[发明专利]分布式拒绝服务攻击检测方法、装置、设备和存储介质

说明书

本发明适用于网络攻击防御技术领域，提供了一种分布式拒绝服务攻击检测方法、装置、设备和存储介质。其中，分布式拒绝服务攻击检测方法包括：每隔预设周期，获取预设覆盖范围内的所有交换机的流表信息；提取流表信息中的流表特征；流表特征包括每数据流的平均数据包数、每数据流的平均字节数、数据流匹配成功率、端口增长速率、目的IP地址的增长速率和最大交换机流入数交换机；根据预先获取的交换机的正常流量数据和分布式拒绝服务攻击流量数据，以及所有流表特征，对预设分类器进行训练，得到检测分类器；基于检测分类器，对交换机的分布式拒绝服务攻击进行检测。采用本发明可以降低分布式拒绝服务攻击检测的误报率。

技术领域

本发明涉及网络攻击防御技术领域，具体涉及一种分布式拒绝服务攻击检测方法、装置、设备和存储介质。

背景技术

分布式拒绝服务(Distributed Denial of Service，DDoS)是指攻击者向被攻击的主机发送大量的虚假报文，最终导致被攻击的主机系统崩溃，无法正常提供服务。

目前，通常利用OpenFlow交换机的流表信息检测DDoS攻击。OpenFlow协议是目前最广泛使用的接口协议，OpenFlow交换机使用的流表信息中隐含了交换机的网络流量状况，正常情况和发生攻击时流表信息会有不同程度的区别。可以利用OpenFlow交换机的流表信息中的特征信息计算出熵值，然后将该熵值与定义的阈值相比较，当该熵值小于阈值时，认为受到了DDoS攻击。

然而，上述利用OpenFlow交换机的流表信息检测DDoS攻击的方法，存在误报率高的问题。

发明内容

因此，本发明要解决的技术问题是提供一种分布式拒绝服务攻击检测方法、装置、设备和存储介质。以解决现有技术中分布式拒绝服务攻击检测误报率高的问题。

本发明实施例的第一方面提供了一种分布式拒绝服务攻击检测方法，包括：每隔预设周期，获取预设覆盖范围内的所有交换机的流表信息；

提取流表信息中的流表特征；流表特征包括每数据流的平均数据包数、每数据流的平均字节数、数据流匹配成功率、端口增长速率、目的IP地址的增长速率和最大交换机流入数交换机；

根据预先获取的交换机的正常流量数据和分布式拒绝服务攻击流量数据，以及所有流表特征，对预设分类器进行训练，得到检测分类器；

基于检测分类器，对交换机的分布式拒绝服务攻击进行检测。

可选的，提取流表信息中的流表特征，包括：

将预设周期内所有流表信息中总的数据包数除以总的数据流数，得到每数据流的平均数据包数；

将预设周期内所有流表信息中总的字节数除以总的数据流数，得到每数据流的平均字节数；

将预设周期内所有流表信息中匹配成功的数据流数除以总的数据流数，得到数据流匹配成功率；

将预设周期内所有流表信息中不同目的端口的增长速率，确定为端口增长速率；

将预设周期内所有流表信息中目的IP地址的增长速率，确定为目的IP地址的增长速率；

根据预设周期内所有流表信息中的源IP地址、目的IP地址、流入交换机的编号和流出交换机的编号，确定最大交换机流入数交换机。

可选的，在提取流表信息中的流表特征之后，方法还包括：

对流表特征进行降维处理，得到降维后的流表特征；

根据预先获取的交换机的正常流量数据和分布式拒绝服务攻击流量数据，以及所有流表特征，对预设分类器进行训练，包括：

根据预先获取的交换机的正常流量数据和分布式拒绝服务攻击流量数据，以及所有降维后的流表特征，对预设分类器进行训练。