[发明专利]DDoS攻击检测方法、装置、设备及计算机可读存储介质

权利要求书

1.一种DDoS攻击检测方法，其特征在于，所述DDoS攻击检测方法包括以下步骤：

获取多个采样间隔对应的IP流平均长度，获取各个采样间隔对应的IP包流入流出比增长速率，以及获取各个采样间隔对应的源IP地址熵；

将每一个采样间隔对应的IP流平均长度、IP包流入流出比增长速率以及源IP地址熵，作为一个样本特征向量，获得训练样本集；

将训练样本集中的样本特征向量输入预训练的分类模型进行模型训练，获得各个样本特征向量对应的分类结果；

若训练结果包括异常流量，则判定异常流量对应的样本特征向量为分布式拒绝服务DDoS攻击流量；

获取DDoS攻击流量的采样间隔对应的实际流量，获取所述实际流量对应的目标时刻，在预设天内的历史流量中，获取所述目标时刻对应的目标历史流量；

确定各个目标历史流量的流量均值，并基于所述流量均值以及所述实际流量，确定所述DDoS攻击流量对应的差分流量，差分流量的公式为：

其中，Δ为差分流量，ω为常数，d为预设天的天数，q_i为第i天目标时刻的目标历史流量，q_k为实际流量，i的范围为1～d；

若所述差分流量大于预设阈值，则确定所述DDoS攻击流量为轻度攻击流量。

2.如权利要求1所述的DDoS攻击检测方法，其特征在于，所述获取多个采样间隔对应的IP流平均长度的步骤包括：

获取每一个采样间隔内IP流的第一数量以及IP流所包括IP包的总个数，其中，所述IP流为具有相同五元组的报文集合；

基于所述第一数量以及所述总个数，分别确定每一个采样间隔对应的IP流平均长度。

3.如权利要求1所述的DDoS攻击检测方法，其特征在于，获取各个采样间隔对应的IP包流入流出比增长速率的步骤包括：

获取每一个采样间隔的第一IP包流入流出比，以及每一个采样间隔的前一采样间隔的第二IP包流入流出比；

基于所述第一IP包流入流出比以及所述第二IP包流入流出比，分别确定每一个采样间隔对应的IP包流入流出比增长速率。

4.如权利要求3所述的DDoS攻击检测方法，其特征在于，所述获取每一个采样间隔的第一IP包流入流出比的步骤包括：

获取每一个采样间隔内IP包的流入数量以及流出数量；

基于所述流入数量以及流出数量，分别确定每一个采样间隔对应的第一IP包流入流出比。

5.如权利要求1所述的DDoS攻击检测方法，其特征在于，所述获取各个采样间隔对应的源IP地址熵的步骤包括：

获取每一个采样间隔内IP包的流入数量以及IP流对应的源IP地址集，并获取每一个采样间隔内各个源IP地址在流入IP包中的出现次数；

基于所述出现次数以及所述流入数量，分别确定每一个采样间隔对应的源IP地址熵。

6.如权利要求1至5任一项所述的DDoS攻击检测方法，其特征在于，所述基于所述流量均值以及所述实际流量，确定所述DDoS攻击流量对应的差分流量的步骤之后，还包括：

若所述差分流量小于或等于预设阈值，则确定所述DDoS攻击流量为重度攻击流量。