[发明专利]一种检测低速率拒绝服务攻击的方法及装置

权利要求书

1.一种检测低速率拒绝服务攻击的方法，其特征在于，包括：

对网络链路的参数进行周期性的第一级检测，当所述参数的检测值低于设 定的下限值时进入第二级检测；

在第二级检测中，在设定时间长度内对网络链路的参数进行设定次数的采 样，当统计得出的采样结果超出设定的正常值范围时，进入第三级检测；

在第三级检测中，对网络链路的参数进行采样，计算采样数据的功率谱密 度，比较所述功率谱密度和低速率拒绝服务攻击的频域特征，输出检测结果。

2.根据权利要求1所述的方法，其特征在于，所述参数的检测值低于设定 的下限值，包括下述至少一项：

拥塞窗口均值ACW小于设定的下限值；或收到的ACK响应包数小于设定的 下限值；或接收包数IPN小于设定的下限值且信道利用率低于设定的下限值； 其中，各下限值根据具体网络分别设定。

3.根据权利要求1所述的方法，其特征在于，所述在设定时间长度内对网 络链路的参数进行设定次数的采样，当统计得出的采样结果超出设定的正常值 范围时，进入第三级检测，包括：

在设定时间长度内根据随机过程均匀分布间隔，对网络链路的接收包数 IPN和拥塞窗口均值ACW进行采样；每次采样时间为一个时间片，当根据采样 统计所有时间片，得出处于接收包数IPN和拥塞窗口均值ACW均低于设定的下 限值状态的时间片数量超过预设数量，则进入第三级检测。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

处于第一级检测的时间超过了预设时间长度，则进入第二级检测；

在所述第二级检测中，当统计所有时间片得出接收包数IPN和拥塞窗口均 值ACW均高于设定的下限值，并且接收包数IPN低于设定的上限值，则进入第 二级检测循环；或者，当统计所有时间片得出部分时间片处于接收包数IPN和 拥塞窗口均值ACW均低于设定的下限值的状态，但所述部分时间片的数量未超 过规定数量，则进入第二级检测循环。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

对网络链路的接收包数IPN和拥塞窗口均值ACW进行设定次数的周期性 检测，若接收包数IPN和拥塞窗口均值ACW均没有超出设定值范围，则退出第 二级检测循环；若接收包数IPN和拥塞窗口均值ACW均超出设定值范围，则进 入第三级检测。

6.根据权利要求1至5任一项所述的方法，其特征在于，所述对网络链路 的参数进行采样，计算采样数据的功率谱密度，比较所述功率谱密度和低速率 拒绝服务攻击的频域特征，输出检测结果，包括：

对网络链路的接收包数IPN进行采样，计算采样数据的功率谱密度，取 20Hz为检测点，若所述采样数据的归一化累积功率谱密度大于0.4，则确定网 络链路存在低速率拒绝服务攻击。

7.一种检测低速率拒绝服务攻击的装置，其特征在于，包括：

第一级检测单元，用于对网络链路的参数进行周期性检测，当所述参数的 检测值低于设定的下限值时触发第二级检测单元；

所述第二级检测单元，用于在设定时间长度内对网络链路的参数进行设定 次数的采样，当统计得出的采样结果超出设定的正常值范围时，触发第三级检 测单元；

所述第三级检测单元，用于对网络链路的参数进行采样，计算采样数据的 功率谱密度，比较所述功率谱密度和低速率拒绝服务攻击的频域特征，输出检 测结果。

8.根据权利要求7所述的装置，其特征在于，所述第一级检测单元，还用 于在监测到处于第一级检测的时间超过了预设时间长度时，触发所述第二级检 测单元。