[发明专利]一种基于Netflow日志数据的DDOS攻击检测方法及装置

权利要求书

1.一种基于Netflow日志数据的DDOS攻击检测方法，其特征在于，该方法包括以下步骤：

1)通过LDA分析模型对新采集到的Netflow数据进行分值评估；

2)当评估分值高于预定分值时，丢弃新采集的Netflow数据，当评估分值低于预定分值时，确定新采集的Netflow数据为可疑Netflow数据；

3)判断该可疑Netflow数据的源IP地址在某个时间段内对服务器的访问次数；

4)如果访问次数大于设定阈值，判断该可疑Netflow数据为DDOS攻击，并在地图显示。

2.根据权利要求1所述的方法，所述LDA分析模型中，Netflow数据是由以下词语：源IP地址，目的IP地址，端口和时间戳来标识，基于这些词语据建立LDA分析模型输入所需的文档、主题，然后根据LDA算法，计算出每条Netflow数据出现的概率，也就是IP地址在某个时间段访问服务器地址的概率，并将该概率作为该条Netflow数据的分值。

3.根据权利要求2所述的方法，所述Netflow数据中每个词语在文档集合中出现的概率标识为：根据该概率确定新采集到的Netflow数据的分值。

4.根据权利要求1所述的方法，统计各个IP地址在某个时间段对各个服务器端口的访问次数，统计服务器的某个端口在一段时间内被访问的次数，确定服务器某个端口的设定阈值。

5.根据权利要求1所述的方法，针对判断为DDOS攻击的Netflow数据，确定该Netflow数据对应的源IP地址和目的IP地址，并与对应的位置信息关联，展示在地图上。

6.一种基于Netflow日志数据的DDOS攻击检测装置，其特征在于，该装置包括：

分值评估模块，通过LDA分析模型对新采集到的Netflow数据进行分值评估；

分值判断模块，当评估分值高于预定分值时，丢弃新采集的Netflow数据，当评估分值低于预定分值时，确定新采集的Netflow数据为可疑Netflow数据；

访问次数确定模块，判断该可疑Netflow数据的源IP地址在某个时间段内对服务器的访问次数；

DDOS攻击判断模块，如果访问次数大于设定阈值，判断该可疑Netflow数据为DDOS攻击，并在地图显示。

7.根据权利要求6所述的装置，所述LDA分析模型中，Netflow数据是由以下词语：源IP地址，目的IP地址，端口和时间戳来标识，基于这些词语据建立LDA分析模型输入所需的文档、主题，然后根据LDA算法，计算出每条Netflow数据出现的概率，也就是IP地址在某个时间段访问服务器地址的概率，该概率由以下公式确定；

根据该概率确定新采集到的Netflow数据的分值。

8.根据权利要求6所述的装置，还包括：访问次数阈值确定模块，统计各个IP地址在某个时间段对各个服务器端口的访问次数，统计服务器的某个端口在一段时间内被访问的次数，确定服务器某个端口的设定阈值。

9.根据权利要求6所述的装置，还包括：地图展示模块，针对判断为DDOS攻击的Netflow数据，确定该Netflow数据对应的源IP地址和目的IP地址，并与对应的位置信息关联，展示在地图上。

10.一种计算机可读存储介质，该介质存储有计算机程序指令，其特征在于，当执行所述计算机程序指令时，实现如权利要求1-5之一所述的方法。