[發明專利]一種基于數據面的攻擊檢測方法及設備

在審

• 申請號: 202010793666.2
• 申請日: 2020-08-10
• 公開（公告）號: CN112073376A
• 公開（公告）日: 2020-12-11
• 發明（設計）人: 沈勝慶;黃婷熙;程友清
• 申請（專利權）人: 烽火通信科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市六加知識產權代理有限公司 44372
• 代理人: 向彬

1.一種基于數據面的攻擊檢測方法，其特征在于，所述攻擊檢測方法包括：

獲取發往目標設備的數據流；

對所述數據流進行解析得到多個特征值，將多個所述特征值形成待檢測特征流，其中，所述特征值指向源端設備；

估算所述待檢測特征流的目標基數值，以確定所述數據流對應的源端設備的數目；

判斷所述目標基數值是否大于預設的告警閾值；

若所述目標基數值大于所述告警閾值，則確定所述目標設備受到攻擊。

2.根據權利要求1所述的攻擊檢測方法，其特征在于，所述估算所述待檢測特征流的目標基數值包括：

確定可接受的估算誤差值，根據誤差估算公式和所述估算誤差值進行計算，以確定分桶數量m；

對所述待檢測特征流進行分桶，得到m個子特征流；

分別確定各個所述子特征流對應的子基數值；

對m個所述子基數值進行調和平均，得到所述目標基數值。

3.根據權利要求2所述的攻擊檢測方法，其特征在于，所述分別確定各個所述子特征流對應的子基數值包括：

建立包含m個尋址位的尋址表，其中，每一個所述尋址位用于存儲一個所述子特征流的判決數q；

針對每一所述子特征流進行哈希運算，得到預設位數的要素數據；

將所述要素數據的低N位作為尋址地址，將所述要素數據除低N位以外的位作為基數估算的判決位；

對所述判決位進行解析得到連續0的位數，將所述連續0的位數標記為所述子特征流的判決數q；

根據所述尋址地址確定相應的所述尋址位，將所述判決數q寫入相應的所述尋址位，其中，所述子特征流對應的子基數值等于2^q。

4.根據權利要求3所述的攻擊檢測方法，其特征在于，所述檢測方法還包括：

若所述目標基數值不大于所述告警閾值，判斷計時器是否超時；

若所述計時器超時，則將所述計時器清零；

在將所述尋址表的各個所述尋址位上的值清零后，獲取新的待檢測特征流，估算所述新的待檢測特征流的目標基數值，以確定所述目標設備是否受到攻擊。

5.根據權利要求4所述的攻擊檢測方法，其特征在于，所述攻擊檢測方法還包括：

若所述計時器沒有超時，對所述新的待檢測特征流進行分桶，得到m個新的子特征流；

針對每一所述新的子特征流，獲取所述新的子特征流的新判決數q，根據所述新的子特征流的尋址地址確定相應的所述尋址位；

獲取所述尋址位已經寫入的舊判決數q，判斷所述新判決數q是否大于所述舊判決數q；

若所述新判決數q大于所述舊判決數q，則更新所述尋址位對應的值為所述新判決數q。

6.根據權利要求1所述的攻擊檢測方法，其特征在于，所述獲取發往目標設備的數據流包括：

獲取上層軟件所下發的需要保護的目標特征值；

基于所述目標特征值對原始數據流進行篩選，獲取發往目標設備的數據流。

7.根據權利要求6所述的攻擊檢測方法，其特征在于，所述目標特征值包括所述目標設備的目標IP地址，或，所述目標特征值包括所述目標設備的目標IP地址和目標端口。

8.根據權利要求6所述的攻擊檢測方法，其特征在于，所述基于所述目標特征值對原始數據流進行篩選，獲取發往目標設備的數據流包括：

以所述目標特征值作為篩選條件，采用ACL對原始數據流進行篩選，獲取發往目標設備的數據流。

9.根據權利要求1所述的攻擊檢測方法，其特征在于，所述對所述數據流進行解析得到多個特征值，將多個所述特征值形成待檢測特征流包括：

基于可編程語言對所述數據流進行特征提取，得到多個特征值，其中，所述特征值包括源端設備的源IP地址，或，所述特征值包括源端設備的源IP地址和源端口；

將多個所述特征值形成待檢測特征流。

10.一種檢測設備，其特征在于，包括至少一個處理器；以及，與所述至少一個處理器通信連接的存儲器；其中，所述存儲器存儲有可被所述至少一個處理器執行的指令，所述指令被程序設置為執行如權利要求1～9任一項所述的攻擊檢測方法。