[发明专利]基于滤波器频域过滤LDDoS攻击流量的方法

权利要求书

1.基于滤波器频域过滤LDDoS(Low-rate Distributed Denial of Service)攻击流量的方法，是一种用数字信号处理技术防御网络攻击的新方法。LDDoS攻击具有隐蔽的特性，在时域不容易将其检测出来。但是，LDDoS攻击流量在频域上却表现出与正常TCP流量不同的特性，即LDDoS攻击流量更多的分布在低频段。利用这个特性，可以设计FIR滤波器，实现对攻击流量的过滤。 

2.根据权利要求1所述的基于FIR滤波器的LDDoS攻击过滤方法，其特征在于所述过滤方法包括以下步骤： 

(1)建立一个网络流量模型T(t)＝P(t)+v(t)+A(t)； 

(2)在受害端对网络流量进行等间隔采样，根据采样时间，构造一个离散序列{x(t)，t＝nΔ，n∈N}； 

(3)对序列x(t)做Bartlett谱估计，得出采样序列的功率谱密度； 

(4)在f频点以下统计功率，以功率谱密度(PSD)的分布率为检测依据； 

(5)确定一个判决门限，当低频段f以下的PSD分布超过门限值时即可判定发生LDDoS攻击； 

(6)设计一个截止频率在f的FIR高通滤波器； 

(7)将FIR滤波器置于被攻击目标前端，过滤掉处于低频域的攻击流量； 

其中，步骤(1)中P(t)表示正常的TCP流量，v(t)表示网络背景噪声，A(t)表示LDDoS攻击流量； 

步骤(2)中采样间隔为t，采样周期T，这样采样数据就构成了一个离散的序列； 

步骤(3)对采样序列x(t)的Bartlett变换可以表示为： 

其中是x_l(n)的PSD估计，是x(n)的PSD估计。x(n)是一个N点的序列，x_l(n)(l＝1，2，…，L)是x(n)的一个M点无重叠序列，L＝N/M 

步骤(4)中LDDoS攻击流90％能量集中在6Hz以下，正常TCP流20％的能量分布于6Hz以下； 

步骤(5)中判决门限由所选频点决定，一般选F_D＝5Hz，门限为90％； 

步骤(6)中截止频率选为5Hz； 

步骤(7)中FIR滤波器可以过滤掉90％以上的的LDDoS攻击流量。 

3.根据2所述的基于FIR滤波器的LDDoS攻击过滤方法，其特征在于： 

(1)设定采样间隔1ms，采样周期为6s，形成6000个点的序列； 

(2)设计FIR数字滤波器，H(e^jω)＝H(ω)e^jθω，其中H(ω)是窗函数FIR滤波器的频率响应； 

(3)以5Hz为截止频率的高通滤波器能过滤掉92.88％的LDDoS攻击，同时过滤掉19.75％的正常TCP流量，证明可以有效的过滤攻击流，保证绝大部分正常流量通过。