[发明专利]一种基于DPI的DDoS攻击识别方法及装置

说明书

本发明涉及计算机网络安全技术领域，公开了一种基于DPI的DDoS攻击识别方法，包括以下步骤：(1)对原始的业务流量进行DPI业务特征识别并形成流信息；(2)DDoS攻击检测系统对输入的流信息进行解析并标记；(3)提取单位时间内相关数据信息；(4)对步骤(3)中提取的数据信息进行判定；该技术通过对DPI流信息的进一步解析，获取流信息的业务类型标记，进行主机DDoS攻击识别，在提高DDoS攻击识别准确度和及时性的同时，还可以识别出具体DDoS攻击的业务类型，为实现业务差异化的攻击防护提供基础。

技术领域

本发明涉及计算机网络安全领域技术领域，具体涉及一种基于DPI的DDoS 攻击识别方法及装置。

背景技术

分布式拒绝服务(简称DDoS)攻击指借助于客户/服务器技术，使用大量计算机作为攻击平台，对一个或多个目标主机发动流量攻击，例如利用IDC服务器、手机、智能设备、打印机等对目标发起大量攻击请求，占用目标主机资源，使攻击的目标无法正常使用，其特征表现为攻击的发出点分布在不同地方。目前识别技术方案有：1、基于NetFlow的攻击识别，根据单位时间内流量是否超出设置的阈值来判断主机是否发生DDoS攻击；2、清洗原始流量，依据单位时间内网络流量或者报文数超出设定的阈值来判断是否发生DDoS攻击。无论是基于NetFlow的攻击识别技术，还是清洗原始流量的攻击识别技术，仅分析 IP包的4层内容，包含源地址、目的地之、源端口、目的端口以及协议类型，没有分析应用层及以下的数据内容，不能够直接识别出流量的业务类型，从而不能细化到被攻击主机上具体哪种业务受到DDoS攻击。

发明内容

针对现有技术存在的不足，本发明的目的在于提供一种基于DPI的DDoS 攻击识别方法。

为了实现上述目的，本发明的第一方面，提供如下技术方案：

一种基于DPI的DDoS攻击识别方法，包括以下步骤：(1)对原始的业务流量进行DPI业务特征识别并形成流信息；(2)DDoS攻击检测系统对输入的流信息进行解析并标记；(3)提取单位时间内相关数据信息；(4)对步骤(3) 中提取的数据信息进行判定。

在本发明中，优选的，所述步骤(1)中由DPI设备对原始的业务流量进行 DPI业务特征识别，并形成DPI流信息将其输入到DDoS攻击检测系统。

在本发明中，优选的，所述原始的业务流量来自于与DPI设备连接的 CMNET骨干网的路由节点。

在本发明中，优选的，所述DPI业务特征识别是在普通报文解析的四层内容基础上增加了应用层分析，识别各种应用以及数据内容。

在本发明中，优选的，所述步骤(2)中，所述DDoS攻击检测系统对输入的流信息解析获取每条流信息的五元组信息、流报文数、流字节数、流方向信息。

在本发明中，优选的，所述步骤(3)中，所述DDoS攻击检测系统对解析的信息标记业务或协议类型。

在本发明中，优选的，所述步骤(3)中，所述DDoS攻击检测系统依据步骤(2)中标记的流信息，提取单位时间内主机各个业务下不同流量类型的字节数、报文数、并发连接数等数据信息。

在本发明中，优选的，所述步骤(4)中，所述DDoS攻击检测系统从阈值、历史数据、流量变化趋势等指标对步骤(3)中边际的数据信息进行判定。

在本发明中，优选的，所述步骤(4)中，通过判定可以检测出主机的特定业务是否发生DDoS攻击。

本发明的第二方面，提供了一种基于DPI的DDoS攻击识别装置，所述装置包括存储器、处理器、和存储在存储器上并可在处理器上运行的计算机程序，该处理器执行该计算机程序时实现如上所述的基于DPI的DDoS攻击识别方法。

与现有技术相比，本发明的有益效果是：