[發(fā)明專利]一種洪水類DoS攻擊行為的檢測(cè)方法、系統(tǒng)及相關(guān)組件

在審

• 申請(qǐng)?zhí)枺?/td>: 201810864643.9
• 申請(qǐng)日: 2018-08-01
• 公開（公告）號(hào): CN110798426A
• 公開（公告）日: 2020-02-14
• 發(fā)明（設(shè)計(jì)）人: 孟翔;劉伯仲
• 申請(qǐng)（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L12/26
• 代理公司: 44285 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙)
• 代理人: 王仲凱

1.一種洪水類DoS攻擊行為的檢測(cè)方法，其特征在于，包括：

生成目標(biāo)時(shí)間段的內(nèi)網(wǎng)主機(jī)流量對(duì)應(yīng)的網(wǎng)絡(luò)流量集合；

判斷所述網(wǎng)絡(luò)流量集合的連接頻率是否大于第一預(yù)設(shè)值；

若是，則根據(jù)所述網(wǎng)絡(luò)流量集合的流量特征獲取差異性數(shù)據(jù)；

判斷所述差異性數(shù)據(jù)內(nèi)的所有流量之間的相似度是否大于第二預(yù)設(shè)值；若是，則判定檢測(cè)到洪水類DoS攻擊行為。

2.根據(jù)權(quán)利要求1所述檢測(cè)方法，其特征在于，判斷所述差異性數(shù)據(jù)內(nèi)的所有流量之間的相似度是否大于第二預(yù)設(shè)值；若是，則判定檢測(cè)到洪水類DoS攻擊行為包括：

剔除所述差異性數(shù)據(jù)中的離群點(diǎn)得到待聚類數(shù)據(jù)；

對(duì)所述待聚類數(shù)據(jù)執(zhí)行聚類操作得到DoS聚類結(jié)果；

判斷所述DoS聚類結(jié)果內(nèi)的所有流量之間的相似度是否大于所述第二預(yù)設(shè)值；

若是，則判定檢測(cè)到所述洪水類DoS攻擊行為。

3.根據(jù)權(quán)利要求2所述檢測(cè)方法，其特征在于，對(duì)所述待聚類數(shù)據(jù)執(zhí)行聚類操作得到DoS聚類結(jié)果包括：

對(duì)所述待聚類數(shù)據(jù)執(zhí)行二值聚類操作得到第一聚類結(jié)果和第二聚類結(jié)果，并將所述第一聚類結(jié)果和所述第二聚類結(jié)果中包含流量條數(shù)較大的結(jié)果設(shè)置為所述DoS聚類結(jié)果。

4.根據(jù)權(quán)利要求1所述檢測(cè)方法，其特征在于，所述生成目標(biāo)時(shí)間段的內(nèi)網(wǎng)主機(jī)流量對(duì)應(yīng)的網(wǎng)絡(luò)流量集合包括：

將所述目標(biāo)時(shí)間段劃分為預(yù)設(shè)數(shù)量個(gè)時(shí)間窗口；

根據(jù)所述目標(biāo)時(shí)間段的內(nèi)網(wǎng)主機(jī)流量生成與所述時(shí)間窗口相對(duì)應(yīng)的預(yù)設(shè)數(shù)量個(gè)所述網(wǎng)絡(luò)流量集合。

5.根據(jù)權(quán)利要求4所述檢測(cè)方法，其特征在于，根據(jù)所述網(wǎng)絡(luò)流量集合的流量特征獲取差異性數(shù)據(jù)包括：

判斷連續(xù)可疑時(shí)間窗口的數(shù)量是否大于第三預(yù)設(shè)值；其中，所述可疑時(shí)間窗口為所述連接頻率大于所述第一預(yù)設(shè)值的時(shí)間窗口；

若是，則根據(jù)所述網(wǎng)絡(luò)流量集合的流量特征獲取差異性數(shù)據(jù)；其中，所述流量特征包括時(shí)間戳和/或上下行流量大小。

6.一種洪水類DoS攻擊行為的檢測(cè)系統(tǒng)，其特征在于，包括：

流量集合生成模塊，用于生成目標(biāo)時(shí)間段的內(nèi)網(wǎng)主機(jī)流量對(duì)應(yīng)的網(wǎng)絡(luò)流量集合；

頻率判斷模塊，用于判斷所述網(wǎng)絡(luò)流量集合的連接頻率是否大于第一預(yù)設(shè)值；

差異性數(shù)據(jù)獲取模塊，用于當(dāng)所述連接頻率大于所述第一預(yù)設(shè)值時(shí)，根據(jù)所述網(wǎng)絡(luò)流量集合的流量特征獲取差異性數(shù)據(jù)；

相似度判斷模塊，用于判斷所述差異性數(shù)據(jù)內(nèi)的所有流量之間的相似度是否大于第二預(yù)設(shè)值；若是，則判定檢測(cè)到洪水類DoS攻擊行為。

7.根據(jù)權(quán)利要求6所述檢測(cè)系統(tǒng)，其特征在于，相似度判斷模塊包括：

離群點(diǎn)剔除單元，用于剔除所述差異性數(shù)據(jù)中的離群點(diǎn)得到待聚類數(shù)據(jù)；

聚類單元，用于對(duì)所述待聚類數(shù)據(jù)執(zhí)行聚類操作得到DoS聚類結(jié)果；

判斷單元，用于判斷所述DoS聚類結(jié)果內(nèi)的所有流量之間的相似度是否大于所述第二預(yù)設(shè)值；

結(jié)果輸出單元，用于當(dāng)所述相似度大于所述第二預(yù)設(shè)值時(shí)，判定檢測(cè)到所述洪水類DoS攻擊行為。

8.根據(jù)權(quán)利要求7所述檢測(cè)系統(tǒng)，其特征在于，所述聚類單元包括具體為對(duì)所述待聚類數(shù)據(jù)執(zhí)行二值聚類操作得到第一聚類結(jié)果和第二聚類結(jié)果，并將所述第一聚類結(jié)果和所述第二聚類結(jié)果中包含流量條數(shù)較大的結(jié)果設(shè)置為所述DoS聚類結(jié)果的單元。

9.根據(jù)權(quán)利要求6所述檢測(cè)系統(tǒng)，其特征在于，所述流量集合生成模塊包括：

時(shí)間窗口劃分單元，用于將所述目標(biāo)時(shí)間段劃分為預(yù)設(shè)數(shù)量個(gè)時(shí)間窗口；

集合生成單元，用于根據(jù)所述目標(biāo)時(shí)間段的內(nèi)網(wǎng)主機(jī)流量生成與所述時(shí)間窗口相對(duì)應(yīng)的預(yù)設(shè)數(shù)量個(gè)所述網(wǎng)絡(luò)流量集合。