[發(fā)明專(zhuān)利]一種基于Netflow日志數(shù)據(jù)的DDOS攻擊檢測(cè)方法及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201810306817.X
• 申請(qǐng)日: 2018-04-08
• 公開(kāi)（公告）號(hào): CN108494791A
• 公開(kāi)（公告）日: 2018-09-04
• 發(fā)明（設(shè)計(jì)）人: 曾毅;王志華;喻波;王志海;董愛(ài)華;安鵬
• 申請(qǐng)（專(zhuān)利權(quán)）人: 北京明朝萬(wàn)達(dá)科技股份有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06
• 代理公司: 暫無(wú)信息
• 代理人: 暫無(wú)信息

1.一種基于Netflow日志數(shù)據(jù)的DDOS攻擊檢測(cè)方法，其特征在于，該方法包括以下步驟：

1)通過(guò)LDA分析模型對(duì)新采集到的Netflow數(shù)據(jù)進(jìn)行分值評(píng)估；

2)當(dāng)評(píng)估分值高于預(yù)定分值時(shí)，丟棄新采集的Netflow數(shù)據(jù)，當(dāng)評(píng)估分值低于預(yù)定分值時(shí)，確定新采集的Netflow數(shù)據(jù)為可疑Netflow數(shù)據(jù)；

3)判斷該可疑Netflow數(shù)據(jù)的源IP地址在某個(gè)時(shí)間段內(nèi)對(duì)服務(wù)器的訪問(wèn)次數(shù)；

4)如果訪問(wèn)次數(shù)大于設(shè)定閾值，判斷該可疑Netflow數(shù)據(jù)為DDOS攻擊，并在地圖顯示。

2.根據(jù)權(quán)利要求1所述的方法，所述LDA分析模型中，Netflow數(shù)據(jù)是由以下詞語(yǔ)：源IP地址，目的IP地址，端口和時(shí)間戳來(lái)標(biāo)識(shí)，基于這些詞語(yǔ)據(jù)建立LDA分析模型輸入所需的文檔、主題，然后根據(jù)LDA算法，計(jì)算出每條Netflow數(shù)據(jù)出現(xiàn)的概率，也就是IP地址在某個(gè)時(shí)間段訪問(wèn)服務(wù)器地址的概率，并將該概率作為該條Netflow數(shù)據(jù)的分值。

3.根據(jù)權(quán)利要求2所述的方法，所述Netflow數(shù)據(jù)中每個(gè)詞語(yǔ)在文檔集合中出現(xiàn)的概率標(biāo)識(shí)為：根據(jù)該概率確定新采集到的Netflow數(shù)據(jù)的分值。

4.根據(jù)權(quán)利要求1所述的方法，統(tǒng)計(jì)各個(gè)IP地址在某個(gè)時(shí)間段對(duì)各個(gè)服務(wù)器端口的訪問(wèn)次數(shù)，統(tǒng)計(jì)服務(wù)器的某個(gè)端口在一段時(shí)間內(nèi)被訪問(wèn)的次數(shù)，確定服務(wù)器某個(gè)端口的設(shè)定閾值。

5.根據(jù)權(quán)利要求1所述的方法，針對(duì)判斷為DDOS攻擊的Netflow數(shù)據(jù)，確定該Netflow數(shù)據(jù)對(duì)應(yīng)的源IP地址和目的IP地址，并與對(duì)應(yīng)的位置信息關(guān)聯(lián)，展示在地圖上。

6.一種基于Netflow日志數(shù)據(jù)的DDOS攻擊檢測(cè)裝置，其特征在于，該裝置包括：

分值評(píng)估模塊，通過(guò)LDA分析模型對(duì)新采集到的Netflow數(shù)據(jù)進(jìn)行分值評(píng)估；

分值判斷模塊，當(dāng)評(píng)估分值高于預(yù)定分值時(shí)，丟棄新采集的Netflow數(shù)據(jù)，當(dāng)評(píng)估分值低于預(yù)定分值時(shí)，確定新采集的Netflow數(shù)據(jù)為可疑Netflow數(shù)據(jù)；

訪問(wèn)次數(shù)確定模塊，判斷該可疑Netflow數(shù)據(jù)的源IP地址在某個(gè)時(shí)間段內(nèi)對(duì)服務(wù)器的訪問(wèn)次數(shù)；

DDOS攻擊判斷模塊，如果訪問(wèn)次數(shù)大于設(shè)定閾值，判斷該可疑Netflow數(shù)據(jù)為DDOS攻擊，并在地圖顯示。

7.根據(jù)權(quán)利要求6所述的裝置，所述LDA分析模型中，Netflow數(shù)據(jù)是由以下詞語(yǔ)：源IP地址，目的IP地址，端口和時(shí)間戳來(lái)標(biāo)識(shí)，基于這些詞語(yǔ)據(jù)建立LDA分析模型輸入所需的文檔、主題，然后根據(jù)LDA算法，計(jì)算出每條Netflow數(shù)據(jù)出現(xiàn)的概率，也就是IP地址在某個(gè)時(shí)間段訪問(wèn)服務(wù)器地址的概率，該概率由以下公式確定；

根據(jù)該概率確定新采集到的Netflow數(shù)據(jù)的分值。

8.根據(jù)權(quán)利要求6所述的裝置，還包括：訪問(wèn)次數(shù)閾值確定模塊，統(tǒng)計(jì)各個(gè)IP地址在某個(gè)時(shí)間段對(duì)各個(gè)服務(wù)器端口的訪問(wèn)次數(shù)，統(tǒng)計(jì)服務(wù)器的某個(gè)端口在一段時(shí)間內(nèi)被訪問(wèn)的次數(shù)，確定服務(wù)器某個(gè)端口的設(shè)定閾值。

9.根據(jù)權(quán)利要求6所述的裝置，還包括：地圖展示模塊，針對(duì)判斷為DDOS攻擊的Netflow數(shù)據(jù)，確定該Netflow數(shù)據(jù)對(duì)應(yīng)的源IP地址和目的IP地址，并與對(duì)應(yīng)的位置信息關(guān)聯(lián)，展示在地圖上。

10.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，該介質(zhì)存儲(chǔ)有計(jì)算機(jī)程序指令，其特征在于，當(dāng)執(zhí)行所述計(jì)算機(jī)程序指令時(shí)，實(shí)現(xiàn)如權(quán)利要求1-5之一所述的方法。