[發明專利]一種DDoS攻擊識別方法、裝置及存儲介質

有效

• 申請號: 202110053075.6
• 申請日: 2021-01-15
• 公開（公告）號: CN112788039B
• 公開（公告）日: 2023-07-25
• 發明（設計）人: 許焱;程偉;方忠祥;姜寧寧
• 申請（專利權）人: 合肥浩瀚深度信息技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京沁優知識產權代理有限公司 11684
• 代理人: 另婧

1.一種DDoS攻擊識別方法，其特征在于：所述DDoS攻擊識別方法包括以下步驟：

接收原數據；

解析原數據，獲得第一處理數據；

分組，根據第一處理數據，將接收的數據分組并匯聚；

分析數據，獲得第二處理數據；

得到每一個目標ip的每個協議類型的流量值，并按照目標ip匯聚出單位時間內該目標ip的所有源ip，并對每個目標ip及對應的源ip信息進行存儲，得到攻擊事件臨時表；

預判斷，根據第二處理數據，判斷是否發生攻擊；

預結果，根據預判斷結果，生成預結果；

二次判斷，根據僵木蠕模塊及預結果，判斷攻擊是否發生；

所述二次判斷，根據僵木蠕模塊及預結果，判斷攻擊是否發生步驟中，還包括：

僵木蠕模塊信息獲取，在固定時間點讀取包含URI字段的話單，使用內置特征庫對話單流量進行識別，通過特征匹配技術手段輸出指定時間范圍內的僵木蠕惡意事件；

僵木蠕模塊計算，在固定時間點對僵木蠕惡意事件庫按照時間進行查詢，查詢前時間閾值N內的數據存入內存，并獲取List數組，對List數組進行遍歷，構造第一哈希Map；

僵木蠕模塊比對，根據攻擊事件臨時表，構建第二哈希Map，其中key為目標ip，所述第二哈希Map的value取值規則為遍歷該目標ip對應的源ip，分別計算哈希值，判斷第一哈希Map中是否存在該哈希值，若存在，取出該哈希值對應的value填入，若不存在，進入比對循環；

比對循環，根據攻擊事件臨時表及第二哈希Map，遍歷下一個源ip，計算哈希值，判斷第一哈希Map中的哈希結構中是否存在該哈希值，若存在，取出該哈希值對應的value，累加到原有的value值后填入，若不存在，循環比對循環步驟，直至所有目標ip和源ip遍歷結束，獲得第三哈希Map，其中key為目標ip，權重值為value；

僵木蠕模塊判斷，遍歷第三哈希Map，對于每一個目標ip，判斷其權重值，若其權重值大于等于判讀閾值M，則判定此IP該時間段發生了DDoS攻擊，若其權重值小于M，則判定此IP該時間段沒有發生DDoS攻擊。

2.根據權利要求1所述DDoS攻擊識別方法，其特征在于：所述接收原數據步驟中，所述原數據為NetFlow/sFlow/cFlow的設備流記錄數據。

3.根據權利要求2所述DDoS攻擊識別方法，其特征在于：所述解析原數據，獲得第一處理數據步驟中，包括：解析每條設備流記錄的五元組、協議、流量、包數、字節數。

4.根據權利要求3所述DDoS攻擊識別方法，其特征在于：所述分組，根據第一處理數據，將接收的數據分組并匯聚步驟中，包括：按照目標ip，協議類型進行流量分組匯聚。

5.根據權利要求1所述DDoS攻擊識別方法，其特征在于：所述分析數據，獲得第二處理數據步驟中，所述第二處理數據為每一個目標ip的每個協議類型的流量值，以及該目標ip的所有源ip。

6.根據權利要求1所述DDoS攻擊識別方法，其特征在于：所述預判斷，根據第二處理數據，判斷是否發生攻擊步驟中，包括：根據每一個目標ip的每個協議類型的流量值，并按照目標ip匯聚出單位時間內該目標ip的所有源ip，結合該目標ip前時間閾值N內的歷史流量信息和攻擊檢測規則，判斷該目標ip是否發生DDoS攻擊。

7.根據權利要求1-6任一項所述DDoS攻擊識別方法，其特征在于：所述預結果，根據預判斷結果，生成預結果步驟中，包括：若預判斷結果為是，將此目標ip及對應的源ip信息進行存儲，若否不進行存儲。

8.一種DDoS攻擊識別裝置，其特征在于：所述DDoS攻擊識別裝置包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，所述處理器執行所述程序時實現如權利要求1-7任一項所述DDoS攻擊識別方法。

9.一種計算機可讀存儲介質，其特征在于：所述計算機可讀存儲介質，其上存儲有計算機程序，該程序被處理器執行時實現如權利要求1-7任一種所述DDoS攻擊識別方法。