[发明专利]用于检测网络上的容量耗尽攻击的方法和系统

说明书

提供了在较少的错误肯定且同时还要求较少的处理资源的情况下检测计算机网络上的容量耗尽攻击。在此所描述的系统和方法使用在网络层处取得的观察以观察网络业务以形成用于未来业务的预测模型。当网络的未来业务足够超过预测模型时，监视系统和方法将指示网络以采取安全措施。可以在对应于源、目的地和协议的各分组的子集中观察网络的业务，使得安全措施可以在不影响网络中的其他机器的情况下针对该子集。

背景技术

恶意方常常企图通过各种手段(包括暴力攻击)获得对系统的访问。暴力攻击可以是水平的，其中恶意方试图损害多个合法用户的账户；是垂直的，其中恶意方多次试图损害一个合法用户的账户；或者包括水平攻击和垂直攻击二者。此外，攻击可以是分布式的，其中多个攻击者攻击一个目标；是定向的，其中一个攻击者攻击一个目标；是宽的，其中一个攻击者攻击多个目标；及其组合，其可以包括针对暴力攻击的登录尝试或者打击(一个或多个)目标(诸如拒绝服务攻击)或者暴露来自目标的数据或者操纵由目标使用的数据(诸如利用缓冲器溢出攻击或SQL注入)的尝试。

恶意方常常利用远程终端存取(RTA)协议和生产力软件控制多个物理或者虚拟机器来执行其攻击。当更多用户转向RTA访问在远程于用户的分布式计算环境(即，“云”)中运行的虚拟机(VM)时，这是增长的关心问题。用户或者管理员可以关闭其未使用的RTA端口、搅乱使用的RTA编号、或设立允许的IP地址列表，作为帮助阻止恶意攻击的保护措施，但是这些步骤可以要求执行的大量的资源和做出改变的管理能力。

然而，恶意攻击可以与合法通信混淆，并且除了各种安全措施(如果错误肯定保护不是足够准确的，则可以不适当地阻止合法用户的IP地址或安全账户)之外，网络管理员已经实现各种错误肯定减少方案。这些错误肯定对于用户而言令人沮丧，并且要求网络管理员扩展资源来取消响应于错误肯定针对合法用例应用的安全措施(例如，解锁被锁定的账户、恢复阻止的对文件/系统的访问、移除来自黑名单的IP地址)。

发明内容

提供本发明内容以引入以在具体实施方式章节中下面进一步描述的简化形式的概念的选择。本发明内容不旨在标识要求保护的主题的所有特征，其也不旨在限制要求保护的主题的范围。

在此提供了用于使能通过检测异常行为将暴力攻击与合法高容量使用区分的系统和方法。本公开的系统和方法可操作以确定通信是攻击的一部分(其可以包括同时发送的一些合法通信)还是表示具有比先前的系统和方法更少的错误肯定的高容量处的正常操作。通过监视网络层处(例如，在路由器处)而不是机器层处的业务(traffic)并且采样通信的记录，本公开概述管理员如何可以在不必安装或者运行机器上的代理或者执行全业务检查的情况下防止攻击。

各种模型被应用到采样业务量以将最新业务与历史业务相比较，通过其期望业务量与实际观察的业务量之间的差被观察以确定业务量是攻击的一部分还是自然地高的。被分析的时间量通过使用现有网络采样(诸如例如网际协议信息导出(IPFIX)协议或者NetFlow协议)而减少，其由云服务提供商用于在其进入用于事件记录、负载平衡、消息路由选择等的云服务提供商的网络时分析网络业务。

通过向管理员提供在网络层处的暴力攻击与合法使用之间进行区分的能力，本公开解决以计算机为中心的问题并且改进系统自身的效率和可靠性。

在以下附图和说明书中阐述一个或多个方面的细节。其他特征和优点从以下详细描述的阅读和相关联的附图的回顾将是明显的。将理解到，以下具体实施方式仅是解释性的并且不是限制性的；本公开的适当的范围由权利要求限定。

附图说明

并入在本公开中并且构成本公开的一部分的附图图示了本公开的各方面。在附图中：

图1图示了其中服务请求由来自各种请求设备的系统处理的示例环境；

图2A和图2B是示出用于共享给定特性的分组的通信监视的示例直方图；

图3是示出用于标识网络层处的攻击的示例方法中涉及的总体阶段的流程图；