）人: 阿里巴巴集團(tuán)控股有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 朱佳

1.一種分布式拒絕服務(wù)DDoS攻擊的檢測(cè)方法，其特征在于，應(yīng)用于云計(jì)算環(huán)境內(nèi)部，包括：

服務(wù)器基于本地的輸出總流量，分別提取出與所述服務(wù)器存在連接的每一個(gè)目的IP的流量特征描述信息，其中，一個(gè)目的IP的流量特征描述信息，用于表征所述一個(gè)目的IP與所述服務(wù)器之間的輸出流量的傳輸狀態(tài)；

所述服務(wù)器分別將所述每一個(gè)目的IP的流量特征描述信息與預(yù)設(shè)的規(guī)則集合進(jìn)行匹配，獲得匹配結(jié)果；

所述服務(wù)器根據(jù)匹配結(jié)果，確定所述服務(wù)器是否存在發(fā)起DDoS攻擊行為；

所述服務(wù)器確定自身存在DDoS攻擊行為時(shí)，確定自身的DDoS攻擊行為所針對(duì)的目的IP集合，并在該目的IP集合中的每一個(gè)目的IP的輸出方向進(jìn)行流量丟棄或者進(jìn)行流量限速。

2.如權(quán)利要求1所述的方法，其特征在于，服務(wù)器基于本地的輸出總流量，分別提取出與所述服務(wù)器存在連接的每一個(gè)目的IP的流量特征描述信息之前，進(jìn)一步包括：

服務(wù)器計(jì)算本地的輸出總流量的大小，并確定本地的輸出總流量的大小達(dá)到設(shè)定閾值。

3.如權(quán)利要求2所述的方法，其特征在于，服務(wù)器確定本地的輸出總流量的大小達(dá)到設(shè)定閾值，包括：

服務(wù)器判斷以下任意一種統(tǒng)計(jì)參量達(dá)到相應(yīng)閾值時(shí)，確定本地的輸出總流量的大小達(dá)到設(shè)定閾值：

輸出方向單位時(shí)間內(nèi)發(fā)送的比特?cái)?shù)目；

輸出方向單位時(shí)間內(nèi)發(fā)送的請(qǐng)求數(shù)據(jù)包數(shù)目；

輸出方向單位時(shí)間內(nèi)發(fā)送的http請(qǐng)求數(shù)目；

輸出方向單位時(shí)間內(nèi)新建連接數(shù)目。

4.如權(quán)利要求1所述的方法，其特征在于，服務(wù)器基于所述輸出總流量，提取出與所述服務(wù)器存在連接的每一個(gè)目的IP的流量特征描述信息，包括：

所述服務(wù)器基于所述輸出總流量，分別針對(duì)每一個(gè)目的IP提取出以下參數(shù)中的一種或任意組合作為相應(yīng)的流量特征描述信息：

所述服務(wù)器到目的IP的輸出流量速率；

所述服務(wù)器到目的IP的輸出數(shù)據(jù)包類型；

所述服務(wù)器到目的IP的輸出數(shù)據(jù)包中異常數(shù)據(jù)包的數(shù)目。

5.如權(quán)利要求1－4任一項(xiàng)所述的方法，其特征在于，所述服務(wù)器根據(jù)匹配結(jié)果，確定所述服務(wù)器是否存在DDoS攻擊行為，包括：

所述服務(wù)器確定至少一個(gè)目的IP的流量特征描述信息中包含的各個(gè)參數(shù)，在所述規(guī)則集合中命中的規(guī)則的總數(shù)目，達(dá)到預(yù)設(shè)的命中門(mén)限時(shí)，確定所述服務(wù)器存在DDoS攻擊行為。

6.如權(quán)利要求1－4任一項(xiàng)所述的方法，其特征在于，確定所述服務(wù)器存在DDoS攻擊行為后，進(jìn)一步包括：

所述服務(wù)器確定自身的DDoS攻擊行為所針對(duì)的目的IP集合；

所述服務(wù)器在所述目的IP集合中的每一個(gè)目的IP的輸出方向進(jìn)行流量丟棄或者進(jìn)行流量限速。

7.如權(quán)利要求6所述的方法，其特征在于，進(jìn)一步包括：

所述服務(wù)器檢測(cè)到本地的輸出總流量的大小低于設(shè)定閾值時(shí)，在所述目的IP集合中的每一個(gè)目的IP的輸出方向，停止流量丟棄或停止流量限速。

8.如權(quán)利要求6所述的方法，其特征在于，進(jìn)一步包括：

所述服務(wù)器確定所述目的IP集合中的任意一個(gè)目的IP的流量特征描述信息與預(yù)設(shè)的規(guī)則集合不再匹配時(shí)，在所述任意一個(gè)目的IP的輸出方向停止流量丟棄或停止流量限速。