[发明专利]一种检测慢速攻击的方法、装置、存储介质和电子设备

权利要求书

1.一种检测慢速攻击的方法，其特征在于，所述方法包括：

接收待检测报文；

在确定用于向目标服务器发送所述待检测报文的目标连接已经建立的情况下，获取自身记录的所有客户端和所述目标服务器的连接的总连接数；

在所述总连接数大于等于连接阈值的情况下，获取所述目标连接的建立时长；

在所述建立时长大于等于预设建立时长的情况下，检测第一预设时段内与所述目标连接对应的报文的总大小；

在所述总大小小于等于预设大小的情况下，确定所述待检测报文为慢速攻击报文。

2.根据权利要求1所述的方法，其特征在于，在所述接收待检测报文之前，所述方法还包括：

对第二预设时段内的历史连接数进行自学习，以获得目标时段对应的连接阈值。

3.根据权利要求2所述的方法，其特征在于，所述第二预设时段包括多个子时段，每个子时段均包括第一时段和第二时段，所述每个子时段内第一时段和所述目标时段为不同周期内的同一时段，所述每个子时段内的第二时段均早于对应的第一时段；

其中，所述对第二预设时段内的历史连接数进行自学习，以获得目标时段对应的连接阈值，包括：

获取第一子时段内第一时段的第一平均连接数，其中，所述第一平均连接数是利用所述第一子时段内第一时段的历史连接数获得的；

在所述第一平均连接数小于参考连接数的第一预设倍数的情况下，将所述第一平均连接数划分到初始集合内，或者在所述第一平均连接数大于等于所述参考连接数的第一预设倍数的情况下，将所述参考连接数划分到所述初始集合内；

获取第二子时段内第一时段的第二平均连接数，其中，所述第二子时段为所述多个子时段中除所述第一子时段外的任意一个子时段，所述第二平均连接数是利用所述第二子时段内第一时段的历史连接数获得的；

在所述第二平均连接数小于当前集合内所有连接数的第三平均连接数的第二预设倍数的情况下，将所述第二平均连接数划分到所述当前集合内，或者在所述第二平均连接数大于等于所述第三平均连接数的第二预设倍数且所述第二子时段内第二时段的第四平均连接数大于等于所述第三平均连接数的第二预设倍数的情况下，将所述第二平均连接数划分到所述当前集合内，所述第四平均连接数是利用所述第二子时段内第二时段的历史连接数获得的；

计算最终集合内所有连接数的第五平均连接数，并将所述第五平均连接数作为所述连接阈值。

4.根据权利要求1所述的方法，其特征在于，所述在确定用于向目标服务器发送所述待检测报文的目标连接已经建立的情况下，获取自身记录的所有客户端和所述目标服务器的连接的总连接数，包括：

在确定所述目标连接已经建立且所述目标连接的连接类型不是长连接的情况下，获取所述总连接数。

5.一种检测慢速攻击的装置，其特征在于，所述装置包括：

接收模块，用于接收待检测报文；

第一获取模块，用于在确定用于向目标服务器发送所述待检测报文的目标连接已经建立的情况下，获取自身记录的所有客户端和所述目标服务器的连接的总连接数；

第二获取模块，用于在所述总连接数大于等于连接阈值的情况下，获取所述目标连接的建立时长；

检测模块，用于在所述建立时长大于等于预设建立时长的情况下，检测第一预设时段内与所述目标连接对应的报文的总大小；

确定模块，用于在所述总大小小于等于预设大小的情况下，确定所述待检测报文为慢速攻击报文。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：

自学习模块，用于对第二预设时段内的历史连接数进行自学习，以获得目标时段对应的连接阈值。