[發(fā)明專利]一種基于Netflow日志數(shù)據(jù)的DDOS攻擊檢測方法及裝置

在審

• 申請?zhí)枺?/td>: 201810306817.X
• 申請日: 2018-04-08
• 公開（公告）號: CN108494791A
• 公開（公告）日: 2018-09-04
• 發(fā)明（設計）人: 曾毅;王志華;喻波;王志海;董愛華;安鵬
• 申請（專利權）人: 北京明朝萬達科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

本發(fā)明公開了一種基于Netflow日志數(shù)據(jù)的DDOS攻擊檢測方法和裝置，該方法包括以下步驟：通過LDA分析模型對新采集到的Netflow數(shù)據(jù)進行分值評估；當評估分值高于預定分值時，丟棄新采集的Netflow數(shù)據(jù)，當當評估分值低于預定分值時，確定新采集的Netflow數(shù)據(jù)為可疑Netflow數(shù)據(jù)；判斷該可疑Netflow數(shù)據(jù)的源IP地址在某個時間段內對服務器的訪問次數(shù)；如果訪問次數(shù)大于設定閾值，判斷該可疑Netflow數(shù)據(jù)為DDOS攻擊，并在地圖顯示。通過本發(fā)明的技術方案，提高數(shù)據(jù)分析的效率，便于用戶定位問題所在。

技術領域

本發(fā)明涉及數(shù)據(jù)安全領域，具體涉及一種基于Netflow日志的網(wǎng)絡安全威脅分析方法及系統(tǒng)。

背景技術

NetFlow是Ciso公司發(fā)布的一款用于分析網(wǎng)絡數(shù)據(jù)包信息的工具包，廣泛的用于路由器和交換機中。它基于流的方式采集網(wǎng)絡數(shù)據(jù)，輸出的流數(shù)據(jù)能很好的表征會話級的特征。利用Netflow技術可以檢測網(wǎng)絡上的IP流信息。采集到的Netflow流量信息可以幫助進行網(wǎng)絡規(guī)劃，網(wǎng)絡管理，流量計費和病毒檢測等等。

機器學習，利用監(jiān)督和無監(jiān)督機器學習技術，進行異常事件偵測，以辨識網(wǎng)路弱點。是一種讓計算機在沒有事先明確的編程的情況下做出正確反應的科學。在過去的十年中，機器學習已經(jīng)給我們在自動駕駛汽車，實用語音識別，有效的網(wǎng)絡搜索，以及提高人類基因組的認識方面帶來大量幫助。機器學習LDA模型，

網(wǎng)絡安全，指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡服務不中斷。

隨著科技的發(fā)展，計算機技術、信息技術、網(wǎng)絡技術的應用對人們日常生活、工作與學習提供了極大的便利，也促進了企業(yè)的發(fā)展。但是，網(wǎng)絡技術發(fā)展的同時，企業(yè)信息管理系統(tǒng)和商業(yè)機密數(shù)據(jù)都收到了外界非法入侵者的嚴重威脅，企業(yè)信息安全發(fā)展形勢日益嚴峻。目前，大部分企業(yè)的內部網(wǎng)絡中都存儲了大量數(shù)據(jù)信息，隨著自動化辦公系統(tǒng)的普遍應用，越來越多的業(yè)務工作依賴于網(wǎng)絡完成，一旦網(wǎng)絡收到了黑客的惡意攻擊，會給企業(yè)帶來無法估計的重大損失，尤其是商業(yè)機密數(shù)據(jù)如果受到非法入侵者的篡改和竊取，甚至會給社會帶來極大的負面影響。

隨著各種網(wǎng)絡應用迅速增加，由此帶來了網(wǎng)絡流量的激增。在這些流量中，網(wǎng)絡用戶的上網(wǎng)行為如何管理？各種類型的流量如何分布？根據(jù)目前的網(wǎng)絡安全態(tài)勢，建立一個能快速、高效識別網(wǎng)絡異常流量分析的檢測模型迫在眉睫，從而保護網(wǎng)絡環(huán)境，為人們放心安全使用網(wǎng)絡應用打好基石。

基于Netflow的單一攻擊檢測技術，該技術完全依賴于網(wǎng)絡流量異常數(shù)據(jù)，無對流量本身數(shù)據(jù)的分析和統(tǒng)計，從而導致在系統(tǒng)用戶高峰期訪問的時候，這種情況下，服務器自身的流量數(shù)據(jù)會大幅度的提升，如果僅僅依賴流量數(shù)據(jù)的分析，檢測系統(tǒng)會在業(yè)務高峰期的時候進行錯誤告警，影響正常的業(yè)務邏輯。

如圖1，現(xiàn)有技術中心基于Netflow的單一攻擊檢測技術主要分為三個階段：

1.流量數(shù)據(jù)收集：利用流量收集工具進行Netflow數(shù)據(jù)的收集和解析，將流量數(shù)據(jù)轉化為可讀的數(shù)據(jù)。

2.統(tǒng)計分類：將流量數(shù)據(jù)進行統(tǒng)計歸類，發(fā)現(xiàn)異常數(shù)據(jù)。

3.告警階段：抓取告警數(shù)據(jù)，告警。

現(xiàn)有技術存在以下問題：

1.沒有對Netflow數(shù)據(jù)進行分析，僅簡單的歸類處理

2.誤報警頻率高

3.報警數(shù)據(jù)可信度底

4.可視化效果差

發(fā)明內容