[发明专利]一种基于流量频数分布特征的LDoS快速检测方法

权利要求书

1.一种基于流量频数分布特征的LDoS快速检测方法，其特征在于，所述LDoS检测方法包括以下几个步骤：

步骤1、采样数据：获取瓶颈链路或关键路由器中的数据流量，对单位时间内的相关数据流量进行采样，形成样本值；

步骤2、处理数据：基于频数分布的分析方法，对样本值进行处理，得到该单位时间内相关数据流量的频数分布特征向量；

步骤3、计算分析：根据该单位时间内相关数据流量的频数分布特征向量，使用直方图距离公式，分析计算该单位时间内相关数据流量的频数分布直方图距离；

步骤4、判定检测：根据预先训练生成的频数分布特征相关的阈值，对该单位时间内的相关数据流量进行判定检测。若符合所述条件，则判定为该单位时间内网络中发生LDoS攻击。

2.根据权利要求1中所述的LDoS检测方法，其特征在于，步骤1中对网络中瓶颈链路或关键路由器，以固定取样时间获取固定时间长度(单位时间)内所有有效TCP和其它数据流量，形成样本值。

3.根据权利要求1中所述的LDoS检测方法，其特征在于，步骤2中根据步骤1获取的样本值，基于有效TCP和其它数据流量的相对频数，对单位时间内的样本值进行处理，获得单位时间内有效TCP和其它数据流量的频数分布特征向量。频数分布是统计样本总体特征的一种“概要式”的描述。

4.根据权利要求1中所述的LDoS检测方法，其特征在于，步骤3中根据步骤2中计算获得的该单位时间内有效TCP和其它数据流量的频数分布特征向量，使用直方图距离公式，分析计算该单位时间内两类数据流量的频数分布直方图距离，包括两个步骤：

步骤3.1、基于直方图距离公式，定量计算有效TCP流量的频数分布特征向量与基准向量的直方图距离；

步骤3.2、基于直方图距离公式，定量计算其它数据流量的频数分布特征向量与基准向量的直方图距离。

5.根据权利要求4中所述的LDoS检测方法，其特征在于，步骤3.1中可以通过计算有效TCP流量的频数分布特征向量与基准向量的直方图距离，加以区别发生LDoS攻击和未发生攻击的网络，其中作为参考的基准向量为预先存储的有效TCP流量的频数分布特征向量。

6.根据权利要求4中所述的LDoS检测方法，其特征在于，步骤3.2中可以通过计算其它数据流量的频数分布特征向量与基准向量的直方图距离，加以区别发生LDoS攻击和其它攻击类型的网络，其中作为参考的基准向量为预先存储的其它数据流量的频数分布特征向量。

7.根据权利要求1中所述的LDoS检测方法，其特征在于，步骤4中根据步骤3中计算获得的该单位时间内两类数据流量的频数分布特征向量与基准向量的直方图距离，对该单位时间内的数据流量进行判定检测，包括两个步骤：

步骤4.1、基于预先存储的有效TCP流量的频数分布直方图距离阈值，对该单位时间内有效TCP流量的频数分布特征进行判定检测；

步骤4.2、基于预先存储的其它数据流量的频数分布直方图距离阈值，对该单位时间内其它数据流量的频数分布特征进行判定检测。

步骤4.1和4.2同时检测到发生异常，则判定该单位时间内网络发生LDoS攻击。

8.根据权利要求7中所述的LDoS检测方法，其特征在于，步骤4.1中对有效TCP流量的频数分布特征进行检测的判定准则为：若该单位时间内有效TCP流量的频数分布特征向量与基准向量的直方图距离大于(>)预先存储的阈值，则该单位时间内有效TCP流量的频数分布特征异常，其对应的单位时间内可能发生LDoS攻击。

9.根据权利要求7中所述的LDoS检测方法，其特征在于，步骤4.2中对其它数据流量的频数分布特征进行检测的判定准则为：若该单位时间内其它数据流量的频数分布特征向量与基准向量的直方图距离小于(<)预先存储的阈值，则该单位时间内其它数据流量的频数分布特征未发生异常，其对应的单位时间内可能发生LDoS攻击。