[发明专利]DDOS攻击检测方法、装置、电子设备及存储介质

说明书

本发明实施例涉及IT应用技术领域，公开了一种DDOS攻击检测方法、装置、电子设备及存储介质。该方法实时获取单位时间内流经一个计算节点对应的边缘路由器的目标IP的流量数据；获取所述目标IP对应的流量基线模型；根据获取的流量数据及所述目标IP对应的流量基线模型，在确定单位时间内所述目标IP出现疑似告警时，利用区块链网络的多个计算节点共享机制，更新所述计算节点维护的疑似告警集合；根据更新后的所述计算节点维护的疑似告警集合，利用预设规则确定所述目标IP的最终DDOS攻击检测结果。本发明直接在近源端部署计算节点进行检测，检测结果可靠。

技术领域

本发明实施例涉及IT应用技术领域，特别涉及一种DDOS攻击检测的方法、装置、电子设备及存储介质。

背景技术

当前的抗分布式拒绝服务(Distributed Denial of Service，DDOS)系统技术方案，对于来自物联网的DDOS攻击检测，重点分析的是被攻击目标的网络态势。所需的数据来自于路由器吐出的Netflow日志。该日志是被集中收集后再送入检测系统分析，属于DFI(深度流量分析)范畴。检测技术方案为对流进某个IP的报文包数或者报文流量，按照每一分钟为单位建立一个阈值，当发现某一类包数或者流量异常增大，超过阈值，则认为受到了来自物联网的DDOS攻击。当检测到攻击后，需要联动对应的清洗设备，进行引流等方式清洗攻击流量。发明人发现，现有技术方案中阈值的生成方式来自经验，实践证明来自经验生成的阈值存在大量误报和漏报的情况而且不能反映网络流量的时序特性；需要3分钟才能判断是否存在DDOS攻击检测，实时性不强；对低速攻击检测能力低下；需要流量清洗设备，清洗过程会严重影响正常业务；Netflow日志的采样比过高，会导致数据严重失真。

发明内容

本发明实施方式的目的在于提供一种DDOS攻击检测方法、电子设备、装置及计算机可读存储介质，能够直接在近源端部署计算节点进行检测，而且利用区块链技术实现众计算节点安全可信的通信，对初步检测果进行综合的二次分析形成可靠的最终检测结果，提高检测的可靠性。

为解决上述技术问题，本发明的实施方式提供了一种DDOS攻击检测方法，所述方法包括：

实时获取单位时间内流经所述计算节点对应的边缘路由器的目标IP的流量数据；

获取所述目标IP对应的流量基线模型；

根据获取的流量数据及所述目标IP对应的流量基线模型，确定单位时间内所述目标IP是否出现疑似DDOS攻击的疑似告警；

在确定单位时间内所述目标IP出现疑似告警时，利用所述区块链网络的多个计算节点共享机制，更新所述计算节点维护的疑似告警集合；

根据更新后的所述计算节点维护的疑似告警集合，利用预设规则确定所述目标IP的最终DDOS攻击检测结果。

优选地，所述获取所述目标IP对应的流量基线模型包括：

在第一目标时间段内每隔单位时间获取流经所述目标IP的多组流量数据；

归一化所述多组流量数据；

对归一化的多组流量数据进行聚类，得到所述流量基线模型。

优选地，所述根据获取的流量数据及所述目标IP对应的流量基线模型，确定单位时间内所述目标IP是否出现疑似DDOS攻击的疑似告警包括：

在获取的流量数据能与所述目标IP对应的流量基线模型聚成一类时，则确定单位时间内所述目标IP没有出现疑似告警；

在获取的流量数据不能与所述目标IP对应的流量基线模型聚成一类时，则确定单位时间内所述目标IP出现了疑似告警。

优选地，所述在确定单位时间内所述目标IP出现疑似告警时，利用所述区块链网络的多个计算节点共享机制，更新所述计算节点维护的疑似告警集合包括：