[发明专利]一种DDoS攻击防御方法

说明书

本发明公开了一种DDoS攻击防御方法，涉及DDoS攻击防御技术领域。本发明包括如下步骤：S01，收集进入目标所在的ISP网络中的数据流；S02，对数据流进行分析，判断数据流是否为汇聚式数据流，若是，则向CAT服务器发送报警数据包并执行S03，若否则执行S05；S03，CAT服务器对接收到的报警数据包进行处理，并生成CAT树，取其叶子节点信息和根节点信息，并将叶子节点信息和根节点信息发送到策略服务器；S04，策略服务器处理接收到的叶子节点信息和根节点信息，并根据限流算法对边界路由器发送限流命令对攻击流进行限流。本发明能够在路由器刚发现异常数据流时向CAT服务器发送报警数据包，这样就可以在最短的时间内采取措施对异常数据流进行控制。

技术领域

本发明属于DDoS攻击防御技术领域，特别是涉及一种DDoS攻击防御方法。

背景技术

目前关于DDOS攻击的防御方案，很多是从整个互联网的角度提出的解决方案。这类解决方案由于各个ISP网络之间的利益关系，很难实现多个ISP域的统一管理，而且成本巨大，可行性不高。目前关于DDOS攻击防御方案的研究，也有从某些小范围对DDOS攻击进行防御，由受害者向防御机制提出DDOS攻击的防御请求，然后防御机制从这个小范围的网络出发，对DDOS攻击进行防御。这些防御方法中的受害者往往需要一段时间才能够恢复正常，对DDOS攻击的反应时间过长。

如何提高DDOS攻击防御的反应时间，保证正常报文的存货率是目前本领域亟待解决的问题之一。

发明内容

本发明的目的在于提供一种DDoS攻击防御方法，能够在路由器刚发现异常数据流时向CAT服务器发送报警数据包，这样就可以在最短的时间内采取措施对异常数据流进行控制，同时在正常数据流进入目标(受害者)之前再次进行IP地址检测，避免伪造IP地址的数据流进入目标(受害者)对目标(受害者)造成攻击。

为解决上述技术问题，本发明是通过以下技术方案实现的：

本发明为一种DDoS攻击防御方法，包括如下步骤：

S01，收集进入目标所在的ISP网络中的数据流；

S02，对数据流进行分析，判断数据流是否为汇聚式数据流，若是，则向CAT服务器发送报警数据包并执行S03，若否，则执行S05；

S03，CAT服务器对接收到的报警数据包进行处理，并生成CAT树，取其叶子节点信息和根节点信息，并将叶子节点信息和根节点信息发送到策略服务器；

S04，策略服务器处理接收到的叶子节点信息和根节点信息，并根据限流算法对边界路由器发送限流命令对攻击流进行限流；

S05，检测数据流的IP地址是否为伪造IP地址，若为伪造IP地址，则判断为攻击数据流，则向边界路由器发送限流命令，对攻击数据流进行限流。

进一步地，所述数据流为具有相同目的的IP地址的数据流。

进一步地，所述步骤S02中报警数据包的生成方法如下：

S021，对于每个数据流，计算在时间片t流入和流出端口i的数据包的数量记为x(t，i)和y(t，i)；

S022，计算到时间片t为止，流入和流出端口i的加权平均数据包的数量记为和，计算公式为：

S023，计算历史加权平均流量，

S024，计算数据流的平均偏差值DFA_in和DFA_out；

S025，判断DFA_in是否超过预设阈值，若DFA_in小于预设阈值则本次判断结束不生产报警包，若DFA_in大于预设阈值则执行S026；