[发明专利]基于概要矩阵的分布式拒绝服务攻击检测方法及系统

摘要

本发明公开了一种基于概要矩阵的分布式拒绝服务攻击检测方法及系统，方法如下：1）部署检测节点；2）数据采集：检测节点采集网络流量，根据连续的采样间隔内采集数据中的所有目的IP地址更新的两个连续概要矩阵；3）局部检测：根据两个连续概要矩阵获取可疑IP地址；4）局部信息融合：检测节点将可疑IP地址逐跳融合并发送给路由树的根节点；5）全局决策：路由树的根节点进行全局决策确定受分布式拒绝服务攻击的IP地址；系统包括协同工作的多个检测节点，检测节点包括数据采集模块、局部检测模块、局部信息融合模块和全局决策模块。本发明具有识别准确率高、漏报率低、检测迅速及时、节约资源、可扩展性好的优点。

主权项

一种基于概要矩阵的分布式拒绝服务攻击检测方法，其特征在于实施步骤如下：1）部署检测节点：在网络中部署分散的多个检测节点，并在所述检测节点中构建两个概要矩阵，所述概要矩阵由对应多种哈希函数的哈希表构成，所述哈希表包含多个用于存储目的IP地址概要信息的存储位置；2）数据采集：检测节点采集网络流量，根据采样间隔内采集数据中的所有目的IP地址更新一个概要矩阵中的IP地址概要信息，然后根据下一个采样间隔内采集数据中的所有目的IP地址更新另一个概要矩阵中的IP地址概要信息；3）局部检测：检测节点获取同一IP地址概要信息在所述两个概要矩阵之间的变化比例，将其中变化比例超过预设阈值的IP地址概要信息作为可疑IP地址概要信息并获取对应的可疑IP地址；4）局部信息融合：检测节点根据可疑IP地址生成路由树并初始化报警次数，路由树的每一个中间检测节点接收上一跳检测节点共享的报警次数和可疑IP地址及其概要信息，将报警次数加1、将可疑IP地址及其概要信息和局部检测输出的可疑IP地址及其概要信息进行求和融合，获取融合后概要信息在连续的两个采样间隔内的变化比例超过预设阈值的可疑IP地址及其概要信息，并将报警次数和所述可疑IP地址及其概要信息共享给下一跳检测节点；5）全局决策：路由树的根节点根据收到的报警次数和可疑IP地址及其概要信息进行全局决策确定受分布式拒绝服务攻击的IP地址。