[发明专利]一种检测网络攻击的方法和设备

权利要求书

1.一种检测网络攻击的方法，其特征在于，包括：

接收数据包，获取所述数据包的相邻观察时刻的平均距离值的比较值，其中，数据包的距离值定义为(TTL_初值-TTL_终值)，生存时间TTL是IP数据包的IP报头的一个域，TTL_终值可以从收到的数据包中来读取，而TTL_初值则由操作系统来设定，数据包的所述平均距离值就是对所有数据包的距离值求和，用所得出的结果除以数据包的个数，数据包的一观察时刻的平均距离值是从上一观察时刻到本观察时刻所经历的一个预定的时间间隔内所有接收到的数据包的平均距离值；

对所述比较值进行累积和统计，获得累积和的统计量；

在预定的观察周期内，当所述累积和的统计量超过预先设定的阈值时，判定发生网络攻击。

2.如权利要求1所述的方法，其特征在于，所述获取所述数据包的相邻观察时刻的平均距离值的比较值包括：

获取所述数据包的相邻观察时刻的平均距离值的差值的绝对值；或

获取所述数据包的相邻观察时刻的平均距离值的比值的绝对值。

3.如权利要求2所述的方法，其特征在于，所述获取所述数据包的相邻观察时刻的平均距离值的比值的绝对值包括：使所述数据包的两个相邻观察时刻中数据包的后一个观察时刻的平均距离值除以数据包的前一个观察时刻的平均距离值的结果减去1的绝对值。

4.如权利要求2所述的方法，其特征在于，所述对所述比较值进行累积和统计包括：

当所述比较值是所述数据包相邻观察时刻的平均距离值的差值的绝对值时，将数据包的相邻观察时刻的平均距离值的差值的绝对值与一预设值的差作为变量；

将各个观察时刻的变量中的正值累加。

5.如权利要求2所述的方法，其特征在于，所述对所述比较值进行累积和统计包括：

当所述比较值是所述数据包相邻观察时刻的平均距离值的比值的绝对值时，将数据包的相邻观察时刻的平均距离值比值的绝对值与一预设值的差作为变量；

将各个观察时刻的变量中的正值累加。

6.如权利要求1至5任一所述的方法，其特征在于，所述相邻观察时刻具体为观察周期内两个相隔预定的时间间隔的时刻。

7.一种检测网络攻击的设备，其特征在于，包括：

比较值获取模块，用于接收数据包，获取所述数据包相邻观察时刻的平均距离值的比较值，其中，数据包的距离值定义为(TTL_初值-TTL_终值)，生存时间TTL是IP数据包的IP报头的一个域，TTL_终值可以从收到的数据包中来读取，而TTL_初值则由操作系统来设定，数据包的所述平均距离值就是对所有数据包的距离值求和，用所得出的结果除以数据包的个数，数据包的一观察时刻的平均距离值是从上一观察时刻到本观察时刻所经历的一个预定的时间间隔内所有接收到的数据包的平均距离值；

统计量获取模块，用于对所述比较值进行累积和统计，获得累积和的统计量；

判定模块，用于在预定的观察周期内，当所述累积和的统计量超过预先设定的阈值时，判定发生网络攻击。

8.如权利要求7所述的设备，其特征在于，所述比较值获取模块包括：

第一比较值获取模块，用于获取所述数据包的相邻观察时刻的平均距离值的差值的绝对值；或

第二比较值获取模块，用于获取所述数据包的相邻观察时刻的平均距离值比值。

9.如权利要求8所述的设备，其特征在于，当所述比较值获取模块包括第一比较值获取模块时，所述统计量获取模块包括：

第一变量统计模块，用于将所述数据包的相邻观察时刻的平均距离值的差值的绝对值与一预设值的差作为变量；

累加模块，用于将各个观察时刻的变量中的正值累加。

10.如权利要求8所述的设备，其特征在于，当所述比较值获取模块包括第二比较值获取模块时，所述统计量获取模块包括：

第二变量统计模块，用于将数据包的相邻观察时刻的平均距离值比值的绝对值与一预设值的差作为变量；

累加模块，用于将各个观察时刻的变量中的正值累加。