[發明專利]DDOS攻擊檢測方法、裝置、電子設備及存儲介質

在審

• 申請號: 202010035576.7
• 申請日: 2020-01-14
• 公開（公告）號: CN111262851A
• 公開（公告）日: 2020-06-09
• 發明（設計）人: 馮劍;王晨光;劉夢霖
• 申請（專利權）人: 中移（杭州）信息技術有限公司;中國移動通信集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海晨皓知識產權代理事務所(普通合伙) 31260
• 代理人: 成麗杰

1.一種DDOS攻擊檢測方法，其特征在于，該方法應用于區塊鏈網絡的計算節點中，所述方法包括：

實時獲取單位時間內流經所述計算節點對應的邊緣路由器的目標IP的流量數據；

獲取所述目標IP對應的流量基線模型；

根據獲取的流量數據及所述目標IP對應的流量基線模型，確定單位時間內所述目標IP是否出現疑似DDOS攻擊的疑似告警；

在確定單位時間內所述目標IP出現疑似告警時，利用所述區塊鏈網絡的多個計算節點共享機制，更新所述計算節點維護的疑似告警集合；

根據更新后的所述計算節點維護的疑似告警集合，利用預設規則確定所述目標IP的最終DDOS攻擊檢測結果。

2.根據權利要求1所述的DDOS攻擊檢測方法，其特征在于，所述獲取所述目標IP對應的流量基線模型包括：

在第一目標時間段內每隔單位時間獲取流經所述目標IP的多組流量數據；

歸一化所述多組流量數據；

對歸一化的多組流量數據進行聚類，得到所述流量基線模型。

3.根據權利要求1所述的DDOS攻擊檢測方法，其特征在于，所述根據獲取的流量數據及所述目標IP對應的流量基線模型，確定單位時間內所述目標IP是否出現疑似DDOS攻擊的疑似告警包括：

在獲取的流量數據能與所述目標IP對應的流量基線模型聚成一類時，則確定單位時間內所述目標IP沒有出現疑似告警；

在獲取的流量數據不能與所述目標IP對應的流量基線模型聚成一類時，則確定單位時間內所述目標IP出現了疑似告警。

4.根據權利要求1所述的DDOS攻擊檢測方法，其特征在于，所述在確定單位時間內所述目標IP出現疑似告警時，利用所述區塊鏈網絡的多個計算節點共享機制，更新所述計算節點維護的疑似告警集合包括：

廣播添加疑似告警請求到所述區塊鏈網絡中以使區塊鏈網絡中的其他計算節點在其維護的疑似告警集合中添加所述目標IP出現的疑似告警。

5.根據權利要求1所述的DDOS攻擊檢測方法，其特征在于，所述根據更新后的所述計算節點維護的疑似告警集合，利用預設規則確定所述目標IP的最終DDOS攻擊檢測結果包括：

從所述更新后的所述計算節點維護的疑似告警集合中，獲取第二目標時間段內所述目標IP的目標疑似告警集合；

計算所述目標疑似告警集合中出現目標協議的次數；

在計算的次數大于次數閾值時，確定所述目標IP受到DDOS攻擊。

6.根據權利要求1至5中任一項所述的DDOS攻擊檢測方法，其特征在于，所述方法還包括：

在確定所述目標IP受到DDOS攻擊時，獲取發起攻擊的源IP；

根據所述源IP確定所述源IP對應的智能設備是否在所述邊緣路由器的管轄范圍內；

在所述源IP對應的智能設備在所述邊緣路由器的管轄范圍內時，向所述邊緣路由器發送過濾包含所述源IP及/目標協議的過濾指令。

7.根據權利要求1至5中任一項所述的DDOS攻擊檢測方法，其特征在于，所述方法還包括：

在所述區塊鏈網絡的其他計算節點中的任一計算節點出現疑似告警時，接收所述任一計算節點發送的添加疑似告警請求的廣播；

驗證接收的廣播中的添加疑似告警請求；

在驗證通過后，將接收的廣播中的疑似告警添加至所述計算節點維護的疑似告警集合。