[发明专利]针对DDoS攻击的实时可视化检测方法

说明书

技术领域

本发明属于网络安全可视化领域。提供一种实时可视化检测方法。

背景技术

DDoS是一种基于DoS的特殊形式的拒绝服务攻击。是一种分布、协作的大规模攻击方式。主要目标是比较大的站点，如企业网站、搜索引擎和政府部门的站点。基本的DoS攻击只要一台能连接Internet的单机就可实现，DDoS攻击则是利用一批受控制的机器向一台机器发起攻击，具有较大的破坏性。

信息可视化技术是在现代信息处理平台的基础上，根据用户对信息的需要，利用适当的可视化符号表示各种信息和信息内外部的关系，使人们更方便、迅速地与信息源进行交互，发现隐藏在信息中的各类知识。信息的种类不同、信息应用领域的复杂性以及用户的不同需求的多样性，导致人们研究开发了大量形式各异的可视化技术。

网络安全可视化要处理的往往是高维、无结构化的多变量数据，同时这些数据具有规模大、非数值型等特点；在数据的关联关系上面临着关系隐式化、时间依赖性强、类型多等困难；在绘制方面也没有统一的显示模型。在网络安全信息可视化技术中已经取得了初步成果，首先，在显示方式和绘制方法方面，提出了利用散点图(Scatterplot)、颜色映射(Color Map)、图元(Glyphs)、平行轴坐标(Parallel Coordinate)、自组织映射(Self-Organizing Maps)等方式进行网络和系统监控、异常检测、入侵发现、模式的分析及报警。但是在以往的研究开发的工具模型中，网络安全可视化的模型中，图像的生成没有使用GPU加速，因此生成速度比较慢，而且占用大量的CPU时间，使得系统模型反映缓慢，对于实时的网络安全系统产生很大的影响。

发明内容

有鉴于此，本发明的目的是克服现有技术的上述不足，提供一种实时可视化检测方法，该种检测方法，利用GPU加速可视化处理，能够减轻CPU的负担，能高效的分析并显示网络数据，从而使用户能够发现DDoS攻击前期所存在的主机扫描，端口扫描和正在进行的DDoS攻击。本发明采用如下的技术方案：

一种基于网络数据可视化的DDos攻击的检测方法，包括下列步骤：

第一步：从原始数据中提取源IP地址，目的IP地址，目的端口号，数据报接收时间作为可视化模型的四个维度；

第二步：创建显示模型，把源IP地址映射到x轴，目的IP地址映射到z轴，目的端口号映射到y轴，并对三个数据进行标准化，转换到同一个值域中，对于每一个网络数据，在三维场景中创建一个包围盒，利用场景图来组织场景中的所有元素；

第三步：设置八叉树包围盒的空间大小，建立和生成该场景的八叉树结构；

第四步：利用八叉树结构，通过平截头体与包围盒的相交检验，进行场景显示粒子节点的剔除，并利用GPU对处于平截头体内的节点进行渲染显示；

第五步：通过交互操作检测是否受到DDoS攻击。

其中的第二步中，对三个数据进行如下的标准化处理：

源IP地址在x轴上对应的位置的计算公式：sIP.val/sIP.maxval*lengthX，其中，sIP.val为将要显示的源IP地址转换成的十进制数值；sIP.maxval为32位IP转换成十进制后的数值，即，将255.255.255.255转换成十进制后的数值：2^32-1；lengthX为场景的X轴长度；

目的端口号在y轴上对应的位置的计算公式：dPort.val/dPort.maxval*lengthY，其中，dPort.val为当前端口号，dPort.maxval为最大端口号，即65535，lengthY：场景的Y轴长度；

目的IP地址在x轴上对应的位置的计算公式：dIP.val/dIp.maxval*lengthZ，其中，dIP.val为将要显示的目的IP地址转换成的十进制数值，dIP.maxval为32位IP转换成十进制后的数值，即将255.255.255.255转换成十进制后的数值：2^32-1，lengthZ为场景的Z轴长度。

按下列步骤对场景进行查询：

(1)从八叉树根开始，获取该树的包围盒，并将其与查询用包围盒进行相交计算；

(2)如果查询用包围盒完全包含该树的包围盒，则递归到所有子树，把子树所包含的场景节点添加到查询结果列表；

(3)如果查询用包围盒部分相交该树的包围盒，则对该树的每一个子树进行递归判断。

按下列步骤添加八叉树的节点：

(1)获取要添加入场景的节点的包围盒；

(2)从八叉树根开始，获取该树的包围盒；