[發明專利]DDOS攻擊檢測方法、裝置、電子設備及存儲介質

在審

• 申請號: 202010035576.7
• 申請日: 2020-01-14
• 公開（公告）號: CN111262851A
• 公開（公告）日: 2020-06-09
• 發明（設計）人: 馮劍;王晨光;劉夢霖
• 申請（專利權）人: 中移（杭州）信息技術有限公司;中國移動通信集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海晨皓知識產權代理事務所(普通合伙) 31260
• 代理人: 成麗杰

本發明實施例涉及IT應用技術領域，公開了一種DDOS攻擊檢測方法、裝置、電子設備及存儲介質。該方法實時獲取單位時間內流經一個計算節點對應的邊緣路由器的目標IP的流量數據；獲取所述目標IP對應的流量基線模型；根據獲取的流量數據及所述目標IP對應的流量基線模型，在確定單位時間內所述目標IP出現疑似告警時，利用區塊鏈網絡的多個計算節點共享機制，更新所述計算節點維護的疑似告警集合；根據更新后的所述計算節點維護的疑似告警集合，利用預設規則確定所述目標IP的最終DDOS攻擊檢測結果。本發明直接在近源端部署計算節點進行檢測，檢測結果可靠。

技術領域

本發明實施例涉及IT應用技術領域，特別涉及一種DDOS攻擊檢測的方法、裝置、電子設備及存儲介質。

背景技術

當前的抗分布式拒絕服務(Distributed Denial of Service，DDOS)系統技術方案，對于來自物聯網的DDOS攻擊檢測，重點分析的是被攻擊目標的網絡態勢。所需的數據來自于路由器吐出的Netflow日志。該日志是被集中收集后再送入檢測系統分析，屬于DFI(深度流量分析)范疇。檢測技術方案為對流進某個IP的報文包數或者報文流量，按照每一分鐘為單位建立一個閾值，當發現某一類包數或者流量異常增大，超過閾值，則認為受到了來自物聯網的DDOS攻擊。當檢測到攻擊后，需要聯動對應的清洗設備，進行引流等方式清洗攻擊流量。發明人發現，現有技術方案中閾值的生成方式來自經驗，實踐證明來自經驗生成的閾值存在大量誤報和漏報的情況而且不能反映網絡流量的時序特性；需要3分鐘才能判斷是否存在DDOS攻擊檢測，實時性不強；對低速攻擊檢測能力低下；需要流量清洗設備，清洗過程會嚴重影響正常業務；Netflow日志的采樣比過高，會導致數據嚴重失真。

發明內容

本發明實施方式的目的在于提供一種DDOS攻擊檢測方法、電子設備、裝置及計算機可讀存儲介質，能夠直接在近源端部署計算節點進行檢測，而且利用區塊鏈技術實現眾計算節點安全可信的通信，對初步檢測果進行綜合的二次分析形成可靠的最終檢測結果，提高檢測的可靠性。

為解決上述技術問題，本發明的實施方式提供了一種DDOS攻擊檢測方法，所述方法包括：

實時獲取單位時間內流經所述計算節點對應的邊緣路由器的目標IP的流量數據；

獲取所述目標IP對應的流量基線模型；

根據獲取的流量數據及所述目標IP對應的流量基線模型，確定單位時間內所述目標IP是否出現疑似DDOS攻擊的疑似告警；

在確定單位時間內所述目標IP出現疑似告警時，利用所述區塊鏈網絡的多個計算節點共享機制，更新所述計算節點維護的疑似告警集合；

根據更新后的所述計算節點維護的疑似告警集合，利用預設規則確定所述目標IP的最終DDOS攻擊檢測結果。

優選地，所述獲取所述目標IP對應的流量基線模型包括：

在第一目標時間段內每隔單位時間獲取流經所述目標IP的多組流量數據；

歸一化所述多組流量數據；

對歸一化的多組流量數據進行聚類，得到所述流量基線模型。

優選地，所述根據獲取的流量數據及所述目標IP對應的流量基線模型，確定單位時間內所述目標IP是否出現疑似DDOS攻擊的疑似告警包括：

在獲取的流量數據能與所述目標IP對應的流量基線模型聚成一類時，則確定單位時間內所述目標IP沒有出現疑似告警；

在獲取的流量數據不能與所述目標IP對應的流量基線模型聚成一類時，則確定單位時間內所述目標IP出現了疑似告警。

優選地，所述在確定單位時間內所述目標IP出現疑似告警時，利用所述區塊鏈網絡的多個計算節點共享機制，更新所述計算節點維護的疑似告警集合包括：