[发明专利]DDoS攻击检测方法、装置、设备及计算机可读存储介质

说明书

本发明公开了一种DDoS攻击检测方法包括：获取多个采样间隔对应的IP流平均长度，获取各个采样间隔对应的IP包流入流出比增长速率，以及获取各个采样间隔对应的源IP地址熵；将IP流平均长度、IP包流入流出比增长速率以及源IP地址熵，作为一个样本特征向量，获得训练样本集；将样本特征向量输入预训练的分类模型进行模型训练，获得分类结果；若训练结果包括异常流量，则判定异常流量对应的样本特征向量为分布式拒绝服务DDoS攻击流量。本发明还公开了一种DDoS攻击检测装置、设备及计算机程序产品。本发明通过采用与流量大小不相关的样本特征向量作为训练数据，能够避免流量大小的变化对检测结果影响，进而降低对检测结果的误判，提高了DDoS攻击检测的准确率。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种DDoS攻击检测方法、装置、设备及计算机可读存储介质。

背景技术

随着计算机网络技术的快速发展，网络攻击破坏行为也日益增加。其中，DDoS(Distributed Denial of Service，分布式拒绝服务)攻击破坏力惊人、影响巨大，是一种严重威胁网络安全攻击手段。DDoS攻击通常是利用僵尸网络对受害者发送大量的服务请求，造成受害者资源大量消耗，从而无法及时响应合法用户的请求，甚至完全瘫痪。随着网络技术的发展，DDoS攻击流量的也在不断增大，使其越来越难以检测。

目前，DDoS攻击的检测方式主要是人工智能检测方式，通过构造关于DDoS攻击指标的特征向量，训练分类器，最后通过训练好的分类器对流量进行识别，分辨出正常流量和DDoS攻击流量。但是，由于人工智能检测方式中特征向量的特征值都依赖于流量大小，流量大小的变化对检测结果影响较大进而可能对检测结果造成误判，造成DDoS攻击检测的准确率较低。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供一种DDoS攻击检测方法、装置、设备及计算机可读存储介质，旨在解决现有DDoS攻击检测的准确率较低的技术问题。

为实现上述目的，本发明提供一种DDoS攻击检测方法，所述DDoS攻击检测方法包括以下步骤：

获取多个采样间隔对应的IP流平均长度，获取各个采样间隔对应的IP包流入流出比增长速率，以及获取各个采样间隔对应的源IP地址熵；

将每一个采样间隔对应的IP流平均长度、IP包流入流出比增长速率以及源IP地址熵，作为一个样本特征向量，获得训练样本集；

将训练样本集中的样本特征向量输入预训练的分类模型进行模型训练，获得各个样本特征向量对应的分类结果；

若训练结果包括异常流量，则判定异常流量对应的样本特征向量为分布式拒绝服务DDoS攻击流量。

进一步地，所述获取多个采样间隔对应的IP流平均长度的步骤包括：

获取每一个采样间隔内IP流的第一数量以及IP流所包括IP包的总个数，其中，所述IP流为具有相同五元组的报文集合；

基于所述第一数量以及所述总个数，分别确定每一个采样间隔对应的IP流平均长度。

进一步地，获取各个采样间隔对应的IP包流入流出比增长速率的步骤包括：

获取每一个采样间隔的第一IP包流入流出比，以及每一个采样间隔的前一采样间隔的第二IP包流入流出比；

基于所述第一IP包流入流出比以及所述第二IP包流入流出比，分别确定每一个采样间隔对应的IP包流入流出比增长速率。

进一步地，所述获取每一个采样间隔的第一IP包流入流出比的步骤包括：

获取每一个采样间隔内IP包的流入数量以及流出数量；