[發(fā)明專(zhuān)利]一種洪水類(lèi)DoS攻擊行為的檢測(cè)方法、系統(tǒng)及相關(guān)組件

在審

• 申請(qǐng)?zhí)枺?/td>: 201810864643.9
• 申請(qǐng)日: 2018-08-01
• 公開(kāi)（公告）號(hào): CN110798426A
• 公開(kāi)（公告）日: 2020-02-14
• 發(fā)明（設(shè)計(jì)）人: 孟翔;劉伯仲
• 申請(qǐng)（專(zhuān)利權(quán)）人: 深信服科技股份有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L12/26
• 代理公司: 44285 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙)
• 代理人: 王仲凱

本申請(qǐng)公開(kāi)了一種洪水類(lèi)DoS攻擊行為的檢測(cè)方法，所述檢測(cè)方法包括生成目標(biāo)時(shí)間段的內(nèi)網(wǎng)主機(jī)流量對(duì)應(yīng)的網(wǎng)絡(luò)流量集合；判斷所述網(wǎng)絡(luò)流量集合的連接頻率是否大于第一預(yù)設(shè)值；若是，則根據(jù)所述網(wǎng)絡(luò)流量集合的流量特征獲取差異性數(shù)據(jù)；判斷所述差異性數(shù)據(jù)內(nèi)的所有流量之間的相似度是否大于第二預(yù)設(shè)值；若是，則判定檢測(cè)到洪水類(lèi)DoS攻擊行為。本方法能夠降低對(duì)于訓(xùn)練集的依賴(lài)并提升洪水類(lèi)DoS檢測(cè)的準(zhǔn)確率。本申請(qǐng)還公開(kāi)了一種洪水類(lèi)DoS攻擊行為的檢測(cè)系統(tǒng)、一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)及一種洪水類(lèi)DoS攻擊行為的檢測(cè)裝置，具有以上有益效果。

技術(shù)領(lǐng)域

本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，特別涉及一種洪水類(lèi)DoS攻擊行為的檢測(cè)方法、系統(tǒng)、一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)及一種洪水類(lèi)DoS攻擊行為的檢測(cè)裝置。

背景技術(shù)

DoS(Denial of Service，拒絕服務(wù))是一種造成DoS的攻擊行為，其目的是使計(jì)算機(jī)或網(wǎng)絡(luò)無(wú)法提供正常的服務(wù)。對(duì)防御者而言，給攻擊者留的時(shí)間越長(zhǎng)，其計(jì)算機(jī)或者網(wǎng)絡(luò)服務(wù)被宕機(jī)的可能性就越大。

DoS攻擊的目的通常是使攻擊對(duì)象(某臺(tái)計(jì)算機(jī)或者網(wǎng)絡(luò))無(wú)法提供正常的服務(wù)。常見(jiàn)的DoS攻擊方式有計(jì)算機(jī)網(wǎng)絡(luò)帶寬攻擊和連通性攻擊兩種類(lèi)型。帶寬攻擊主要用極大的通信量沖擊網(wǎng)絡(luò)，以此消耗網(wǎng)絡(luò)資源，最后導(dǎo)致網(wǎng)絡(luò)不可用。DoS攻擊有許多種類(lèi)，主要有Land類(lèi)DoS攻擊、Smurf類(lèi)DoS攻擊及洪水類(lèi)DoS攻擊等。洪水式DoS攻擊通過(guò)大量的連接請(qǐng)求沖擊計(jì)算機(jī)，消耗完計(jì)算機(jī)的可用操作系統(tǒng)，從而導(dǎo)致計(jì)算機(jī)無(wú)法正常響應(yīng)用戶(hù)的請(qǐng)求，對(duì)主機(jī)與網(wǎng)絡(luò)危害極大。

現(xiàn)有技術(shù)中，主要依靠將包含DoS流量的網(wǎng)絡(luò)流量作為訓(xùn)練集，利用機(jī)器學(xué)習(xí)的方式得到關(guān)于檢測(cè)DoS流量的檢測(cè)模型，對(duì)主機(jī)流量進(jìn)行檢測(cè)，如基于熵和DBSCAN的檢測(cè)方案、基于PCA+DBSCAN+HMM的檢測(cè)方案等。例如，基于PCA+DBSCAN+HMM的檢測(cè)方案為：統(tǒng)計(jì)包含DoS流量的固定時(shí)間窗口內(nèi)流量作為訓(xùn)練集，提取8個(gè)基礎(chǔ)特征，形成對(duì)應(yīng)的特征向量。然后采用PCA將特征向量降維。然后利用DBSCAN聚類(lèi)，得到每條流量的所屬類(lèi)別。最后構(gòu)造HMM模型，顯示層序列：各數(shù)據(jù)包的PCA特征，隱層序列：各數(shù)據(jù)包的DBSCAN分類(lèi)。再面對(duì)新的數(shù)據(jù)，直接將特征作為已知條件，套入到HMM模型，求解分類(lèi)結(jié)果。得到最終每條流量的結(jié)果。該方案得到每條流量是否為DoS，忽略了DoS的其他特點(diǎn)。由于上述這種通過(guò)訓(xùn)練檢測(cè)模型來(lái)檢測(cè)DoS行為的方法中訓(xùn)練集能夠提供的特征十分有限，會(huì)造成對(duì)于訓(xùn)練機(jī)的依賴(lài)程度高、誤報(bào)率較高的問(wèn)題。

因此，如何降低對(duì)于訓(xùn)練集的依賴(lài)并提升洪水類(lèi)DoS檢測(cè)的準(zhǔn)確率是本領(lǐng)域技術(shù)人員目前需要解決的技術(shù)問(wèn)題。

發(fā)明內(nèi)容

本申請(qǐng)的目的是提供一種洪水類(lèi)DoS攻擊行為的檢測(cè)方法、系統(tǒng)、一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)及一種洪水類(lèi)DoS攻擊行為的檢測(cè)裝置，能夠降低對(duì)于訓(xùn)練集的依賴(lài)并提升洪水類(lèi)DoS檢測(cè)的準(zhǔn)確率。

為解決上述技術(shù)問(wèn)題，本申請(qǐng)?zhí)峁┮环N洪水類(lèi)DoS攻擊行為的檢測(cè)方法，該檢測(cè)方法包括：

生成目標(biāo)時(shí)間段的內(nèi)網(wǎng)主機(jī)流量對(duì)應(yīng)的網(wǎng)絡(luò)流量集合；

判斷所述網(wǎng)絡(luò)流量集合的連接頻率是否大于第一預(yù)設(shè)值；

若是，則根據(jù)所述網(wǎng)絡(luò)流量集合的流量特征獲取差異性數(shù)據(jù)；

判斷所述差異性數(shù)據(jù)內(nèi)的所有流量之間的相似度是否大于第二預(yù)設(shè)值；若是，則判定檢測(cè)到洪水類(lèi)DoS攻擊行為。

可選的，判斷所述差異性數(shù)據(jù)內(nèi)的所有流量之間的相似度是否大于第二預(yù)設(shè)值；若是，則判定檢測(cè)到洪水類(lèi)DoS攻擊行為包括：

剔除所述差異性數(shù)據(jù)中的離群點(diǎn)得到待聚類(lèi)數(shù)據(jù)；

對(duì)所述待聚類(lèi)數(shù)據(jù)執(zhí)行聚類(lèi)操作得到DoS聚類(lèi)結(jié)果；

判斷所述DoS聚類(lèi)結(jié)果內(nèi)的所有流量之間的相似度是否大于所述第二預(yù)設(shè)值；