[发明专利]一种基于模糊推理的分布式拒绝服务网络攻击检测方法和系统

摘要

本发明提供一种基于模糊推理的分布式拒绝服务网络攻击检测方法和系统，系统包络网络数据包采集模块、报文格式识别模块、模糊推理模块和报警模块；其中网络数据采集模块、报文格式识别模块先后串联，报文格式识别模块传递出流量属性信息给模糊推理模块和报警模块，模糊推理模块传递出推理结果给报警模块，本发明解决了分布式网络攻击流量识别、预警问题，通过使用本发明可以结合网络流量特征定义模糊推理中的知识库，有效提高了分布式网络攻击的识别率，降低了分布式网络攻击的虚警率。

主权项

1.一种基于模糊推理的分布式拒绝服务网络攻击检测方法，包括以下步骤：步骤1：获取网络数据包；步骤2：对获取到的网络数据进行识别；步骤3：用已知的分布式拒绝服务网络攻击特征规则匹配网络数据，如果匹配进行报警，不匹配则对数据包速率、数据包速率增速、IP地址数量、IP地址增速参数进行提取；步骤4：对数据包速率、数据包速率增速、IP地址数量、IP地址增速参数进行模糊化；步骤5：根据知识库和规则库对输入进行模糊推理；步骤6：对推理结果进行去模糊化；步骤7：根据推理结果选择是否告警；其特征在于，所述步骤1中，从网络中通过以下两种方式采集网络数据包：1)采用网络嗅探方式获取网络数据包，所述嗅探方式是指将网络设备的网卡设置为混杂模式，通过调用网络截包工具来捕获所在线路的网络数据包；2)通过网络端口镜像功能获取网络数据包，所述端口镜像方式是指将将网络设备的采集端口映射到另一端口，数据实现实时拷贝，从而实现数据包采集；所述步骤2和步骤3具体包括以下步骤：1)可配置过滤网络数据包的源和目的地址的ip、端口、协议，默认不进行过滤；2)用报文格式库已知的传输协议匹配捕获的网络数据包格式，得到识别结果；3)对初始化时参数设置的网络数据包进行速率、速率增速计算以及IP地址数量、增速计算；4)提取计算得到的参数。