[發明專利]一種DDoS攻擊檢測方法和裝置

有效

• 申請號: 201710994860.5
• 申請日: 2017-10-23
• 公開（公告）號: CN107689967B
• 公開（公告）日: 2020-03-03
• 發明（設計）人: 劉子建;彭銳;周婧瑩;劉思勤;陳孟嘗;葉新斌;潘俊斌
• 申請（專利權）人: 中國聯合網絡通信集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 申健

1.一種DDoS攻擊檢測方法，其特征在于，包括：

統計各周期內接收到的目標報文的總數；各所述周期在時間上連續；所述目標報文為目的IP地址為防護目標IP地址的報文；

計算當前報文總數變化量；所述當前報文總數變化量為當前周期內接收到的目標報文的總數與上一個周期內接收到的目標報文的總數的差值的絕對值；

判斷所述當前報文總數變化量是否符合第一預設條件，包括：計算所述當前報文總數變化量與上周期報文總數變化量的差值；所述上周期報文總數變化量為上一周期內接收到的報文總數與上上一周期內接收到的目標報文的總數的差值的絕對值；判斷所述當前報文總數變化量與上周期報文總數變化量的差值是否大于或等于第一閾值；若是，則確定所述當前報文總數變化量符合所述第一預設條件；若否，則確定所述當前報文總數變化量不符合所述第一預設條件；

若是，則統計各周期接收的目標報文中各自治系統發送的目標報文的占比；

計算當前報文分布變化量；所述當前報文分布變化量為各自治系統在當前周期內發送的目標報文的占比與上一周期內發送的目標報文的占比的差值的絕對值之和；

判斷所述當前報文分布變化量是否符合第二預設條件，包括：計算所述當前報文分布變化量與上周期報文分布變化量的差值；所述上周期報文分布變化量為各自治系統在上周期內發送的目標報文的占比與上上一周期內發送的目標報文的占比的差值的絕對值之和；判斷所述當前報文分布變化量與上周期報文分布變化量的差值是否大于或等于第二閾值；若是，則確定所述當前報文分布變化量符合所述第二預設條件；若否，則確定所述當前報文分布變化量不符合所述第二預設條件；

若是，則確定當前存在DDoS攻擊。

2.根據權利要求1所述的方法，其特征在于，所述第一閾值為預設時間長度內各周期的報文總數變化量的最大值與最小值的差值；

其中，任一周期的報文總數變化量為該周期內接收到的目標報文的總數與該周期的上一個周期內接收到的目標報文的總數的差值的絕對值。

3.根據權利要求1所述的方法，其特征在于，所述第二閾值為預設時間長度內各周期的報文分布變化量的最大值與最小值之差；

其中，任一周期的報文分布變化量為各自治系統在該周期內發送的目標報文的占比與該周期的上一周期內發送的目標報文的占比的差值的絕對值之和。

4.一種DDoS攻擊檢測裝置，其特征在于，包括：

統計模塊，用于統計各周期內接收到的目標報文的總數；各所述周期在時間上連續；所述目標報文為目的IP地址為防護目標IP地址的報文；

計算模塊，用于計算當前報文總數變化量；所述當前報文總數變化量為當前周期內接收到的目標報文的總數與上一個周期內接收到的目標報文的總數的差值的絕對值；

處理模塊，用于判斷所述當前報文總數變化量是否符合第一預設條件，包括：計算所述當前報文總數變化量與上周期報文總數變化量的差值；所述上周期報文總數變化量為上一周期內接收到的報文總數與上上一周期內接收到的目標報文的總數的差值的絕對值；判斷所述當前報文總數變化量與上周期報文總數變化量的差值是否大于或等于第一閾值；若是，則確定所述當前報文總數變化量符合所述第一預設條件；若否，則確定所述當前報文總數變化量不符合所述第一預設條；

若所述當前報文總數變化量符合第一預設條件，所述統計模塊還用于統計各周期接收的目標報文中各自治系統發送的目標報文的占比；

所述計算模塊還用計算當前報文分布變化量；所述當前報文分布變化量為各自治系統在當前周期內發送的目標報文的占比與上一周期內發送的目標報文的占比的差值的絕對值之和；

所述處理模塊還用于判斷所述當前報文分布變化量是否符合第二預設條件，以及在當前報文分布變化量符合第二預設條件時確定當前存在DDoS攻擊；

所述處理模塊判斷所述當前報文分布變化量是否符合第二預設條件，包括：計算所述當前報文分布變化量與上周期報文分布變化量的差值；所述上周期報文分布變化量為各自治系統在上周期內發送的目標報文的占比與上上一周期內發送的目標報文的占比的差值的絕對值之和；判斷所述當前報文分布變化量與上周期報文分布變化量的差值是否大于或等于第二閾值；若是，則確定所述當前報文分布變化量符合所述第二預設條件；若否，則確定所述當前報文分布變化量不符合所述第二預設條件。