[发明专利]一种分布式拒绝服务攻击检测方法、装置及服务器

权利要求书

1.一种分布式拒绝服务攻击检测方法，其特征在于，包括：

预先对预设时间段内采集的多维度流量数据进行离线计算，得到每个维度的流量值基线；所述多维度流量数据是在所述预设时间段内实时采集的，用于基于多个维度的流量描述目的IP的流量，所述离线计算为对每个所述目的IP进行流量画像，所述每个维度的流量值基线是在所述预设时间段内的正常流量值，表征每个所述目的IP的流量特征信息；

对获取的实时流量进行解包，得到多维度实时流量数据；所述实时流量为通过实时镜像得到的原始网络包；

根据所述多维度实时流量数据，统计每个目的IP的每个维度的实时流量值；

将每个目的IP的每个维度的所述实时流量值与所述流量值基线进行差异比较；

分析所述差异比较的结果，判断是否输出告警信息。

2.根据权利要求1所述的一种分布式拒绝服务攻击检测方法，其特征在于，所述预先对预设时间段内采集的多维度流量数据进行离线计算，得到每个维度的流量值基线包括：

对预先存储的所述预设时间段内的多维度流量数据进行降噪处理；

对经过降噪处理之后的所述多维度流量数据进行数据平滑处理；

根据数据处理结果，得出每个维度的流量值基线，并计算所述多维度流量数据的统计值；

存储所述流量值基线和所述统计值。

3.根据权利要求2所述的一种分布式拒绝服务攻击检测方法，其特征在于，所述多维度包括：源端口、目的端口、包长、生存时间值和流量包量。

4.根据权利要求3所述的一种分布式拒绝服务攻击检测方法，其特征在于，所述根据所述多维度实时流量数据，统计每个维度的实时流量值包括：

当所述维度为源端口、目的端口、包长或生存时间值时，在每个维度下设置若干统计标识；

检测预设时间窗内所述统计标识所对应的流量值。

5.根据权利要求4所述的一种分布式拒绝服务攻击检测方法，其特征在于，所述将每个维度的所述实时流量值与所述流量值基线进行差异比较包括：

当所述维度为源端口、目的端口、包长或生存时间值时，为每个维度的流量判断分别设置相应的阈值；

计算预设时间窗内，每个维度的所述实时流量值与所述流量值基线的偏差；

当所述偏差超过所述相应的阈值时，为对应维度做标记。

6.根据权利要求3所述的一种分布式拒绝服务攻击检测方法，其特征在于，所述将每个维度的所述实时流量值与所述流量值基线进行差异比较包括：

当所述维度为流量包量时，计算预设时间窗内预设个时间点的实时流量值与对应的流量值基线的差值；

计算预设个差值的累加和；

当所述累加和超过所述统计值时，为所述流量包量维度做标记。

7.一种分布式拒绝服务攻击检测装置，其特征在于，包括：

离线计算模块，用于预先对预设时间段内采集的多维度流量数据进行离线计算，得到每个维度的流量值基线；所述多维度流量数据是在所述预设时间段内实时采集的，用于基于多个维度的流量描述目的IP的流量，所述离线计算为对每个所述目的IP进行流量画像，所述每个维度的流量值基线是在所述预设时间段内的正常流量值，表征每个所述目的IP的流量特征信息；

解包模块，用于对获取的实时流量进行解包，得到多维度实时流量数据；所述实时流量为通过实时镜像得到的原始网络包；

流量统计模块，用于根据所述多维度实时流量数据，统计每个目的IP的每个维度的实时流量值；

差异比较模块，用于将每个目的IP的每个维度的所述实时流量值与所述流量值基线进行差异比较；

告警输出模块，用于分析所述差异比较的结果，判断是否输出告警信息。