[发明专利]一种网络攻击代理端检测及溯源方法与装置

权利要求书

1.一种网络攻击代理端检测及溯源方法，其特征在于，包括步骤：

S1获取训练数据；预先收集攻击数据集，所述攻击数据集包括攻击日志包与攻击数据包，所述攻击日志包包括：网络攻击的流量日志、web日志、交换机日志；所述攻击数据包包括：攻击者控制代理端的控制数据包、攻击者攻击受害端的攻击数据包；融合所述攻击数据集中的信息并从中提取控制特征与攻击特征为训练数据；

S2训练网络攻击检测模块；利用有监督的机器学习方式使用所述训练数据训练网络攻击检测模块；

S3通过所述网络攻击检测模块检测网络流量，获取网络攻击数据流，从所述网络攻击数据流中提取控制信息与攻击信息；伪造IP攻击检测，包括：设置内网设备地址数据库，用于存储内网内所有设备的IP地址和MAC地址；对经过内网设备的所述网络攻击数据流提取源IP地址，与所述内网设备地址数据库匹配，若匹配成功则执行S4；若匹配不成功则判断为伪造IP攻击，拒绝转发此数据包，阻断此次攻击；

S4当所述控制信息与所述攻击信息均存在时，从受害端获取的所述网络攻击数据流中提取源IP地址为攻击代理端地址，从所述攻击代理端处获取的所述网络攻击数据流中提取源IP地址为攻击者地址；

S5当所述攻击特征存在且所述控制信息不存在时，从受害端获取的所述网络攻击数据流中提取源IP地址为攻击者地址。

2.根据权利要求1所述的网络攻击代理端检测及溯源方法，其特征在于，使用Kafka消息服务预先收集所述攻击数据集。

3.一种网络攻击代理端检测及溯源装置，其特征在于，包括：

获取训练数据模块：预先收集攻击数据集，所述攻击数据集包括攻击日志包与攻击数据包，所述攻击日志包包括：网络攻击的流量日志、web日志、交换机日志；所述攻击数据包包括：攻击者控制代理端的控制数据包、攻击者攻击受害端的攻击数据包；融合所述攻击数据集中的信息并从中提取控制特征与攻击特征为训练数据；

训练模块：利用有监督的机器学习方式使用所述训练数据训练网络攻击检测模块；

提取攻击信息模块：通过所述网络攻击检测模块检测网络流量，获取网络攻击数据流，从所述网络攻击数据流中提取控制信息与攻击信息；伪造IP攻击检测，包括：设置内网设备地址数据库，用于存储内网内所有设备的IP地址和MAC地址；对经过内网设备的所述网络攻击数据流提取源IP地址，与所述内网设备地址数据库匹配，若匹配成功则执行溯源模块；若匹配不成功则判断为伪造IP攻击，拒绝转发此数据包，阻断此次攻击；

溯源模块；当所述控制信息与所述攻击信息均存在时，从受害端获取的所述网络攻击数据流中提取源IP地址为攻击代理端地址，从所述攻击代理端处获取的所述网络攻击数据流中提取源IP地址为攻击者地址；当所述攻击特征存在且所述控制信息不存在时，从受害端获取的所述网络攻击数据流中提取源IP地址为攻击者地址。

4.根据权利要求3所述的网络攻击代理端检测及溯源装置，其特征在于，使用Kafka消息服务预先收集所述攻击数据集。