[发明专利]一种DDoS攻击的检测方法及装置

说明书

本申请涉及云计算领域，特别涉及一种DDoS攻击的检测方法及装置。用以在云计算环境内部，进行准确的DDoS检测。该方法为：服务器从自身的输出总流量中分别提取针对每一个目的IP的流量特征描述信息，再将所述每一个目的IP的流量特征描述信息与预设的规则集合进行匹配，获得匹配结果，以及根据匹配结果，确定所述服务器是否存在DDoS攻击行为。这样，可以在云计算环境内部，准确及时地检测出DDoS攻击行为，便于及时阻止云计算环境内部的服务器，对同属云计算环境的其他服务器以及对云计算环境外部的其他主机的DDoS攻击，保障了云计算环境的整体安全性和运行可靠性。进一步地，也大大降低了前期的开发成本和后期的运维成本。

技术领域

本发明涉及云计算领域，特别涉及一种DDoS攻击的检测方法及装置。

背景技术

云计算(cloud computing)是一种基于互联网的计算方式，通过这种方式，共享的软硬件资源和信息可以按需求提供给计算机和其他设备。

在云计算环境中，最常见的攻击形式之一便是分布式拒绝服务(DistributedDenial of Service，DDoS)攻击。所谓DDoS攻击，即是指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动攻击，从而成倍地提高拒绝服务攻击的威力。

参阅图1所示，通常情况下，黑客会将DDoS主控程序安装在一个计算机上作为攻击者。在一个设定的时间，攻击者会通过主控程序与大量安装有代理程序的计算机通讯，而代理程序已经被安装在Internet上的许多计算机，这些计算机被称为傀儡机。傀儡机集群接收到攻击指令时就会向被攻击者发动攻击。利用客户/服务器技术，攻击者能在几秒钟内激活成百上千次傀儡机的运行。

其中，上述傀儡机即是被黑客远程控制的机器。它们被黑客攻破或者由于用户不小心被植入了木马，黑客可以随意操纵傀儡机并利用傀儡机做任何事情。傀儡机可以是各种系统，如windows、linux、unix等，更可以是一家公司、企业、学校甚至是政府军队的服务器。

针对目前的DDoS攻击，目前采用的检测方案如下：系统通过交换机端口镜像或分光分流等方法获取到云计算环境的网络镜像流量，该网络镜像流量中实时汇总了云计算环境内的每一个主机的流量，接着，系统判断网络镜像流量的大小是否大于预警值，确定大于预警值时，则确定主机受到了DDoS攻击。而对于检测出的被DDoS攻击的主机的IP，将会被流量引到DDoS清洗集群进行流量清洗。最终，再进行正常流量回注。

然而，现有技术下，获取网络镜像流量的流量检测系统一般设置在云机房出口处或者连接运营商的出口处，因此，目前的DDoS检测方案仅仅能检测到来自云计算环境外部的主机对内部主机的攻击，另外，由于对这部分流量进行镜像的复杂度非常高，所以目前还没有有效的解决方案。

发明内容

本申请实施例提供一种DDoS攻击的检测方法及装置，用以在云计算环境内部，进行准确的DDoS检测。

本申请实施例提供的具体技术方案如下：

一种DDoS攻击的检测方法，包括：

服务器基于本地的输出总流量，分别提取出与所述服务器存在连接的每一个目的IP的流量特征描述信息，其中，一个目的IP的流量特征描述信息，用于表征所述一个目的IP与所述服务器之间的输出流量的传输状态；

所述服务器分别将所述每一个目的IP的流量特征描述信息与预设的规则集合进行匹配，获得匹配结果；

所述服务器根据匹配结果，确定所述服务器是否存在DDoS攻击行为。

可选的，服务器基于本地的输出总流量，分别提取出与所述服务器存在连接的每一个目的IP的流量特征描述信息之前，进一步包括：

服务器计算本地的输出总流量的大小，并确定本地的输出总流量的大小达到设定阈值。