[发明专利]分布式拒绝服务攻击的检测方法和系统

权利要求书

1.一种分布式拒绝服务攻击的检测方法，其特征在于，包括：

提取目的端相同的OD流的异常空间序列；所述提取目的端相同的OD 流的异常空间序列包括：依照预先建立的时间序列模型对各OD流下一时刻 的流量进行预测；将预测值与实际值的差值确定为可能包含攻击的异常空间 序列，并进行提取；

计算所述目的端相同的各OD流的异常空间序列之间的相关系数；所述 计算所述目的端相同的各OD流的异常空间序列之间的相关系数包括：计算 任意两条OD流异常空间序列的相关系数；计算所述相关系数的平均值，将 其确定为所述目的端相同的各OD流的异常空间序列之间的相关系数；

依据所述相关系数计算全局相关系数，所述全局相关系数由以不同节点 为目的端的OD流异常空间序列的相关系数组成；

当所述全局相关系数大于预设报警门限时，确认发生攻击，进行报警； 所述报警门限的预设方式为：选择一个历史时间段的全局相关系数的分布情 况设置报警门限。

2.如权利要求1所述的检测方法，其特征在于，计算任意两条OD流之 间的相关系数包括：

设置两个滑动时窗w₁和w₂，分别对应OD流异常空间序列O_id和O_jd，所 述滑动时窗w₁以时刻t为起始点，截取O_id中长度为w₁的子段作为一个向量 V_id(t，w1)；所述滑动时窗w₂以时刻t_j为起始点，截取O_jd中长度为w₁的子段作为 另一个向量V_jd(t_j，w1)；

O_jd中t_j每滑动一次，即可根据预设公式计算得出一个相关系数，确定多 个相关系数中数值最大的相关系数为上述O_id和O_jd的相关系数。

3.如权利要求1所述的检测方法，其特征在于，计算所述目的端相同的 各OD流的异常空间序列之间的相关系数包括：通过K-L变换计算所述目的 端相同的各OD流的异常空间序列之间的相关系数。

4.如权利要求1或2所述的检测方法，其特征在于，所述报警门限符合 一个预设历史时间段的全局相关系数分布情况，该报警门限＝m+α×δ，其 中，α为预设门限系数，m为所述预设历史时间段的全局相关系数的均值，δ 为标准差。

5.一种分布式拒绝服务攻击的检测系统，其特征在于，包括：

设置在网络各个局部节点中的异常空间序列提取单元和第一计算单元， 及设置在网络中心节点中的信息获取单元、第二计算单元和信息处理单元；

所述异常空间序列提取单元，用于提取以所在节点为目的端的各OD流 的异常空间序列；所述异常空间序列提取单元包括：第一处理单元，用于依 照预先建立的时间序列模型对各OD流下一时刻的流量进行预测，得到预测 值；第二处理单元，用于将所述预测值与实际值的差值确定为可能包含攻击 的异常空间序列，并进行提取；

所述第一计算单元，用于计算所述各OD流的异常空间序列之间的相关 系数；所述第一计算单元包括：第一计算子单元，用于计算任意两条OD流 异常空间序列的相关系数；第二计算子单元，计算所述相关系数的平均值， 将其确定为所述目的端相同的各OD流的异常空间序列之间的相关系数；

所述信息获取单元，用于获取各第一计算单元计算得出的相关系数；

所述第二计算单元，用于依据所述信息获取单元获取的相关系数，计算 全局相关系数，所述全局相关系数由以不同节点为目的端的OD流异常空间 序列的相关系数组成；

所述信息处理单元，用于获取所述第二计算单元的计算结果，将其与预 设报警门限进行比较，并当计算结果大于所述报警门限时，确认发生攻击， 进行报警；所述报警门限的预设方式为：在选择一个历史时间段的相关系数 的分布情况设置报警门限。