[发明专利]一种洪水类DoS攻击行为的检测方法、系统及相关组件

说明书

本申请公开了一种洪水类DoS攻击行为的检测方法，所述检测方法包括生成目标时间段的内网主机流量对应的网络流量集合；判断所述网络流量集合的连接频率是否大于第一预设值；若是，则根据所述网络流量集合的流量特征获取差异性数据；判断所述差异性数据内的所有流量之间的相似度是否大于第二预设值；若是，则判定检测到洪水类DoS攻击行为。本方法能够降低对于训练集的依赖并提升洪水类DoS检测的准确率。本申请还公开了一种洪水类DoS攻击行为的检测系统、一种计算机可读存储介质及一种洪水类DoS攻击行为的检测装置，具有以上有益效果。

技术领域

本发明涉及网络安全技术领域，特别涉及一种洪水类DoS攻击行为的检测方法、系统、一种计算机可读存储介质及一种洪水类DoS攻击行为的检测装置。

背景技术

DoS(Denial of Service，拒绝服务)是一种造成DoS的攻击行为，其目的是使计算机或网络无法提供正常的服务。对防御者而言，给攻击者留的时间越长，其计算机或者网络服务被宕机的可能性就越大。

DoS攻击的目的通常是使攻击对象(某台计算机或者网络)无法提供正常的服务。常见的DoS攻击方式有计算机网络带宽攻击和连通性攻击两种类型。带宽攻击主要用极大的通信量冲击网络，以此消耗网络资源，最后导致网络不可用。DoS攻击有许多种类，主要有Land类DoS攻击、Smurf类DoS攻击及洪水类DoS攻击等。洪水式DoS攻击通过大量的连接请求冲击计算机，消耗完计算机的可用操作系统，从而导致计算机无法正常响应用户的请求，对主机与网络危害极大。

现有技术中，主要依靠将包含DoS流量的网络流量作为训练集，利用机器学习的方式得到关于检测DoS流量的检测模型，对主机流量进行检测，如基于熵和DBSCAN的检测方案、基于PCA+DBSCAN+HMM的检测方案等。例如，基于PCA+DBSCAN+HMM的检测方案为：统计包含DoS流量的固定时间窗口内流量作为训练集，提取8个基础特征，形成对应的特征向量。然后采用PCA将特征向量降维。然后利用DBSCAN聚类，得到每条流量的所属类别。最后构造HMM模型，显示层序列：各数据包的PCA特征，隐层序列：各数据包的DBSCAN分类。再面对新的数据，直接将特征作为已知条件，套入到HMM模型，求解分类结果。得到最终每条流量的结果。该方案得到每条流量是否为DoS，忽略了DoS的其他特点。由于上述这种通过训练检测模型来检测DoS行为的方法中训练集能够提供的特征十分有限，会造成对于训练机的依赖程度高、误报率较高的问题。

因此，如何降低对于训练集的依赖并提升洪水类DoS检测的准确率是本领域技术人员目前需要解决的技术问题。

发明内容

本申请的目的是提供一种洪水类DoS攻击行为的检测方法、系统、一种计算机可读存储介质及一种洪水类DoS攻击行为的检测装置，能够降低对于训练集的依赖并提升洪水类DoS检测的准确率。

为解决上述技术问题，本申请提供一种洪水类DoS攻击行为的检测方法，该检测方法包括：

生成目标时间段的内网主机流量对应的网络流量集合；

判断所述网络流量集合的连接频率是否大于第一预设值；

若是，则根据所述网络流量集合的流量特征获取差异性数据；

判断所述差异性数据内的所有流量之间的相似度是否大于第二预设值；若是，则判定检测到洪水类DoS攻击行为。

可选的，判断所述差异性数据内的所有流量之间的相似度是否大于第二预设值；若是，则判定检测到洪水类DoS攻击行为包括：

剔除所述差异性数据中的离群点得到待聚类数据；

对所述待聚类数据执行聚类操作得到DoS聚类结果；

判断所述DoS聚类结果内的所有流量之间的相似度是否大于所述第二预设值；