[發(fā)明專利]一種DDoS攻擊的檢測方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201610189056.5
• 申請(qǐng)日: 2016-03-29
• 公開（公告）號(hào): CN107241304B
• 公開（公告）日: 2021-02-02
• 發(fā)明（設(shè)計(jì)）人: 張釗;胡閩;程行峰
• 申請(qǐng)（專利權(quán)）人: 阿里巴巴集團(tuán)控股有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 朱佳

本申請(qǐng)涉及云計(jì)算領(lǐng)域，特別涉及一種DDoS攻擊的檢測方法及裝置。用以在云計(jì)算環(huán)境內(nèi)部，進(jìn)行準(zhǔn)確的DDoS檢測。該方法為：服務(wù)器從自身的輸出總流量中分別提取針對(duì)每一個(gè)目的IP的流量特征描述信息，再將所述每一個(gè)目的IP的流量特征描述信息與預(yù)設(shè)的規(guī)則集合進(jìn)行匹配，獲得匹配結(jié)果，以及根據(jù)匹配結(jié)果，確定所述服務(wù)器是否存在DDoS攻擊行為。這樣，可以在云計(jì)算環(huán)境內(nèi)部，準(zhǔn)確及時(shí)地檢測出DDoS攻擊行為，便于及時(shí)阻止云計(jì)算環(huán)境內(nèi)部的服務(wù)器，對(duì)同屬云計(jì)算環(huán)境的其他服務(wù)器以及對(duì)云計(jì)算環(huán)境外部的其他主機(jī)的DDoS攻擊，保障了云計(jì)算環(huán)境的整體安全性和運(yùn)行可靠性。進(jìn)一步地，也大大降低了前期的開發(fā)成本和后期的運(yùn)維成本。

技術(shù)領(lǐng)域

本發(fā)明涉及云計(jì)算領(lǐng)域，特別涉及一種DDoS攻擊的檢測方法及裝置。

背景技術(shù)

云計(jì)算(cloud computing)是一種基于互聯(lián)網(wǎng)的計(jì)算方式，通過這種方式，共享的軟硬件資源和信息可以按需求提供給計(jì)算機(jī)和其他設(shè)備。

在云計(jì)算環(huán)境中，最常見的攻擊形式之一便是分布式拒絕服務(wù)(DistributedDenial of Service，DDoS)攻擊。所謂DDoS攻擊，即是指借助于客戶/服務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來作為攻擊平臺(tái)，對(duì)一個(gè)或多個(gè)目標(biāo)發(fā)動(dòng)攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力。

參閱圖1所示，通常情況下，黑客會(huì)將DDoS主控程序安裝在一個(gè)計(jì)算機(jī)上作為攻擊者。在一個(gè)設(shè)定的時(shí)間，攻擊者會(huì)通過主控程序與大量安裝有代理程序的計(jì)算機(jī)通訊，而代理程序已經(jīng)被安裝在Internet上的許多計(jì)算機(jī)，這些計(jì)算機(jī)被稱為傀儡機(jī)。傀儡機(jī)集群接收到攻擊指令時(shí)就會(huì)向被攻擊者發(fā)動(dòng)攻擊。利用客戶/服務(wù)器技術(shù)，攻擊者能在幾秒鐘內(nèi)激活成百上千次傀儡機(jī)的運(yùn)行。

其中，上述傀儡機(jī)即是被黑客遠(yuǎn)程控制的機(jī)器。它們被黑客攻破或者由于用戶不小心被植入了木馬，黑客可以隨意操縱傀儡機(jī)并利用傀儡機(jī)做任何事情。傀儡機(jī)可以是各種系統(tǒng)，如windows、linux、unix等，更可以是一家公司、企業(yè)、學(xué)校甚至是政府軍隊(duì)的服務(wù)器。

針對(duì)目前的DDoS攻擊，目前采用的檢測方案如下：系統(tǒng)通過交換機(jī)端口鏡像或分光分流等方法獲取到云計(jì)算環(huán)境的網(wǎng)絡(luò)鏡像流量，該網(wǎng)絡(luò)鏡像流量中實(shí)時(shí)匯總了云計(jì)算環(huán)境內(nèi)的每一個(gè)主機(jī)的流量，接著，系統(tǒng)判斷網(wǎng)絡(luò)鏡像流量的大小是否大于預(yù)警值，確定大于預(yù)警值時(shí)，則確定主機(jī)受到了DDoS攻擊。而對(duì)于檢測出的被DDoS攻擊的主機(jī)的IP，將會(huì)被流量引到DDoS清洗集群進(jìn)行流量清洗。最終，再進(jìn)行正常流量回注。

然而，現(xiàn)有技術(shù)下，獲取網(wǎng)絡(luò)鏡像流量的流量檢測系統(tǒng)一般設(shè)置在云機(jī)房出口處或者連接運(yùn)營商的出口處，因此，目前的DDoS檢測方案僅僅能檢測到來自云計(jì)算環(huán)境外部的主機(jī)對(duì)內(nèi)部主機(jī)的攻擊，另外，由于對(duì)這部分流量進(jìn)行鏡像的復(fù)雜度非常高，所以目前還沒有有效的解決方案。

發(fā)明內(nèi)容

本申請(qǐng)實(shí)施例提供一種DDoS攻擊的檢測方法及裝置，用以在云計(jì)算環(huán)境內(nèi)部，進(jìn)行準(zhǔn)確的DDoS檢測。

本申請(qǐng)實(shí)施例提供的具體技術(shù)方案如下：

一種DDoS攻擊的檢測方法，包括：

服務(wù)器基于本地的輸出總流量，分別提取出與所述服務(wù)器存在連接的每一個(gè)目的IP的流量特征描述信息，其中，一個(gè)目的IP的流量特征描述信息，用于表征所述一個(gè)目的IP與所述服務(wù)器之間的輸出流量的傳輸狀態(tài)；

所述服務(wù)器分別將所述每一個(gè)目的IP的流量特征描述信息與預(yù)設(shè)的規(guī)則集合進(jìn)行匹配，獲得匹配結(jié)果；

所述服務(wù)器根據(jù)匹配結(jié)果，確定所述服務(wù)器是否存在DDoS攻擊行為。

可選的，服務(wù)器基于本地的輸出總流量，分別提取出與所述服務(wù)器存在連接的每一個(gè)目的IP的流量特征描述信息之前，進(jìn)一步包括：

服務(wù)器計(jì)算本地的輸出總流量的大小，并確定本地的輸出總流量的大小達(dá)到設(shè)定閾值。