[發(fā)明專利]基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)及方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202011298396.4
• 申請(qǐng)日: 2020-11-18
• 公開（公告）號(hào): CN112416976A
• 公開（公告）日: 2021-02-26
• 發(fā)明（設(shè)計(jì)）人: 逯云松
• 申請(qǐng)（專利權(quán)）人: 簡(jiǎn)和網(wǎng)絡(luò)科技（南京）有限公司
• 主分類號(hào): G06F16/2455
• 分類號(hào): G06F16/2455;G06F16/28;G06F16/2458;G06F16/215;G06N20/20
• 代理公司: 南京創(chuàng)略知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 32358
• 代理人: 閆方圓

1.基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)，其特征在于：包括匯聚控制器(1)和服務(wù)節(jié)點(diǎn)(2)，

所述匯聚控制器(1)為一個(gè)或多個(gè)，管理與其連接的一個(gè)或者多個(gè)的服務(wù)節(jié)點(diǎn)(2)，向與其連接的服務(wù)節(jié)點(diǎn)(2)提出數(shù)據(jù)要求，實(shí)時(shí)接收服務(wù)節(jié)點(diǎn)(2)的數(shù)據(jù)反饋，并結(jié)合網(wǎng)絡(luò)拓?fù)湫畔ⅲM(jìn)行信息匯聚處理，得出攻擊的探測(cè)結(jié)果；

所述服務(wù)節(jié)點(diǎn)(2)為多個(gè)，分別部署安裝在各個(gè)網(wǎng)絡(luò)設(shè)備上，所述網(wǎng)絡(luò)設(shè)備包括網(wǎng)關(guān)設(shè)備、可編程交換機(jī)、網(wǎng)絡(luò)安全一體機(jī)和計(jì)算機(jī)系統(tǒng)上，各服務(wù)節(jié)點(diǎn)(2)用于和匯聚控制器(1)建立通信通道，每個(gè)服務(wù)節(jié)點(diǎn)向一個(gè)或者多個(gè)匯聚控制器(1)注冊(cè)、連接，并接受該匯聚控制器(1)的管控，該管控為服務(wù)節(jié)點(diǎn)(2)根據(jù)配置和匯聚控制器(1)的要求，把本地?cái)?shù)據(jù)和本地決策信息提交給與其連接的匯聚控制器(1)。

2.根據(jù)權(quán)利要求1所述的基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)，其特征在于：所述匯聚控制器(1)包括分布式全網(wǎng)數(shù)據(jù)采集模塊、數(shù)據(jù)清洗與規(guī)約模塊、分布式DDoS攻擊檢測(cè)模塊、監(jiān)控與告警模塊，

所述分布式全網(wǎng)數(shù)據(jù)采集模塊，用于對(duì)目標(biāo)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)包的采集、數(shù)據(jù)解析，以及采集計(jì)算機(jī)系統(tǒng)自身的參數(shù)數(shù)據(jù)，以便提取全網(wǎng)數(shù)據(jù)的關(guān)鍵屬性，并將提取的屬性進(jìn)行緩存；

所述數(shù)據(jù)清洗與規(guī)約模塊，數(shù)據(jù)清洗根據(jù)DDoS攻擊流量的特點(diǎn)，將提取的基礎(chǔ)屬性數(shù)據(jù)進(jìn)一步計(jì)算、規(guī)約，構(gòu)建出更多維度的特征屬性，該多維度的特征屬性將作為分布式DDoS攻擊檢測(cè)模塊的數(shù)據(jù)源；

所述分布式DDoS攻擊檢測(cè)模塊，包括特征工程分析單元、DDoS攻擊識(shí)別知識(shí)庫(kù)、機(jī)器學(xué)習(xí)檢測(cè)模型以及驗(yàn)證DDoS攻擊單元，所述特征工程分析單元包括網(wǎng)絡(luò)基線分析、流量分析、協(xié)議分析以及統(tǒng)計(jì)分析，均對(duì)多維度的特征屬性數(shù)據(jù)源進(jìn)行分析，以便獲取訓(xùn)練特征；

所述機(jī)器學(xué)習(xí)檢測(cè)模型，直接通過規(guī)則經(jīng)驗(yàn)進(jìn)行識(shí)別檢測(cè)，并且將經(jīng)驗(yàn)知識(shí)進(jìn)行積累，形成DDoS攻擊識(shí)別知識(shí)庫(kù)；

所述驗(yàn)證DDoS攻擊單元，檢測(cè)出的DDoS攻擊進(jìn)行驗(yàn)證與反饋；

所述監(jiān)控與告警模塊，對(duì)于驗(yàn)證準(zhǔn)確檢測(cè)出的DDoS攻擊進(jìn)行及時(shí)告警。

3.根據(jù)權(quán)利要求2所述的基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)，其特征在于：所述數(shù)據(jù)清洗與規(guī)約模塊，數(shù)據(jù)清洗根據(jù)DDoS攻擊流量的特點(diǎn)，將提取的基礎(chǔ)屬性數(shù)據(jù)進(jìn)一步計(jì)算、規(guī)約，構(gòu)建出更多維度的特征屬性，包括以下過程，

(1)，建立全網(wǎng)數(shù)據(jù)連接，監(jiān)聽全網(wǎng)數(shù)據(jù)；

(2)，按設(shè)置時(shí)間窗口批次讀取全網(wǎng)數(shù)據(jù)；

(3)，統(tǒng)計(jì)數(shù)據(jù)維度的屬性，并進(jìn)行協(xié)議會(huì)話重組，統(tǒng)計(jì)會(huì)話維度屬性；

(4)，合并多種維度屬性作為分布式DDoS攻擊檢測(cè)模塊的數(shù)據(jù)源。

4.根據(jù)權(quán)利要求2所述的基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)，其特征在于：所述機(jī)器學(xué)習(xí)檢測(cè)模型是通過集成學(xué)習(xí)實(shí)現(xiàn)的，具體采用改進(jìn)的SMOTE抽樣算法實(shí)現(xiàn)的。

5.根據(jù)權(quán)利要求2所述的基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)，其特征在于：所述匯聚控制器(1)包括含控制界面CLI和GUI。

6.基于權(quán)利要求1-5所述的基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)的監(jiān)控方法，其特征在于：包括以下步驟，

步驟(A)，將服務(wù)節(jié)點(diǎn)(2)安裝部署在各個(gè)網(wǎng)絡(luò)設(shè)備上，包括網(wǎng)關(guān)設(shè)備、可編程交換機(jī)、網(wǎng)絡(luò)安全一體機(jī)和計(jì)算機(jī)系統(tǒng)上，且分布式部署匯聚控制器(1)；

步驟(B)，啟動(dòng)服務(wù)節(jié)點(diǎn)(2)，與最近匯聚控制器(1)建立通信通道，每個(gè)服務(wù)節(jié)點(diǎn)向一個(gè)或者多個(gè)匯聚控制器(1)注冊(cè)、連接，并接受該匯聚控制器(1)的管控；

步驟(C)，各匯聚控制器(1)根據(jù)配置向與其連接的各個(gè)服務(wù)節(jié)點(diǎn)(2)提出數(shù)據(jù)要求，并實(shí)時(shí)接收服務(wù)節(jié)點(diǎn)(2)的數(shù)據(jù)反饋；

步驟(D)，各服務(wù)節(jié)點(diǎn)(2)根據(jù)配置和匯聚控制器(1)提出數(shù)據(jù)要求，通過本地信息作出本地的攻擊檢測(cè)判斷，得到本地結(jié)果，并且將該本地結(jié)果反饋到對(duì)應(yīng)的匯聚服務(wù)器(1)；

步驟(E)，匯聚服務(wù)器(1)接收到各服務(wù)節(jié)點(diǎn)(2)反饋的本地結(jié)果，并根據(jù)根據(jù)收集到的網(wǎng)絡(luò)和計(jì)算機(jī)系統(tǒng)信息，結(jié)合網(wǎng)絡(luò)拓?fù)湫畔ⅲM(jìn)行信息匯聚處理，得出攻擊的探測(cè)結(jié)果。

7.根據(jù)權(quán)利要求6所述的基于分布式多級(jí)協(xié)同的分布式拒絕服務(wù)攻擊監(jiān)控系統(tǒng)的監(jiān)控方法，其特征在于：步驟(A)，分布式部署匯聚控制器(1)，該匯聚控制器(1)部署一個(gè)或者多個(gè)，多個(gè)分級(jí)部署的匯聚控制器(1)實(shí)現(xiàn)多級(jí)分布式控制，每個(gè)匯聚控制器管理該區(qū)域的服務(wù)節(jié)點(diǎn)覆蓋的局部網(wǎng)絡(luò)。