[发明专利]一种DDoS攻击的防御方法及设备

说明书

本发明公开了一种DDoS攻击的防御方法及设备，用于提高从用户群中区别出肉鸡用户的准确度，进而制定出有效的防护策略。其中的DDoS攻击的防御方法包括：确定每个用户的至少一个行为相关度集合，其中，一个行为相关度集合包括一个用户与服务器交互的一种行为分别与其他种行为之间的行为相关度，行为相关度用于指示一种行为分别与其他种行为中的任意一种行为之间的关联程度；根据至少一个行为相关度集合包括的多个行为相关度确定至少一个区间范围，一个行为相关度集合对应一个区间范围；在预设时间段内，若确定第一用户的所有行为相关度中的每个行为相关度均不在每个行为相关度所在行为相关度集合对应的区间范围内，则封禁第一用户的IP地址。

技术领域

本发明涉及网络安全技术领域，特别涉及一种DDoS攻击的防御方法及设备。

背景技术

分布式拒绝服务(Distributed Denial of Service，DDoS)攻击是一种网络攻击方式，通常利用肉鸡群作为攻击平台或利用专门的攻击软件工具向受害主机发送看似合理的服务请求来占用服务器的大量资源，从而造成网络阻塞或服务器资源耗尽而导致服务器拒绝服务合法用户。肉鸡可以认为是中了木马病毒，可以被远程操控的计算机设备。

由于肉鸡群DDoS攻击，与正常用户的行为存在一定相似性，导致常规的DDoS防御方法，例如分析验证攻击者协议栈行为、水印算法等不能将肉鸡用户从正常用户中剥离出来，从而导致防护算法的防护效果不理想，甚至失效，对服务商造成巨大的经济损失。

因此，如何区别肉鸡用户与正常用户，从用户群中及时准确地提取出肉鸡用户并及时的对其进行防护是一件十分紧急和迫切的事情。。

发明内容

本发明实施例提供一种DDoS攻击的防御方法及设备，用于提高从用户群中区别出肉鸡用户的准确度，进而制定出有效的防护策略。

第一方面，本发明一实施例提供了一种DDoS攻击的防御方法，所述防御方法包括：

确定每个用户的至少一个行为相关度集合；其中，一个所述行为相关度集合包括一个用户与服务器交互的一种行为分别与其他种行为之间的行为相关度，所述行为相关度用于指示所述一种行为分别与所述其他种行为中的任意一种行为之间的关联程度；

根据所述至少一个行为相关度集合包括的多个行为相关度确定至少一个区间范围；其中，一个行为相关度集合对应一个区间范围，所述区间范围用于指示用户与所述服务器交互的一种行为分别与其他种行为之间的行为相关度的预设波动范围；

在预设时间段内，若确定第一用户的所有行为相关度中的每个行为相关度均不在所述每个行为相关度所在行为相关度集合对应的区间范围内，则封禁所述第一用户的网际协议IP地址。

可选的，确定每个用户的至少一个行为相关度集合，包括：

获取与所述服务器交互的每个用户的至少一种行为特征参数；其中，所述行为特征参数用于指示用户与所述服务器交互的行为；

将所述至少一种行为特征参数中的每种行为特征参数进行归一化处理；

根据归一化后的所述每种行为特征参数，通过如下公式确定所述每个用户的至少一个行为相关度：

其中，cov(x,y)为两种行为之间的行为相关度，x为一种行为特征参数的值，y为另一种行为特征参数的值，为预设时间段内x的平均值，为预设时间段内y的平均值，n为用户的行为的种类的数量，其中s_x为x的标准差，s_y为y的标准差。

可选的，根据所述至少一个行为相关度集合包括的多个行为相关度确定至少一个区间范围，包括：

依次获取所述至少一个行为相关度集合中的每个行为相关度集合中的行为相关度的最大值和最小值；