[發明專利]一種基于異常檢測和容器隔離的邊緣計算DDoS攻擊防范方法

在審

• 申請號: 202211318783.9
• 申請日: 2022-10-26
• 公開（公告）號: CN115865407A
• 公開（公告）日: 2023-03-28
• 發明（設計）人: 賈維嘉;沈平;黃海陽;魏雪凱;孟天暉
• 申請（專利權）人: 北京師范大學珠海校區
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳博敖專利代理事務所(普通合伙) 44884
• 代理人: 楊金花

1.一種基于異常檢測和容器隔離的邊緣計算DDoS攻擊防范方法，所述方法包括以下步驟：

步驟1、使用Docker創建容器，包括白色容器、灰色容器和檢測容器，白色中的良性用戶請求直接發送到白色容器，所有攻擊請求連同不在白色中的良性用戶一起發送到灰色容器；

步驟2、利用數據包分析器捕獲灰色容器的部分請求并將它們發送到檢測容器；

步驟3、檢測容器會采用一種自更新異常檢測方法檢測流入灰色容器的流量中是否有DDoS攻擊，首先設定檢測周期對流量進行檢測，然后設定異常檢測算法，得到異常率AR，

步驟4、采用特征集的方式驗證異常率AR的準確性，檢測惡意請求并過濾良性請求，丟棄異常流量，然后將清理后的良性請求再發送到白色容器進行處理；

步驟5、得到準確的異常率AR之后，利用抽樣的異常檢測結果來預測當前的DDoS攻擊強度，建立Jackson網絡M/M/1排隊論模型，采用最優化目標計算各個容器的資源分配；

步驟6、動態分配灰色容器、檢測容器和白色容器三個容器的服務率，使得良性用戶請求的到達率最大。

2.根據權利要求1所述的一種基于異常檢測和容器隔離的邊緣計算DDoS攻擊防范方法，其特征在于：所述的步驟3中的自更新異常檢測方法，所述方法中相關的參數有采樣檢測周期T、檢測CPU使用率、最大包數量或者最大抓包時間，預訓練模型參數，為了讓該的方法能夠自動更新參數，設計了更新機制。具體如下：

首先，檢測周期與檢測異常率相關，異常率越高，檢測周期越短。如公式(1)所示：

T＝αe^-AR (1)

其中，α是參數，當異常率AR為0時，α＝T，根據實際情況設置周期。檢測CPU使用率為空閑CPU+服務器CPU使用率*20％。

一次檢測應在周期T內完成，通過最大包數量n或者最大抓包時間t1來控制檢測時間。經過測試，抓包時間T_catch、特征提取時間T_extract和推斷時間T_infer均與包數量n成正比，如公式(2-4)所示：

T_catch＝nt_catch (2)

T_extract＝nt_extract (3)

T_infer＝nt_infer (4)

其中，t_catch、t_extract、t_infer是每個數據包所需的抓包、提取特征和推斷時間，是參數，可通過實驗測得。由于不同的包可能導致的這三個參數變化，限定最大抓包時間t_nmax＝T_catch+1，保證檢測時間不超過周期T。因此，檢測總時長如公式(5)所示：

T_detect＝T_catch+T_extract+T_infer (5)

因此，根據異常率設置檢測周期，達到參數更新的目的。

3.根據權利要求2所述的一種基于異常檢測和容器隔離的邊緣計算DDoS攻擊防范方法，其特征在于：所述步驟3中的自更新異常檢測方法還包括一種異常檢測算法，所述算法的步驟如下：

輸入：預訓練模型，采樣檢測周期T，最大包數量n_max或者最大包捕捉時間t_nmax，閾值ε

輸出：正常流量，異常率AR

S1、初始化計時器；

S2、創建檢測容器dc；

S3、抓取混合流量，達到n_max或者t_nmax

S4、提取流量特征，使用預訓練推斷，達到異常率AR；

S5、判斷，若ARε，停止dc容器，進入S9。否則，進入S6；

S6、通過特征集驗證是否誤報，若是，停止dc容器，進入S9。否則，進入S7；

S7、激活自動編碼器，重新訓練模型，更新預訓練模型參數；

S8、保存正常流量，發送給白色容器，停止dc容器；

S9、根據公式(1)計算下一個周期T，計時器開始計時，當計時器大于T時，轉到S1。