[发明专利]一种DDOS攻击检测方法

权利要求书

1.一种DDOS攻击检测方法，其步骤为：

1)数据包截取模块对接入的网络数据包信息进行解析；所述网络数据包信息包括：数 据包类型、IP地址、端口、各种类型数据包的数据包长度；

2)数据包特征统计模块对解析出的网络数据包信息进行统计，得到单位时间内截获到 的数据包总数、网络层不同类型的数据包数量、传输层不同类型的数据包数量、应 用层不同类型的数据包数量、数据包的IP地址总数和端口总数、各类型数据包的平 均长度；

3)统计数据处理模块计算出单位时间内各类型数据包占数据包总数的比例分布；

4)数据分析模块根据存储的步骤2)和步骤3)所计算出的历史数据，计算网络数据 的报警阈值；

5)数据分析模块判断当前单位时间内的网络数据值是否超过对应网络数据的报警阈 值，如果超过则将该网络数据值提交到攻击分析模块；

6)攻击分析模块根据接收到的网络数据值生成检测报告；其中所述检测报告中的网络 攻击类型包括：a)UDPfloor攻击类型，其识别方法为：总的网络流量超过总流量 报警阈值，且UDP数据包的流量超过UDP包流量报警阈值，且UDP数据包占网 络数据包总数的比例达到UDP包占比报警阈值，且UDP数据包的包平均长度减小 到设定UDP包长报警阈值，且UDP数据包的包平均长度减小到设定UDP包长报 警阈值；b)TCPsynfloor攻击类型，其识别方法为：总的网络流量超过总流量报警 阈值，且TCPsyn数据包流量超过TCPsyn包流量报警阈值，且TCPsyn数据包和 TCPsynack数据包的比例超过TCPsyn-ACK包占比报警阈值，且TCPsyn数据包与 TCP数据包总量的比例超过TCPsyn包占比报警阈值，且TCP数据包的平均长度超 过TCP包长度报警阈值；c)TCPfloor攻击类型，其识别方法为：总的网络流量超 过总流量报警阈值，且TCP网络流量超过TCP包流量报警阈值，且TCP数据包占 网络数据包总数的比例超过TCP包占比报警阈值；d)DNS攻击类型，其识别方法 为：DNS数据包流量超过DNS包流量报警阈值，且DNS数据包流量占总流量的比 例超过DNS流量占比报警阈值。

2.如权利要求1所述的方法，其特征在于所述数据分析模块实时更新各类型数据包的报 警阈值；所述报警阈值的计算方法为：首先计算某类型数据包某一时刻前后一时间段 内该类型数据包占总数据包比例的平均值F1；然后计算在该时刻前几天、前几周和前 几月的同一时刻中，该类型数据包占总数据包的比例的平均值Fn；最后根据公式 计算该类型数据包的报警阈值F；其中n表示时间段数， kn为Fn对应的权重，Q为一倍数因子，且Q＞1。

3.如权利要求2所述的方法，其特征在于所述网络层的数据包类型包括：IP数据包、ICMP 数据包、ARP数据包；所述传输层的数据包类型包括：TCP数据包、TCPsyn数据包、 TCPsyn-ack数据包、UDP数据包；所述应用层的数据包类型包括：DNS数据包、RTP 数据包、QQ数据包、HTTP数据包。

4.如权利要求1或3所述的方法，其特征在于所述检测报告为网络攻击报告，其还包括： 攻击目标、攻击源头、攻击规模。

5.如权利要求4所述的方法，其特征在于所述攻击规模的确定方法为：首先根据确定的 攻击类型，获得对应类型目前的攻击流量；然后综合对比该类型数据包的流量报警阈 值和历史正常流量，来评估出当前该攻击类型的攻击规模。

6.如权利要求4所述的方法，其特征在于所述攻击目标的确定方法为：首先对发往同一 目的IP地址的数据包个数进行统计；然后对比较集中的目的IP进行排名，将排名靠前 的IP确定为被攻击的目标；所述攻击源头IP的确定方法为：对数据包的源IP地址进 行统计，并根据发送数据包个数进行从高到低的排列，将排名靠前的IP确定为攻击源 头IP。

7.如权利要求1或3所述的方法，其特征在于所述检测报告为网络监测日报，其包括： 当天不同时间点网络流量的折线图；当天各种类型数据包所占比例的折线图；当天各 类型数据包所占比例平均值的饼状图；当天不同时间点网络中各类型数据包平均长度 的折线图。