[发明专利]一种基于两步聚类和检测片分析联合算法的LDoS检测方法

摘要

本发明公开了一种基于两步聚类和检测片分析联合算法的LDoS检测方法，属于网络安全领域。其中所述的方法包括：获取服务器(或关键路由器)上的TCP流量，并按固定时长对其进行采样。使用两步聚类方法分析和挖掘TCP流量的离散特征，将离散特征异常的TCP流量划分到可疑簇中。接着将可疑簇中的TCP流量按检测片划分并分析，通过定量度量检测片中TCP流量的波动幅度特征，提出了相关准则来判断可疑簇中TCP流量的波动幅度是否异常，从而实现对LDoS攻击的检测。本发明提出的基于两步聚类和检测片分析联合算法的LDoS检测方法能高效、准确地检测LDoS攻击。

主权项

1.一种基于两步聚类和检测片分析联合算法的LDoS检测方法，其特征在于，该检测方法包括以下几个步骤：步骤1、采样数据：收集服务器(或关键路由器)上的TCP流量，并对其进行采样，得到足够多单位时间的TCP流量。步骤2、处理数据：计算单位时间内TCP流量的方差和平均差，并求得聚类特征。步骤3、聚类分析数据：基于两步聚类方法，根据求得的聚类特征对TCP流量进行分析，将疑似遭受了LDoS攻击的TCP流量划分到可疑簇中。步骤4、分析可疑簇：将可疑簇中单位时间内的TCP流量按时间更短的检测片进行划分，并计算可疑簇中单位时间内的异常检测片概率。步骤5、判定检测：根据预先存储的相关阈值，对可疑簇中单位时间内的TCP流量进行判定。若符合所述条件，则判定网络在该单位时间内发生了LDoS攻击。