[发明专利]一种基于大数据平台的DDoS网络攻击检测方法及装置

说明书

技术领域

本发明涉及网络攻击技术领域，特别是涉及一种基于大数据平台的DDoS网络攻击检测方法及装置。

背景技术

目前，分布式拒绝服务攻击DDoS成为了当前网络安全的主要威胁之一。这种攻击的基本原理是通过向目标主机发送大量的无效的数据包，占用目标主机大量的网络资源，使得目标主机无法向合法的用户的合法请求做出响应，提供正常的服务。

长期以来，对DDoS攻击检测方面的研究，大多都是围绕着网络流量的统计分析展开的，DDoS攻击的明显特征是网络流量急剧增大，当前较流行的是基于Netflow的网络流量分析工具，但对于流量频繁的网络，他们存在着使用不方便和扩展不易的问题。针对数据量不断增长的大数据时代，传统的Netflow方法显得力不从心。

DDoS检测主要分为异常检测和特征检测。异常检测是基于分析网络流量的正常模式，如果检测到的数据不符合这个模式的，则判定攻击存在。特征检测是建立一个攻击特征库，检测到的数据与特征库中的某些特征匹配，则判定攻击存在。但是随着网络基础设施和宽带的大幅度升级，如何存储和快速的处理产生大量网络流量数据是当前一个重要问题。

发明内容

本发明的目的是提供一种基于大数据平台的DDoS网络攻击检测方法及装置，以实现快速处理大量网络流量数据。

为解决上述技术问题，本发明提供一种基于大数据平台的DDoS网络攻击检测方法，该方法包括：

采集目标主机的网络流量数据包；

采集网络流量，将当前网络流量值与网络流量阈值进行比对，检测当前网络是否存现异常；

若当前网络存在异常，检测网络流量数据包的大小。

优选的，所述采集目标主机的网络流量数据包，包括：

采用网络抓包工具抓取网络流量数据包，得到网络流量，并将网络流量转换为日志文件，将日志文件存储至分布式文件系统。

优选的，所述采集网络流量，将当前网络流量值与网络流量阈值进行比对，检测当前网络是否存现异常，包括：

对网络流量以固定时间窗大小进行采集，将采集下的网络流量数据以HDFS文件的形式存储入Hadoop集群中；

利用K-means算法计算出每个时间窗内流量的均值，若存在超出边界值的异常流量，则网络存在异常。

优选的，所述若当前网络存在异常，检测网络流量数据包的大小，包括：

若当前网络存在异常，利用决策树算法对异常流量的数据包进行检测，检测流量异常的原因是否由小包引起，若是，则发出报警。

本发明还提供一种基于大数据平台的DDoS网络攻击检测装置，用于实现上述方法，包括：

数据包采集模块，用于采集目标主机的网络流量数据包；

攻击检测模块，用于采集网络流量，将当前网络流量值与网络流量阈值进行比对，检测当前网络是否存现异常；

数据包检测模块，用于若当前网络存在异常，检测网络流量数据包的大小。

优选的，所述数据包采集模块具体用于采用网络抓包工具抓取网络流量数据包，得到网络流量，并将网络流量转换为日志文件，将日志文件存储至分布式文件系统。

优选的，所述攻击检测模块包括：

流量采集单元，用于对网络流量以固定时间窗大小进行采集，将采集下的网络流量数据以HDFS文件的形式存储入Hadoop集群中；

流量检测单元，用于利用K-means算法计算出每个时间窗内流量的均值，若存在超出边界值的异常流量，则确定网络存在异常。

优选的，所述数据包检测模块具体用于若当前网络存在异常，利用决策树算法对异常流量的数据包进行检测，检测流量异常的原因是否由小包引起，若是，则发出报警。

本发明所提供的一种基于大数据平台的DDoS网络攻击检测方法及装置，采集目标主机的网络流量数据包；采集网络流量，将当前网络流量值与网络流量阈值进行比对，检测当前网络是否存现异常；若当前网络存在异常，检测网络流量数据包的大小。可见，采用大数据分布式计算框架能够实时的采集网络数据，对海量的数据进行实时分析和计算，实现快速处理大量网络流量数据，实现网络安全的实时监测。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。