[发明专利]一种基于多维Renyi交叉熵的DDoS攻击检测系统

说明书

技术领域

本发明涉及云计算中异常流量检测领域，更具体地，涉及一种基于多维Renyi交叉熵的DDoS攻击检测系统。

背景技术

随着云计算的飞速发展，云服务需求越来越大，各类业务越来越复杂，用户对服务质量的要求越来越高。现有的云计算平台的服务能力和可扩展能力已经不能满足日益发展的需求：传统的云计算架构采用二元模型造成了性能瓶颈。云产业发展急需研究者研发新的云计算服务架构模型，以促进云计算技术演化，为云计算服务提供有效的技术支撑。因此出现了多层云架构的概念。

多层云架构通过把整个云的控制面、数据面、服务面的设计适当分离和有机融合，实现中央资源与规则控制的统一性和本地用户服务与互动的灵活性的要求，支持计算、数据、传输和存储资源的优化配置。现在已经在很多地方得到了实际的应用。因此保障多层云的安全也显得日益重要。

多层云架构中，由大云进行全局视图的管理与监测，同时管理数据内容的索引，中云包括位于不同区域的服务器群和数据中心，负责数据的存储及区域常用数据的高速缓存，小云是可自动化部署，落地到用户周边直接服务用户的云，既可支持传统云的数据、应用、资源分享以及用户数据采集与存储等服务，也可提供离线模式下高性能虚拟桌面或容器、高并发高数据量业务。

发明内容

本发明提供一种高效的多层云下基于多维Renyi交叉熵的DDoS攻击检测系统。

为了达到上述技术效果，本发明的技术方案如下：

一种基于多维Renyi交叉熵的DDoS攻击检测系统，包括：

流表分析模块：收集网络中用户的各种流量特征信息并对其进行汇总，并以固定时间将其发送给攻击检测模块，所述流表分析模块部署在小云之上，小云作为多层云的边缘节点，是直接为用户提供服务的云；

攻击检测模块：攻击检测模块通过接收的流表分析模块送来的流量特征，根据Renyi交叉熵依次计算对应特征属性的Renyi交叉熵，以判断当前时间窗口中的流量信息是否有异常，若发现该流量窗口内网络遭受到了攻击，则将相应信息发送给攻击溯源模块；

攻击溯源模块：攻击检测溯源模块根据攻击检测模块提供的信息寻找出所有攻击源，所述攻击检测模块和攻击溯源模块部署在中云之上，中云由服务器集群或者数据中心组成，主要负责数据的存储以及常用数据的高速缓存；

攻击缓解模块：攻击缓解模块根据攻击溯源模块发送的信息以及它对整个多层云的清晰了解，制定相应的攻击缓解策略，并将该策略发送给中云和小云，所述攻击缓解模块部署在大云之上，大云作为整个多层云的管理核心负责对多层云进行监控和管理。

进一步地，所述流表分析模块将提取用户的多个流量特征分别是源IP地址、目的IP地址、源端口、目的端口、IP协议的类型以及用户ID。

进一步地，所述攻击检测模块计算基于源IP地址的Renyi交叉熵的过程是：

当小云中的网络出现异常时，小云中基于源IP地址的Renyi交叉熵也会出现相应的变化：

设当前窗口为W_t，当前窗口的前一个窗口为W_t-1，设当前窗口内源IP地址分布其中表示当前窗口内出现的源IP地址，表示该IP地址在当前窗口出现的概率，的定义如下：

代表源ip_n地址在当前窗口W_t内出现的次数，Count(packs_t)代表当前窗口内数据包的个数；

当前窗口的前一个窗口的源IP地址分布:

此时当前窗口内的源IP地址与前一个窗口内的源IP地址的Renyi交叉熵表示为：

通过判断I_0.5(G_t,G_t-1)与预设的Renyi交叉熵β来判断当前网络的状态：

若I_0.5(G_t,G_t-1)＞β则表示两个相邻的流量窗口内，源IP地址的概率分布变化很大，超过了特定阈值β，网络的源IP地址的概率分布是异常的；

若I_0.5(G_t,G_t-1)＜β则表示两个相邻的流量窗口内，源IP地址的概率分布变化不大，网络的源IP地址的概率分布是正常的。

进一步地，所述攻击检测模块计算基于目的IP地址的Renyi交叉熵的过程是：

当小云中的网络出现异常时，小云中基于源IP地址的Renyi交叉熵也会出现相应的变化：