[发明专利]一种网络洪范攻击行为检测方法

说明书

本发明公开了一种网络洪范攻击行为检测方法，它包括：步骤1、采用基于计数式Bloom Filter的报文统计方法统计某一时间段内接收到的SYN+ACK与ACK报文的差值；步骤2、采用基于非参数的CUSUM算法判断是否有异常行为发生；步骤3、采用自适应调整方法调整采样窗口；步骤4、根据地址划分确定被攻击目标；解决了现有技术通信网络存在着规模持续增大、数据量超大的基本特性，会导致传统检测方法的运行时间成倍增加，方法成本开销加剧并且方法的实时性效率降低；现有异常行为识别方法的识别效果误检率和误识别率大等技术问题。

技术领域

本发明属于网络异常检测技术，尤其涉及一种网络洪范攻击行为检测方法。

背景技术

随着信息技术的快速发展，互联网中网络异常事件爆发的频率越来越高，从而给人们日常互联网活动带来的负面影响也日益显著。随着网络异常事件不断涌现，以分布式拒绝服务攻击、蠕虫传播、端口扫描为首的网络异常行为尤为突出，互联网络在高速发展的同时，也遭受着网络异常事件带来的冲击。随着网络技术以及应用的不断更新，通信网络发展方向日益多向，承载的业务种类日益全面，与此同时通信网所承受的攻击规模及方式也在逐渐扩大及变化。为了使网络通信环境和谐健康的发展，就必须对网络流及其连接行为进行实时监控，分析并研究其日常行为模式，从而当通信网络中有异常行为发生时，能及时做出检测并采取相应的防御措施，提高通信网络自身的免疫力。

近年来，越来越多的国内外研究学者开始关注网络流的连接关系，他们对网络流连接行为的分析展开了很多研究。在此背景下，本发明力图对网络流连接行为中产生的异常行为进行检测，主要关注网络流连接行为中的分布式拒绝服务(DDoS)攻击，以SYN flood洪范攻击行为作为重点研究对象。传统SYN flood洪范攻击行为检测算法大都以深度包分析方法为主，通过报文统计的手段对网络流数据报文进行细致解析。然而通信网络存在着规模持续增大、数据量超大的基本特性，会导致传统检测方法的运行时间成倍增加，方法成本开销加剧并且方法的实时性效率降低。此外，由于突发访问行为与分布式拒绝服务攻击在表现形式上有诸多相似之处，现有异常行为识别方法的识别效果都会有不小的误检率和误识别率。

发明内容

本发明要解决的技术问题是：提供一种网络洪范攻击行为检测方法，以解决现有技术通信网络存在着规模持续增大、数据量超大的基本特性，会导致传统检测方法的运行时间成倍增加，方法成本开销加剧并且方法的实时性效率降低；现有异常行为识别方法的识别效果误检率和误识别率大等技术问题。

本发明的技术方案是：

一种网络洪范攻击行为检测方法，它包括：

步骤1、采用基于计数式Bloom Filter的报文统计方法统计某一时间段内接收到的SYN+ACK与ACK报文的差值；

步骤2、采用基于非参数的CUSUM算法判断是否有异常行为发生；

步骤3、采用自适应调整方法调整采样窗口；

步骤4、根据地址划分确定被攻击目标。

步骤1所述采用基于计数式Bloom Filter的报文统计方法统计某一时间段内接收到的SYN+ACK与ACK报文的差值的方法为：监测在一段时间内相同的IP和端口发出的SYN+ACK与收到的ACK报文数量是否平衡，将数据经协议号和标志位筛选后，SYN+ACK报文用源IP地址和源端口表示，并且存入计数式Bloom Filter中，当该二元组重复出现时，Hash过后比特位计数器数值增加1；ACK报文用目的IP地址和目的端口二元组表示，并查询是否在计数式Bloom Filter中，若存在，则对应的比特位计数器计数减1，下限为0；最终每一个存储在计数式Bloom Filter中的IP地址和端口代表了该IP地址和端口在某一时间段内接收到的SYN+ACK与ACK报文的差值。

步骤2所述采用基于非参数的CUSUM算法判断是否有异常行为发生的方法为：