[发明专利]一种基于信息干扰的DDoS攻击中僵尸主机检测方法

摘要

本发明公开了一种基于信息干扰的DDoS攻击中僵尸主机检测方法，包括以下步骤：S1、对于每一个待选特征，采用一个均值、方差和最大容许值的三元组表示；S2、选择出符合要求的待选特征；S3、构造干扰报文，同时计算干扰报文的发送速率；S4、统计待检测主机在所有特征上的用户流量均值，比较每个特征的用户流量均值与所有用户流量均值之间的差值，判断该差值的绝对值是否大于或等于预设阈值，若所有特征均满足条件则判定待检测主机为僵尸主机，否则判定为正常主机。本发明提供了一种先干扰后检测的思路，能有效地检测出具有一定学习能力的僵尸主机，弥补了对于具有一定学习能力的DDoS攻击机制检测方面的不足，为检测更加先进和巧妙的DDoS攻击提供了思路。

主权项

1.一种基于信息干扰的DDoS攻击中僵尸主机检测方法，其特征在于，包括以下步骤：S1、分析和统计网络中正常流量在各待选特征上的均值和方差，分析得到各待选特征的最大容许值；对于每一个待选特征，采用一个均值、方差和最大容许值的三元组表示；并将各个待选特征组成一个待选特征集合；S2、根据待检测主机所在网络的最大带宽、待检测主机所在网络当前流量以及可容许的最大错检率从待选特征集合中选择出符合要求的待选特征；S3、计算步骤S2中选择出的每一个待选特征在其均值基础上所需的偏移值，并得到各待选特征的设定值以此来构造干扰报文，同时计算干扰报文的发送速率；S4、向待检测主机发送干扰流量，统计待检测主机在所有特征上的用户流量均值，比较每个特征的用户流量均值与所有用户流量均值之间的差值，判断该差值的绝对值是否大于或等于预设阈值，若所有特征均满足条件则判定待检测主机为僵尸主机，否则判定待检测主机为正常主机。