[发明专利]一种基于假设检验的DDOS攻击检测方法

权利要求书

1.一种基于假设检验的DDOS攻击检测方法，其特征在于，用于检测低速率DDoS攻击，包括以下步骤：

S100、抓取网络数据包，按照一定时间窗口对所述网络数据包进行分段；

S200、按照一定频率对每段所述网络数据包进行抽样；

S300、计算网络数据流特征值，构建符合正态分布的概率密度特征函数；其中，网络数据流特征值包括：网络连接时间t_ct、数据吞吐量d_t、丢包率PLR、以及数据流字节数Size_data；所述构建符合正态分布的概率密度特征函数，进一步包括：

设所述概率密度特征函数为则

其中，a_i为调节系数，i∈{1,2}，t₁为源主机发送连接请求的时间，t₂为目的主机发送确认应答的时间；

S400、计算所述概率密度特征函数的参数；

S500、基于假设检验构造检测条件进行DDoS攻击检测。

2.根据权利要求1所述的一种基于假设检验的DDOS攻击检测方法，其特征在于，所述基于假设检验构造检验条件进行DDoS攻击检测，进一步包括：

S501、构造检验条件：

H₀:δ_n＝δ₀，不存在DDoS攻击，正常网络流量；

H₁:δ_n＜δ₀，存在DDoS攻击，异常网络流量；

其中，δ₀为待检测网络流量样本的标准方差，δ_n为正常网络流量样本的标准方差，设显著性水平α＝0.1；

S502、计算t统计量：

其中，μ₀为待检测网络流量样本的均值，μ_n为正常网络流量样本的均值，Q为待检测网络流量样本的数量，M为正常网络流量样本的数量；

S503、确定拒绝域t_r：

t_r≥t_α(Δ)

其中，t_α(Δ)为显著水平为α的T分布函数，Δ为自由度，

S504、检测判定：

若t_r≥t_α(Δ)，则接受H₁；若t_r＜t_α(Δ)，则接受H₀。

3.根据权利要求1所述的一种基于假设检验的DDOS攻击检测方法，其特征在于，还包括步骤：

若抓取的所述网络数据包检测为DDoS攻击时，则将所述网络数据包丢弃；

若抓取的所述网络数据包检测为正常数据流量时，则将所述网络数据包重新送入网络。

4.一种基于假设检验的DDOS攻击检测装置，其特征在于，用于检测低速率DDoS攻击，包括：抓取模块、抽样模块、特征函数构建模块、参数计算模块、以及假设检验模块；

所述抓取模块用于抓取网络数据包，按照一定时间窗口对所述网络数据包进行分段；

所述抽样模块用于按照一定频率对每段所述网络数据包进行抽样；

所述特征函数构建模块用于计算网络数据流特征值，构建符合正态分布的概率密度特征函数；其中，网络数据流特征值包括：网络连接时间t_ct、数据吞吐量d_t、丢包率PLR、以及数据流字节数Size_data；所述构建符合正态分布的概率密度特征函数，进一步包括：

设所述概率密度特征函数为则

其中，a_i为调节系数，i∈{1,2}，t₁为源主机发送连接请求的时间，t₂为目的主机发送确认应答的时间；

所述参数计算模块用于计算所述概率密度特征函数的参数；

所述假设检验模块用于基于假设检验构造检测条件进行DDoS攻击检测。