[发明专利]分布式拒绝服务攻击检测方法和装置

说明书

技术领域

本发明实施例涉及分布式拒绝服务攻击检测技术领域，尤其涉及一种分布式拒绝服务攻击检测方法和装置。

背景技术

随着网络技术的不断发展，利用互联网进行攻击的黑客行为也越来越多，其中，分布式拒绝服务(Distribution Denial of Service，DDoS)攻击就是一种常见的黑客攻击手段。

DDoS攻击的手段和表现形式很多，但是其共同的攻击策略就是利用协议漏洞，并通过很多“僵尸主机”向受害主机发送大量看似合法的网络包，从而造成网络阻塞或因服务器资源耗尽而导致拒绝服务，其中，利用DDoS对域名系统(Domain Name System，DNS)的攻击即是黑客的一种常见攻击行为。DNS是互联网基础设施提供的一项核心服务，DNS包括将域名和互联网协议(Internet Protocol，IP)地址相互映射的分布式数据库，以及实现域名和网络可以识别的IP地址转换的软件系统，DNS在网络中具有非常重要的作用。DNS服务器一旦遭受DDoS攻击，将会对整个网络造成严重的影响，产生灾难性的后果。目前，针对DNS中对DDoS攻击进行防范的方法主要包括：采用高性能的网络设备，或者保证充足的网络带宽，或者升级服务器的硬件，或者增强操作系统的TCP/IP协议栈，或者安装专业的抗DDoS防火墙。

发明人在实现本发明的过程中发现现有技术在针对DNS服务器的DDoS攻击中，未能有效地对DDoS攻击进行主动检测，主要是以被动防御的方式防范DDoS攻击或减少DDoS攻击的影响，使得DDoS攻击的防御成本较高，且防御效果较差。

发明内容

本发明提供一种分布式拒绝服务攻击检测方法和装置，可基于DNS查询数据实时和主动地检测DDoS攻击行为，便于及时对DDoS攻击行为进行处理，消除DDoS攻击对DNS服务器的影响。

本发明实施例提供一种分布式拒绝服务攻击检测方法，包括：

获取DNS服务器上记录的查询日志信息；

根据获得的所述查询日志信息，检测是否存在针对所述DNS服务器的DDoS攻击行为。

其中，所述根据获得的所述查询日志信息，检测是否存在针对所述DNS服务器的DDoS攻击行为包括：

基于多层感知神经网络和所述DNS服务器上记录的当前查询日志信息，检测是否存在针对所述DNS服务器的DDoS攻击行为。

所述基于多层感知神经网络和所述DNS服务器上记录的当前查询日志信息，检测是否存在针对所述DNS服务器的DDoS攻击行为之前还包括：

根据所述DNS服务器上记录的所有查询日志信息，提取反映DDoS攻击特征的特征向量；

基于提取的所述反映DDoS攻击特征的特征向量，训练并获得所述多层感知神经网络。

所述提取反映DDoS攻击特征的特征向量包括：

按预设时间粒度提取所述反映DDoS攻击特征的特征向量。

所述多层感知神经网络包括：输入层、隐藏层和输出层，其中，输入层的输入信息即所述反映DDoS攻击特征的特征向量。

所述反映DDoS攻击特征的特征向量包括：

DNS查询量、查询率的标准差、IP空间大小、域名空间大小、源端口设置为53的查询数量、查询记录类型的熵的变化情况、设置递归查询的比例和域名的平均长度的至少一种。

本发明实施例提供一种分布式拒绝服务攻击检测装置，包括：

信息获取模块，用于获取DNS服务器上记录的查询日志信息；

检测模块，根据获得的所述查询日志信息，检测是否存在针对所述DNS服务器的DDoS攻击行为。

其中，所述检测模块，具体用于基于多层感知神经网络和所述DNS服务器上记录的当前查询日志信息，检测是否存在针对所述DNS服务器的DDoS攻击行为。

上述的装置还可包括：

特征向量提取模块，用于根据所述DNS服务器上记录的所有查询日志信息，提取反映DDoS攻击特征的特征向量；

神经网络训练模块，用于基于提取的所述反映DDoS攻击特征的特征向量，训练并获得所述多层感知神经网络。

所述特征向量提取模块，具体用于根据所述DNS服务器上记录的所有查询日志信息，按预设时间粒度提取所述反映DDoS攻击特征的特征向量。