[发明专利]一种DDoS攻击检测方法和装置

说明书

本发明的实施例提供一种DDoS攻击检测方法和装置，涉及通信技术领域，用于快速、准确的检测出DDoS攻击。该方法包括：统计各周期内接收到的目标报文的总数；计算当前报文总数变化量；当前报文总数变化量为当前周期与上一个周期内接收到的目标报文的总数的差值的绝对值；判断当前报文总数变化量是否符合第一预设条件；若是，则统计各周期接收的目标报文中各自治系统发送的目标报文的占比；计算当前报文分布变化量；当前报文分布变化量为各自治系统在当前周期与上一周期内发送的目标报文的占比的差值的绝对值之和；判断当前报文分布变化量是否符合第二预设条件；若是，则确定当前存在DDoS攻击。本发明的实施例用于DDoS攻击检测。

技术领域

本发明涉及通信技术领域，尤其涉及一种DDoS攻击检测方法和装置。

背景技术

目前，分布式拒绝服务(英文名称：Distributed Denial of Service，简称：DDoS)是自治系统AS(英文名称：Autonomous System，简称：AS)域网络中存在的最常见、危害性最大的攻击形式之一。DDoS攻击是一种隐蔽的拒绝服务攻击.一般DDoS攻击过程为：首先，攻击者将控制源AS域网络中大量的傀儡计算机，将多个傀儡计算机联合起来作为攻击平台，其中一部分傀儡计算机可以设置为主控端，然后，攻击者通过主控端将攻击指令发送至所有的傀儡计算机，最后，所有的傀儡计算机向目的AS域网络发送数据流，对目的AS域网络中的服务器进行DDoS攻击，从而造成目的AS域网络中服务器超载或者死机，甚至造成目的AS域网络瘫痪。与拒绝服务攻击(英文名称：Denial of Service，简称：DOS)相比，DDoS攻击在单条链路上的流量更小，难以被网络设备检测，因而更易于形成。另一方面，DDoS攻击汇聚后的异常流量总量很大，极具破坏力。

对DDoS攻击流量进行迅速的清洗，是保障网络传输和服务的关键，而快速有效的检测出DDoS攻击，是对DDoS攻击流量进行迅速清洗的关键。目前一般主流安全防护厂家的DDoS攻击检测设备，都基于对设备的NetFlow采样报文进行处理分析，通过对报文的协议类型进行统计，统计各类报文的变化情况，从而对DDoS攻击进行检测。虽然使用NetFlow的方案可以针对各类协议分别做较为精确的分析，但由于NetFlow采样、存储和计算均需要一定的时间，因此，往往DDoS攻击到来时，NetFlow分析设备无法迅速发现。即，NetFlow分析设备检测到DDoS攻击存在迟滞，并且有时这种延迟可达到数分钟，这对一些敏感性的业务来说难以接受。因此，如何快速、准确的检测出DDoS攻击是本领域技术人员亟待解决的一个技术问题。

发明内容

本发明的实施例提供一种DDoS攻击检测方法和装置，用于快速、准确的检测出DDoS攻击，从而保障网络传输和服务。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供一种DDoS攻击检测方法，包括：

统计各周期内接收到的目标报文的总数；各所述周期在时间上连续；所述目标报文为目的IP地址为防护目标IP地址的报文；

计算当前报文总数变化量；所述当前报文总数变化量为当前周期内接收到的目标报文的总数与上一个周期内接收到的目标报文的总数的差值的绝对值；

判断所述当前报文总数变化量是否符合第一预设条件；

若是，则统计各周期接收的目标报文中各自治系统发送的目标报文的占比；

计算当前报文分布变化量；所述当前报文分布变化量为各自治系统在当前周期内发送的目标报文的占比与上一周期内发送的目标报文的占比的差值的绝对值之和；

判断所述当前报文分布变化量是否符合第二预设条件；

若是，则确定当前存在DDoS攻击。

第二方面，提供一种DDoS攻击检测装置，包括：