[發(fā)明專利]一種DDoS攻擊檢測方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 201711451017.9
• 申請(qǐng)日: 2017-12-27
• 公開（公告）號(hào): CN109981533B
• 公開（公告）日: 2021-11-30
• 發(fā)明（設(shè)計(jì)）人: 劉書林
• 申請(qǐng)（專利權(quán)）人: 中移（杭州）信息技術(shù)有限公司;中國移動(dòng)通信集團(tuán)公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 郭潤湘

本發(fā)明公開了一種DDoS攻擊檢測方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)，所述方法包括：在檢測周期內(nèi)，確定服務(wù)器接收的每個(gè)訪問請(qǐng)求訪問對(duì)應(yīng)的統(tǒng)一資源定位符URL頁面的訪問時(shí)長，并根據(jù)每個(gè)訪問時(shí)長，確定總訪問時(shí)長；根據(jù)每個(gè)訪問請(qǐng)求對(duì)應(yīng)的訪問時(shí)長，及所述總訪問時(shí)長，確定每個(gè)訪問請(qǐng)求對(duì)應(yīng)的第一概率，根據(jù)每個(gè)所述第一概率及預(yù)設(shè)的信息熵公式，確定所述檢測周期的停留時(shí)間熵；判斷所述檢測周期的停留時(shí)間熵是否位于預(yù)設(shè)的時(shí)間熵范圍內(nèi)；如果否，確定所述服務(wù)器在所述檢測周期內(nèi)受到DDoS攻擊。提供了一種不受IP和流量影響的DDoS攻擊檢測方案，保證了DDoS攻擊檢測的準(zhǔn)確性。

技術(shù)領(lǐng)域

本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，尤其涉及一種分布式拒絕服務(wù)(DistributedDenial of Service，DDoS)攻擊檢測方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)。

背景技術(shù)

DDoS攻擊是一種通過消耗目標(biāo)資源來阻止用戶正常訪問目標(biāo)服務(wù)的網(wǎng)絡(luò)攻擊形式，指將多個(gè)客戶端聯(lián)合起來作為攻擊平臺(tái)，對(duì)一個(gè)或者多個(gè)目標(biāo)服務(wù)器發(fā)動(dòng)攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力，其最基本的攻擊方法是利用多個(gè)客戶端同時(shí)發(fā)送大量的合理的服務(wù)請(qǐng)求，占用服務(wù)器的大量資源，導(dǎo)致服務(wù)器無法提供正常的服務(wù)。

現(xiàn)有技術(shù)在對(duì)DDoS攻擊進(jìn)行檢測時(shí)，主要采用兩種方式，一種是對(duì)服務(wù)器的流量進(jìn)行檢測，當(dāng)流量超過設(shè)定流量閾值時(shí)，確定受到DDoS攻擊；另一種是根據(jù)服務(wù)器接收的訪問請(qǐng)求中出現(xiàn)的客戶端IP地址來計(jì)算熵值，通過熵值可以反映出客戶端IP地址的分布情況，熵值越大，表示源IP分布越分散，DDoS攻擊發(fā)生時(shí)，客戶端IP地址的熵值會(huì)明顯增大。

然而，伴隨著服務(wù)器提供的業(yè)務(wù)越來越復(fù)雜，服務(wù)器在特定情景下，很容易產(chǎn)生正常的突發(fā)用戶大流量(Flash Crowd)情況，比如雙11的電商網(wǎng)站服務(wù)器，春運(yùn)的售票網(wǎng)站服務(wù)器以及學(xué)生選課期間的校園網(wǎng)服務(wù)器，導(dǎo)致通過流量檢測DDoS攻擊不準(zhǔn)確，存在很高誤檢率；此外，現(xiàn)有大多數(shù)企事業(yè)單位都是通過網(wǎng)址轉(zhuǎn)換(Network Address Translation，NAT)技術(shù)利用一個(gè)或幾個(gè)公網(wǎng)IP提供互聯(lián)網(wǎng)服務(wù)，這就導(dǎo)致大量用戶使用同一IP訪問同一服務(wù)器成為一種常見現(xiàn)象，依靠IP進(jìn)行DDoS攻擊檢測也會(huì)產(chǎn)生很高的誤檢率。

發(fā)明內(nèi)容

本發(fā)明提供一種DDoS攻擊檢測方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)，用以解決現(xiàn)有技術(shù)中DDoS攻擊檢測存在很高誤檢率，不準(zhǔn)確的問題。

本發(fā)明公開了一種DDoS攻擊檢測方法，所述方法包括：

在檢測周期內(nèi)，確定服務(wù)器接收的每個(gè)訪問請(qǐng)求訪問對(duì)應(yīng)的統(tǒng)一資源定位符URL頁面的訪問時(shí)長，并根據(jù)每個(gè)訪問時(shí)長，確定總訪問時(shí)長；

根據(jù)每個(gè)訪問請(qǐng)求對(duì)應(yīng)的訪問時(shí)長，及所述總訪問時(shí)長，確定每個(gè)訪問請(qǐng)求對(duì)應(yīng)的第一概率，根據(jù)每個(gè)所述第一概率及預(yù)設(shè)的信息熵公式，確定所述檢測周期的停留時(shí)間熵；

判斷所述檢測周期的停留時(shí)間熵是否位于預(yù)設(shè)的時(shí)間熵范圍內(nèi)；

如果否，確定所述服務(wù)器在所述檢測周期內(nèi)受到DDoS攻擊。

進(jìn)一步地，所述在檢測周期內(nèi)，確定服務(wù)器接收的每個(gè)訪問請(qǐng)求訪問對(duì)應(yīng)的URL頁面的訪問時(shí)長之前，所述方法還包括：

根據(jù)所述檢測周期內(nèi)，服務(wù)器中每個(gè)URL頁面被訪問的次數(shù)，服務(wù)器接收到訪問請(qǐng)求的總次數(shù)，確定每個(gè)URL頁面被訪問的第二概率；

根據(jù)每個(gè)所述第二概率及預(yù)設(shè)的信息熵公式，確定所述檢測周期的請(qǐng)求熵；

判斷所述請(qǐng)求熵是否位于預(yù)設(shè)的請(qǐng)求熵范圍內(nèi)；

如果否，進(jìn)行后續(xù)步驟。

進(jìn)一步地，所述在檢測周期內(nèi)，確定服務(wù)器接收的每個(gè)訪問請(qǐng)求訪問對(duì)應(yīng)的URL頁面的訪問時(shí)長包括：

獲取檢測周期內(nèi)，所述每個(gè)訪問請(qǐng)求的請(qǐng)求時(shí)間及對(duì)應(yīng)的URL頁面的跳轉(zhuǎn)時(shí)間；