[发明专利]用于检测网络攻击的方法和装置

权利要求书

1.一种用于检测网络攻击的方法，其特征在于，所述方法包括：

确定目标机房的流量特征信息；

根据所述流量特征信息，确定所述目标机房是否受到网络攻击；

响应于确定所述目标机房受到网络攻击，获取所述目标机房接收到的数据请求的请求特征信息；

根据所获取的请求特征信息，确定所述网络攻击的攻击源信息和/或攻击目标信息。

2.根据权利要求1所述的方法，其特征在于，所述请求特征信息包括以下至少一项：所述数据请求发自的源网际协议地址、所述数据请求发至的目的网际协议地址、传输所述数据请求所利用的传输协议的协议类型。

3.根据权利要求2所述的方法，其特征在于，所述根据所获取的请求特征信息，确定所述网络攻击的攻击源信息和/或攻击目标信息，包括：

对于所获取的至少一个源网际协议地址中的每个源网际协议地址，确定所述目标机房接收到的、发自该源网际协议地址的数据请求所产生的第一流量；根据所确定的第一流量，确定该源网际协议地址是否是所述攻击源信息。

4.根据权利要求3所述的方法，其特征在于，所述根据所确定的第一流量，确定该源网际协议地址是否是所述攻击源信息，还包括：

对于所获取的至少一个源网际协议地址中的每个源网际协议地址，在所述目标机房接收到的、发自该源网际协议地址的数据请求的请求特征信息中，查找预设协议类型；确定利用查找到的预设协议类型的传输协议传输的数据请求所产生的第二流量是否大于预设第二流量阈值；响应于确定所述第二流量大于预设第二流量阈值，确定该源网际协议地址为攻击源信息。

5.根据权利要求4所述的方法，其特征在于，所述根据所获取的请求特征信息，确定所述网络攻击的攻击源信息和/或攻击目标信息，还包括：

对于所获取的至少一个源网际协议地址中的每个源网际协议地址，响应于确定该源网际协议地址为攻击源信息，获取所述目标机房接收到的、发自该源网际协议地址的数据请求的请求特征信息中的至少一个目的网际协议地址；对于所述至少一个目的网际协议地址中的每个目的网际协议地址，确定发至该目的网际协议地址的数据请求所产生的第三流量是否大于预设第三流量阈值；响应于确定所述第三流量大于预设第三流量阈值，确定该目的网际协议地址为攻击目标信息。

6.根据权利要求1-5中任一项所述的方法，其特征在于，所述流量特征信息包括以下至少一项：当前流量值、预定历史时刻的流量值、当前时刻之前的预定时间段内的流量平均值，所述目标机房内设置有交换机；以及

所述确定目标机房的流量特征信息，包括：

通过所述目标机房内设置的交换机的计数信息，确定所述目标机房的流量信息，其中，所述流量信息包括采集时间和流量值；

根据所确定的流量信息，确定所述流量特征信息。

7.根据权利要求6所述的方法，其特征在于，所述根据所述流量特征信息，确定所述目标机房是否受到网络攻击，包括：

将所述流量特征信息导入预先建立的流量异常检测模型，得到用于指示所述目标机房是否受到网络攻击的指示信息，其中，所述流量异常检测模型用于表征流量特征信息和指示信息之间的对应关系。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括建立流量异常检测模型的步骤，其中，所述建立流量异常检测模型的步骤包括：

获取已知指示信息的所述目标机房的流量特征信息；

利用机器学习算法，基于所获取的流量特征信息及对应的指示信息，训练初始模型得到所述流量异常检测模型。

9.一种用于检测网络攻击的装置，其特征在于，所述装置包括：

流量特征信息确定单元，用于确定目标机房的流量特征信息；

网络攻击确定单元，用于根据所述流量特征信息，确定所述目标机房是否受到网络攻击；

获取单元，用于响应于确定所述目标机房受到网络攻击，获取所述目标机房接收到的数据请求的请求特征信息；

攻击信息确定单元，用于根据所获取的请求特征信息，确定所述网络攻击的攻击源信息和/或攻击目标信息。