[发明专利]一种分布式拒绝服务攻击检测方法、装置及服务器

说明书

本发明涉及一种分布式拒绝服务攻击检测方法、装置及服务器，所述方法包括：预先对预设时间段内采集的多维度流量数据进行离线计算，得到每个维度的流量值基线；对获取的实时流量进行解包，得到多维度实时流量数据；根据所述多维度实时流量数据，统计每个维度的实时流量值；将每个维度的所述实时流量值与所述流量值基线进行差异比较；分析所述差异比较的结果，判断是否输出告警信息。本发明能够适应现网复杂的业务流量形态，避免了一刀切阈值产生的误告警和小流量漏报，提高了检测的准确率，并且提升了检测的灵敏度。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种分布式拒绝服务攻击检测方法、装置及服务器。

背景技术

DDoS是英文Distributed Denial of Service的缩写，意为“分布式拒绝服务”，DDoS的精髓是：利用分布式的客户端，向服务提供者发起大量看似合法的请求，消耗或者长期占用大量资源，从而达到拒绝服务的目的。DDoS的攻击方式有很多种，最基本的DDoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应；另外就是通过短时间内发送海量数据包阻塞IDC(Internet Data Center，互联网数据中心)上游链路带宽，造成正常业务流量陡降，从而达到拒绝服务的目的。

传统的DDoS检测一般都是基于阈值告警，即基于IP(Internet Protocol，网络协议)统计特定时间窗内的流量成分变化，当变化量超过设定的阈值时告警。这种方案比较简单，但是不灵活，所有业务或者特定业务都是一刀切的阈值，容易产生大量误报或者小流量漏报。

发明内容

本发明所要解决的技术问题在于，提供一种分布式拒绝服务攻击检测方法、装置及服务器，能够适应现网复杂的业务流量形态，避免了一刀切阈值产生的误告警和小流量漏报，提高检测的准确率，并且提升检测的灵敏度。

为了解决上述技术问题，第一方面，本发明提供了一种分布式拒绝服务攻击检测方法包括：

预先对预设时间段内采集的多维度流量数据进行离线计算，得到每个维度的流量值基线；

对获取的实时流量进行解包，得到多维度实时流量数据；

根据所述多维度实时流量数据，统计每个维度的实时流量值；

将每个维度的所述实时流量值与所述流量值基线进行差异比较；

分析所述差异比较的结果，判断是否输出告警信息。

第二方面，本发明提供了一种分布式拒绝服务攻击检测装置，包括：

离线计算模块，用于预先对预设时间段内采集的多维度流量数据进行离线计算，得到每个维度的流量值基线；

解包模块，用于对获取的实时流量进行解包，得到多维度实时流量数据；

流量统计模块，用于根据所述多维度实时流量数据，统计每个维度的实时流量值；

差异比较模块，用于将每个维度的所述实时流量值与所述流量值基线进行差异比较；

告警输出模块，用于分析所述差异比较的结果，判断是否输出告警信息。

第三方面，本发明提供了一种服务器，包括处理器和存储器，其中，所述存储器存储有计算机程序，所述计算机程序适于由所述处理器加载并执行如第一方面所述的分布式拒绝服务攻击检测方法。

第四方面，本发明提供了一种计算机存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、至少一段程序、代码集或指令集由处理器加载并执行如第一方面所述的分布式拒绝服务攻击检测方法。

实施本发明实施例，具有如下有益效果：