[发明专利]高速网络上轻量级DDoS攻击检测装置及检测方法

说明书

本发明揭示了一种高速网络上轻量级DDoS攻击检测装置及检测方法，本发明的装置包括CBFSketch模块以及DDoS攻击检测模块。本发明的方法包括：S1、获取网络流量，将数据流信息记录并存储；S2、根据记录的数据流信息，查询特定数据流的流量大小或出现频次，并根据查询结果判断该数据流是否是一个DDoS攻击流量；S3、设定阈值，根据记录的数据流信息，检测超过阈值大小的数据流、完成DDoS攻击检测。本发明采用多级Sketch结构来对数据流进行存储，能够动态地申请空间，有效地控制空间开销上限，快速地检测出超出阈值的流量以检测DDoS攻击，并减少误报、提升了检测的准确性。

技术领域

本发明涉及一种检测装置及相对应的检测方法，具体涉及一种高速网络上轻量级DDoS攻击检测装置及检测方法，属于高速网络流量测量及网络安全技术领域。

背景技术

随着互联网的发展与普及，信息安全已经逐渐成为了国家的政治、经济、军事、文化意识形态等领域所共同面对的一个严峻问题，如何确保信息安全也逐渐成为了各行业的共同诉求。

具体而言，网络安全是信息安全中的重要部分，在众多影响网络性能的因素中，网络流量为重要。随着互联网技术的发展，网络流量分析技术应运而生，这一技术通过捕捉网络中流动的数据包，查看数据包内数据并进行相关的分析和统计从而发现运行过程中出现的问题。目前，网络流量测量分析技术已被广泛地应用于网络计费、流量工程、网络安全等领域中。

DDoS(Distributed Denial of Service，分布式拒绝服务)攻击是目前比较常见的一种网络攻击方式。它通过消耗网络带宽或系统资源，进而导致网络或系统超负荷以至于瘫痪而停止提供正常的网络服务，造成拒绝服务。DDoS洪水攻击主要包括SYN flood、ACKflood、HTTP flood、UDP flood攻击等，此类攻击的主要目的是利用TCP/IP协议缺陷，通过大流量的正常数据包，占满服务器的连接资源或带宽资源导致服务器拒绝服务。所以洪水攻击的一个主要特征就是攻击流量吞吐量大、并发连接多，所以可以对网络中的流量大小设定检测阈值，当流量超过阈值时触发预警，提示检测到洪水攻击并采用相应的防护措施。但是对网络的流量进行存储记录需要消耗大量的空间，查询一个流量的大小需要较长的时间，并且可能会有大量误报。

Sketch是一种典型的散列方法，它是一种流量测量工具，可以汇总数据流，并且对数据流大小进行测量。它具有很强的灵活性和强大的功能，并期望对实际系统的影响很小。Sketch的基本结构如图1所示，固定的sketch矩阵将数据(表示为列向量)相乘以生成sketch向量。这样的汇总方式非常灵活，对基础数据的单次更新(插入或删除行)具有修改数据向量中的单个条目的效果。现存的sketch算法大部分是基于一个经典的Sketch算法Count-Min Sketch进行优化改进而来的。Count-Min Sketch的结构如图2所示，它包含d个数组A₁…A_d和d个hash函数，h₁(.)…h_d(.)(1≤h(.)≤w)，并且每个数组中包含w个计数器。当插入一个项目i时，首先，通过哈希函数定位该项目应该插入的位置，若该项目不存在，则直接将该项目插入；若该项目已经存在，则将项目处的计数器更新。

但是，现存的Sketch算法仍然存在着诸多问题。第一，在网络流量中，大流量是很重要的，在进行DDoS攻击检测时，主要是检测超过阈值的流量，而在网络中大流量的数量比较少，大多数都是小流量，当大流量和小流量在存储时产生冲突，在查询时，许多小流量会被过高的估计，从而导致误报。第二，由于要对网络中的所有流量进行存储，Sketch中的计数器位数比较大，导致占用的空间大，但是只有少数的大流量才需要比较大的计数器，有许多空间被浪费。

综上所述，如何在现有技术的基础上提出一种高速网络上轻量级DDoS攻击检测装置及相对应的检测方法，尽可能地克服现有技术中所存在的诸多缺陷，也就成为了本领域内技术人员共同的研究目标。

发明内容