[发明专利]一种DDoS检测方法

摘要

本发明提供一种DDoS检测方法，涉及网络入侵检测领域，针对当前DDoS攻击流量巨大的特征以及UDP数据流的放大攻击，区分传统更关注在TCP的DDoS检测，利用了当前Spark Streaming技术，在云平台对流采样得到的时间序列流应用多测度因子快速并行化分析，给出DDoS攻击的指标。本发明基于当前流采样的异常检测方法，还基于业务动态和先进技术，具低时延检测的特性，能够有效检测当前反射放大型攻击，并且能够检测新型DDoS。与现有技术相比，本发明提供的基于流采样的DDoS检测方法具有以下有益效果可扩展的云端检测框架；基于Spark Streaming的实时低时延检测；能够适应性检测当前新浮现的DDoS攻击类型；有效检测当前反射放大型攻击。

主权项

一种DDoS检测方法，其特征在于，包括以下步骤：步骤1、通过Apache Kafka进行实时多源的NetFlow/IPFix数据采集；步骤2、通过Spark Streaming进行实时低延迟的DDoS检测；步骤3、通过Spark Streaming输出DDoS攻击数据到MemSQL；步骤4、通过Spark Streaming输出统计和报告；其中，Spark Streaming被配置为同时支持多个测度因子，且每个所述测度因子都有自己的阈值用于预警DDoS，每个所述测度因子的所述阈值被配置为通过机器学习进行反馈调整。