[发明专利]一种基于网络流量应用层DDoS攻击检测方法

说明书

本发明公开了一种基于网络流量应用层DDoS攻击检测方法，选取流量的变化率、新的源IP地址的变化率和源IP地址的请求分配率3个参数来进行分析网络流量，从而从FC流量中区分DDoS攻击流量，设有网络流量分析模块、DDoS攻击检测模块、攻击响应模块，网络流量发生突然改变时，网络流量分析模块就发送一个警告信号给DDoS攻击检测模块，DDoS攻击模块用于判断是FC还是DDoS攻击；当DDoS攻击被检测到时，攻击响应模块被激活，以过滤掉恶意流量并对真正的用户维持不间断的服务，能够有效地识别应用层DDoS攻击流量和FC流量的相似性，选取两者主要特征进行区别，减少误报率和漏报率，成本较低，便于推广使用。

技术领域

本发明涉及互联网技术领域，特别涉及一种基于网络流量应用层DDoS攻击检测方法。

背景技术

网络技术的发展给人们的工作和生活带来的极大的便利，用户数量也急剧上升，电子商务、网络游戏等业务对网络的传输速度提出了更高的要求。

拒绝服务DoS(Denial of Server)攻击是指攻击者通过向目标主机发送大量数据，消耗目标主机的计算资源或网络资源而破坏目标主机向合法用户提供服务。分布式拒绝服务DDoS(Distributed Denial of Server)攻击是DoS攻击的分布形式。DDoS攻击通过分布在整个因特网上的大量主机同时向受害主机发起大量的数据包，使用多个受害系统运行几个DoS攻击，协调一致地攻击一个或者多个受害主机。

随着网络层和传输层的DDoS攻击检测技术已经日渐成熟，防御措施不断加强，针对底层的DDoS攻击已难于达到攻击目的，攻击者把攻击目标转移到应用层。应用层DDoS攻击通过消耗大量服务器的计算资源，阻止合法用户的正常访问。由于应用层攻击使用高层协议，故可以使用合法的协议和服务发起攻击，尤其与突发流量FC(Flash Crowd)非常相似。因此传统用于网络层和传输层的DDoS攻击检测方法不能直接用于应用层DDoS攻击检测，研究针对应用层DDoS攻击检测方法已经成为今年来网络安全领域的新热点。

目前对应用层DDoS攻击的防范主要有如下几种：一种是采用混合测度来检测流量分布的偏移，从而区分DDoS攻击和FC事件；另外还有通过分析web通信的外联行为特征的稳定性从而形成的一种应用层DDoS攻击的检测方法。

在网络环境中，突发流量是指大量合法用户同时发送访问请求到服务器，它集中在某个特定的时间在网络中的某个特定的网站，如重大活动赛事、晚会都会引起FC的出现，这会导致传入流量的显著增加，从而导致服务质量QoS降级。

DDoS攻击也会带来类似的结果，例如流量水平的突然改变，由大量的请求引起的网站不可用等。DDoS攻击流量和FC流量有两个共同的特征：一是它们都只有一个目标，所有的数据包都是发向该目标。二是巨大的流量持续地发往目的地足以拥塞链路和主机。在这种情况下，服务器会因为资源的限制和带宽耗尽而无法提供正常的服务。

发明内容

针对上述背景内容中提出的实质性缺陷和不足，本发明提供一种基于网络流量应用层DDoS攻击检测方法，可以解决背景技术中所指出的问题。

一种基于网络流量应用层DDoS攻击检测方法，选取流量的变化率、新的源IP地址的变化率和源IP地址的请求分配率3个参数来进行分析网络流量，从而从FC流量中区分DDoS攻击流量，设有网络流量分析模块、DDoS攻击检测模块、攻击响应模块，网络流量发生突然改变时，网络流量分析模块就发送一个警告信号给DDoS攻击检测模块，DDoS攻击模块用于判断是FC还是DDoS攻击；当DDoS攻击被检测到时，攻击响应模块被激活，以过滤掉恶意流量并对真正的用户维持不间断的服务；同时，检测到FC时，激活各种负载分担机制，如内容分发网络能够容纳额外的合法的客户端访问网络资源，分担网络流量，以确保网络的正常运行。