CN108322463A - DDoS攻击检测方法、装置、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种DDoS攻击检测方法、装置、计算机设备和存储介质。所述方法包括：获取当前时间段内的数据访问请求；统计获取到数据访问请求的访问请求数量；当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量；将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDoS输出的检测结果。采用本方法能够通过两次检测的配合，整体提高了对DDoS攻击访问请求的检测准确率。

Description

DDoS攻击检测方法、装置、计算机设备和存储介质

技术领域

本申请涉及网络数据处理技术领域，特别是涉及一种DDoS攻击检测方法、装置、计算机设备和存储介质。

背景技术

随着网络技术的发展，各种网络安全方面的问题也不断的凸显出来。一些网站容易受到DDoS攻击，DDoS攻击很容易导致网站瘫痪。尤其是对于一些比较重要网站，若受到DDoS攻击导致网站瘫痪，容易造成不可预估的损失。

然而，目前的对于DDoS攻击也有一些网络安全方面的检测，这些检测一般都是通过人工预设检测方式来检测访问请求是否为DDoS攻击的访问请求。随着网络安全的需求越来越高，DDoS攻击访问请求也越来越多，人工预设的检测方式对DDoS攻击访问请求的检测准确率较低。

发明内容

基于此，有必要针对上述技术问题，提供一种能够提高DDoS攻击访问请求的检测准确率的DDoS攻击检测方法、装置、计算机设备和存储介质。

一种DDoS攻击检测方法，所述方法包括：

获取当前时间段内的数据访问请求；

统计获取到数据访问请求的访问请求数量；

当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；

根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量；

将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDoS输出的检测结果。

其中一个实施例中，所述当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段，包括：

当统计的访问请求数量高于预设请求数量阈值时，获取特征字段表；

在获取到的数据访问请求中，提取与获取到的特征字段表中字段标识对应的特征字段。

其中一个实施例中，所述根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量，包括：

识别提取到的特征字段的字段类型；

根据识别到的字段类型所对应的数值确定方式，确定所述提取到的特征字段对应的数值；

根据所述提取到的特征字段对应的数值，确定所述获取到的数据访问请求对应的访问请求特征向量。

其中一个实施例中，所述将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDOS输出的检测结果之后，还包括：

根据所述检测结果确定DDoS攻击类型对应的数据访问请求；

以确定的DDoS攻击请求类型对应的数据访问请求作为训练样本数据，重新训练DDoS攻击检测模型；

将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型。

其中一个实施例中，所述根据所述检测结果确定DDoS攻击类型对应的数据访问请求，包括：

根据所述检测结果统计DDoS攻击访问请求的攻击请求数量；

当统计到的攻击请求数量大于预设攻击请求阈值时，根据所述检测结果按照DDoS攻击请求类型对所述DDoS攻击访问请求进行分类。

其中一个实施例中，所述预先训练好的DDoS攻击检测模型生成过程包括：

获取模型训练指令；

根据所述模型训练指令调用DDoS攻击程序批量产生DDoS攻击访问请求；

以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型。

其中一个实施例中，所述以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型，包括：

将批量产生的DDoS攻击访问请求按照DDoS攻击请求类型进行分类，得到各DDoS攻击请求类型对应的DDoS攻击访问请求；

以分类后的DDoS攻击访问请求作为输入，且以所述分类后的DDoS攻击访问请求对应的DDoS攻击请求类型作为输出，进行训练得到预先训练好的DDoS攻击检测模型。

一种DDoS攻击检测装置，所述装置包括：

访问请求获取模块，用于获取当前时间段内的数据访问请求；

请求数量统计模块，用于统计获取到数据访问请求的访问请求数量；

特征字段提取模块，用于当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；

特征向量生成模块，用于根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量；

检测结果获取模块，用于将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDoS输出的检测结果。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取当前时间段内的数据访问请求；

统计获取到数据访问请求的访问请求数量；

当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；

根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量；

将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDoS输出的检测结果。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取当前时间段内的数据访问请求；

统计获取到数据访问请求的访问请求数量；

当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；

根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量；

将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDoS输出的检测结果。

上述DDoS攻击检测方法、装置、计算机设备和存储介质，将统计到当前时间段内的数据访问请求的访问请求数量与预设请求数量阈值进行比较，进行第一次检测。当统计到的访问请求数量高于预设请求数量阈值时，预判定可能受到DDoS攻击，需要进行第二次检测，即提取获取到的数据访问请求中的特征字段，根据特征字段生成获取到的数据访问请求对应的特征向量，将特征向量输入到预先训练好的DDoS攻击检测模型进行检测，得到检测结果。第二次检测中利用预先训练好的DDoS攻击检测模型对访问请求进行检测，提高了第二次检测的准确性。通过两次检测的配合，整体提高了对DDoS攻击访问请求的检测准确率。

附图说明

图1为一个实施例中DDoS攻击检测方法的应用场景图；

图2为一个实施例中DDoS攻击检测方法的流程示意图；

图3为一个实施例中确定访问请求特征向量的步骤的流程示意图；

图4为一个实施例中替换DDoS攻击检测模型的步骤的流程示意图；

图5为一个实施例中生成DDoS攻击检测模型的步骤的流程示意图；

图6为一个实施例中分类后的DDoS攻击访问请求训练模型的步骤的流程示意图；

图7为一个实施例中DDoS攻击检测装置的结构框图；

图8为另一个实施例中DDoS攻击检测装置的结构框图；

图9为又一个实施例中DDoS攻击检测装置的结构框图；

图10为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的DDoS攻击检测方法，可以应用于如图1所示的应用环境中。其中，终端102通过网络与服务器104通过网络进行通信。其中，终端102可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑和便携式可穿戴设备，服务器104可以用独立的服务器或者是多个服务器组成的服务器集群来实现。

在一个实施例中，如图2所示，提供了一种DDoS攻击检测方法，以该方法应用于图1中的服务器为例进行说明，包括以下步骤：

S202，获取当前时间段内的数据访问请求。

具体地，终端通过网络与服务器连接，终端通过网络向服务器发送数据访问请求，以对服务器中的数据进行访问。服务器按照预设时间段接收各终端发送的数据访问请求。服务器接收当前时间段内各终端发送的数据访问请求。

S204，统计获取到数据访问请求的访问请求数量。

具体地，服务器在获取到当前时间段内各终端发送的数据访问请求后，统计当前时间段内各终端发送的数据访问请求的访问请求数量。

在一个实施例中，服务器在当前时间段的开始时间点开始对接收到的数据访问请求进行计数，以当前时间段的结束时间点所计数量为访问请求数量。

S206，当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段。

具体地，服务器将统计到的访问请求数量与预设请求数量阈值进行比较，通过比较确定统计的访问请求数量高于预设请求数量阈值时，对获取到的数据访问请求进行解析，通过解析提取数据访问请求中的特征字段。

在一个实施例中，在一个实施例中，S206具体包括：当统计的访问请求数量高于预设请求数量阈值时，获取特征字段表；在获取到的数据访问请求中，提取与获取到的特征字段表中字段标识对应的特征字段。

其中，特征字段表中包括数据访问请求中报文的特征字段标识、特征字段的数据类型和特征字段，特征字段表中的特征字段标识、特征字段的数据类型和特征字段对应存储。

具体地，服务器对获取到的数据访问请求中的每个数据访问请求进行解析，通过解析提取数据访问请求中的访问数据。服务器读取特征字段表中的特征字段标识，从访问数据中提取与读取到的特征字段标识对应的特征字段。

S208，根据提取到的特征字段生成获取到的数据访问请求对应的访问请求特征向量。

具体地，服务器提取到特征字段，根据特征字段与数值的映射关系将提取到的特征字段映射为数值，根据提取到的特征字段对应的数值添加到预设特征向量中提到的特征字段所对应的位置，生成获取到的数据访问请求对应的访问请求特征向量。

S210，将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取预先训练好的DDoS输出的检测结果。

其中，DDoS攻击，即分布式拒绝服务(DDoS，Distributed Denial of Service)攻击，指借助于客户/服务器技术，将多个终端联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。攻击者使用一个偷窃帐号将DDoS主控程序安装在一个终端上，在一个设定的时间，安装有主控程序的终端将与大量安装有代理程序的终端通讯，代理程序已经被安装在网络上的许多计算机上。安装有代理程序的终端在收到指令时向目标发用访问请求以发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。

DDoS攻击类型具体包括SYN泛洪攻击、ICMP泛洪攻击、UDP泛洪攻击、LAND攻击等。

SYN泛洪攻击(SYN flood)利用的是TCP的三次握手机制，攻击端利用伪造的IP地址向被攻击端发出请求，而被攻击端发出的响应报文将永远发送不到目的地，那么被攻击端在等待关闭这个连接的过程中消耗了资源，如果有成千上万的这种连接，主机资源将被耗尽，从而达到攻击的目的。

ICMP泛洪攻击(ICMP flood)，是利用ICMP报文进行攻击的一种方法。如果攻击者向目标主机发送大量的ICMP ECHO报文，将产生ICMP泛洪，目标主机会将大量的时间和资源用于处理ICMP ECHO报文，而无法处理正常的请求或响应，从而实现对目标主机的攻击。

UDP泛洪攻击(UDP flood)的实现原理与ICMP泛洪类似，攻击者通过向目标主机发送大量的UDP报文，导致目标主机忙于处理这些UDP报文，而无法处理正常的报文请求或响应。

LAND攻击利用了TCP连接建立的三次握手过程，通过向一个目标主机发送一个用于建立请求连接的TCP SYN报文而实现对目标主机的攻击。与正常的TCP SYN报文不同的是：LAND攻击报文的源IP地址和目的IP地址是相同的，都是目标主机的IP地址。这样目标主机接在收到这个SYN报文后，就会向该报文的源地址发送一个ACK报文，并建立一个TCP连接控制结构，而该报文的源地址就是自己。由于目的IP地址和源IP地址是相同的，都是目标主机的IP地址，因此这个ACK报文就发给了目标主机本身。

具体地，服务器将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，利用预先训练好的DDoS攻击检测模型对生成的访问请求特征向量进行处理，获取预先训练好的DDoS攻击检测模型输出的检测结果。

在一个实施例中，S210之后具体还包括：若检测结果为该数据访问请求为DDoS攻击访问请求，则丢弃该数据访问请求；若检测结果为该数据访问请求为正常访问请求时，允许该数据访问请求。

本实施例中，将统计到当前时间段内的数据访问请求的访问请求数量与预设请求数量阈值进行比较，进行第一次检测。当统计到的访问请求数量高于预设请求数量阈值时，预判定可能受到DDoS攻击，需要进行第二次检测，即提取获取到的数据访问请求中的特征字段，根据特征字段生成获取到的数据访问请求对应的特征向量，将特征向量输入到预先训练好的DDoS攻击检测模型进行检测，得到检测结果。第二次检测中利用预先训练好的DDoS攻击检测模型对访问请求进行检测，提高了第二次检测的准确性。通过两次检测的配合，整体提高了对DDoS攻击访问请求的检测准确率。

在一个实施例中，如图3所示，S208具体还包括确定访问请求特征向量的步骤，该步骤具体包括以下内容：

S302，识别提取到的特征字段的字段类型。

具体地，服务器在提取到特征字段后，识别提取到特征字段为数字还是字符串，若识别到提取到的特征字段为数字，则判定提取到的特征字段为数值类型；若识别到提取到的特征字段为字符串，则判定提取到的特征字段为布尔类型。

S304，根据识别到的字段类型所对应的数值确定方式，确定提取到的特征字段对应的数值。

具体地，不同的字段类型对应的数值确定方式不同。若服务器识别到提取到的特征字段的字段类型为数值类型时，直接以识别到的数字作为识别到的特征字段对应的数值；若服务器识别到提取到的特征字段的字段类型为布尔类型时，查询提取到的特征字段所对应的特征字段标识的字符串与数值的对应关系，根据查询到的对应关系将识别到的字符串映射到对应的数值。

S306，根据提取到的特征字段对应的数值，确定获取到的数据访问请求对应的访问请求特征向量。

具体地，服务器中存储着预设特征向量，预设特征向量中的每个数值与特征字段表中的特征字段一一对应。服务器将提取到的特征字段对应的数值添加到预设特征向量中对应位置得到获取到的数据访问请求对应的访问请求特征向量。

本实施例中，根据特征字段的字段类型对应的数值确定方式，将提取到的特征字段转换为数据访问请求对应的访问请求特征向量，通过访问请求特征向量对数据访问请求进行检测，提高了数据访问请求的检测准确率。

在一个实施例中，如图4所示，S210之后具体还包括替换DDoS攻击检测模型的步骤，该步骤具体包括以下内容：

S402，根据检测结果确定DDoS攻击类型对应的数据访问请求。

具体地，检测结果中包括检测到各数据访问请求分别对应的DDoS攻击类型。服务器检测结果中各数据访问请求标识对应的DDoS攻击类型，对数据访问请求进行分类，确定各种DDoS攻击类型对应的数据访问请求。

在一个实施例中，S402具体包括以下内容：根据检测结果统计DDoS攻击访问请求的攻击请求数量；当统计到的攻击请求数量大于预设攻击请求阈值时，根据检测结果按照DDoS攻击请求类型对DDoS攻击访问请求进行分类。

具体地，服务器根据检测结果获取判定为DDoS攻击访问请求的数据访问请求，统计DDoS攻击访问请求的数量，得到攻击请求数量，将统计到的攻击请求数量与预设攻击请求阈值进行比较。当当统计到的攻击请求数量大于预设攻击请求阈值时，服务器根据检测结果中各DDoS攻击访问请求对应的DDoS攻击请求类型，对DDoS攻击访问请求进行分类，得到各种DDoS攻击请求类型对应的DDoS攻击访问请求。

S404，以确定的DDoS攻击请求类型对应的数据访问请求作为训练样本数据，重新训练DDoS攻击检测模型。

具体地，服务器按照DDoS攻击类型对数据访问请求分类后，分别以各DDoS攻击类型对应的数据访问请求作为输入，以DDoS攻击类型作为输出重新训练DDoS攻击检测模型，得到重新训练的DDoS攻击检测模型。

S406，将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型。

具体地，服务器将预先训练好的DDoS攻击访问请求进行替换，替换为重新训练的DDoS攻击检测模型。服务器再次获取终端的数据访问请求，将获取到的数据访问请求输入到重新训练的DDoS攻击检测模型，利用重新训练的DDoS攻击检测模型对获取到的数据访问请求进行检测，得到检测结果。

在一个实施例中，服务器根据检测结果确定数据访问请求为DDoS攻击访问请求时，丢弃该数据访问请求；根据检测结果确定数据访问请求不是DDoS攻击访问请求时，允许数据访问请求的访问。

本实施例中，根据检测结果中各种DDoS攻击类型对DDoS攻击访问请求进行分类，根据分类后的DDoS攻击访问请求重新训练DDoS攻击检测模型，将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型，更新DDoS攻击检测模型，提高DDoS攻击检测模型的检测准确率。

在一个实施例中，如图5所示，DDoS攻击检测方法具体还包括生成DDoS攻击检测模型的步骤，该步骤具体包括以下内容：

S502，获取模型训练指令。

具体地，终端检测到模型训练页面中的模型训练按钮被点击时，触发模型训练指令，将模型训练指令发送至服务器。服务器接收终端发送的模型训练指令。其中，模型训练指令用于指示服务器开始训练DDoS攻击检测模型的指令。

S504，根据模型训练指令调用DDoS攻击程序批量产生DDoS攻击访问请求。

其中，DDoS攻击程序运行在服务器上，该程序用于批量生成模拟DDoS攻击访问请求。

具体地，服务器在接收到模型训练指令后，触发DDoS攻击程序的调用指令，根据调用指令调用DDoS攻击程序批量产生DDoS攻击访问请求。产生的DDoS攻击访问请求可以包括各种DDoS攻击类型的DDoS攻击访问请求。

S506，以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型。

具体地，服务器以批量产生的DDoS攻击访问请求作为训练样本数据。对于训练样本数据中的每个DDoS攻击访问请求，根据特征字段表从DDoS攻击访问请求中提取特征字段，根据提取到的特征字段构建该DDoS攻击访问请求对应的访问请求特征向量，以得到的每个DDoS攻击访问请求对应的访问请求特征向量。服务器以每个DDoS攻击访问请求对应的访问请求特征向量作作为输入，以DDoS攻击访问请求的标识作为输出，训练得到DDoS攻击检测模型。

本实施例中，通过调用DDoS攻击程序批量产生DDoS攻击访问请求，节省了收集DDoS攻击访问请求的所耗费的时间，以DDoS攻击程序批量产生DDoS攻击访问请求作为训练样本数据，可直接训练得到DDoS攻击检测模型，提高了生成DDoS攻击检测模型的速度。

在一个实施例中，如图6所示，S506具体包括根据分类后的DDoS攻击访问请求训练模型的步骤，该步骤具体包括以下内容：

S602，将批量产生的DDoS攻击访问请求按照DDoS攻击请求类型进行分类，得到各DDoS攻击请求类型对应的DDoS攻击访问请求。

具体地，批量产生的DDoS攻击访问请求中包括各种DDoS攻击类型的DDoS攻击访问请求。服务器按照DDoS攻击类型对批量产生的DDoS攻击访问请求进行分类，得到各种DDoS攻击类型对应的DDoS攻击访问请求。

S604，以分类后的DDoS攻击访问请求作为输入，且以分类后的DDoS攻击访问请求对应的DDoS攻击请求类型作为输出，进行训练得到预先训练好的DDoS攻击检测模型。

具体地，服务器以每种DDoS攻击类型分类对应的DDoS攻击访问请求作为输入，以输入的DDoS攻击访问请求对应的DDoS攻击类型作为输出进行训练，通过训练得到预先训练好的DDoS攻击检测模型。

其中，预先训练好的DDoS攻击检测模型输出的检测结果中可以包括数据访问请求对应的DDoS攻击类型。

本实施例中，预先训练好的DDoS攻击检测模型可以用于检测数据访问请求是否为DDoS攻击访问请求，若检测到数据访问请求为DDoS攻击访问请求，还可以检测到该数据访问请求属于哪种DDoS攻击类型，可以更加准确的对数据访问请求进行检测。

应该理解的是，虽然图1-6的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图1-6中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图7所示，提供了一种DDoS攻击检测装置700，包括：访问请求获取模块702、请求数量统计模块704、特征字段提取模块706、特征向量生成模块708和检测结果获取模块710，其中：

访问请求获取模块702，用于获取当前时间段内的数据访问请求。

请求数量统计模块704，用于统计获取到数据访问请求的访问请求数量。

特征字段提取模块706，用于当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段。

特征向量生成模块708，用于根据提取到的特征字段生成获取到的数据访问请求对应的访问请求特征向量。

检测结果获取模块710，用于将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取预先训练好的DDoS输出的检测结果。

本实施例中，将统计到当前时间段内的数据访问请求的访问请求数量与预设请求数量阈值进行比较，进行第一次检测。当统计到的访问请求数量高于预设请求数量阈值时，预判定可能受到DDoS攻击，需要进行第二次检测，即提取获取到的数据访问请求中的特征字段，根据特征字段生成获取到的数据访问请求对应的特征向量，将特征向量输入到预先训练好的DDoS攻击检测模型进行检测，得到检测结果。第二次检测中利用预先训练好的DDoS攻击检测模型对访问请求进行检测，提高了第二次检测的准确性。通过两次检测的配合，整体提高了对DDoS攻击访问请求的检测准确率。

在其中一个实施例中，特征字段提取模块706还用于当统计的访问请求数量高于预设请求数量阈值时，获取特征字段表；在获取到的数据访问请求中，提取与获取到的特征字段表中字段标识对应的特征字段。

在一个实施例中，特征向量生成模块708还用于识别提取到的特征字段的字段类型；根据识别到的字段类型所对应的数值确定方式，确定提取到的特征字段对应的数值；根据提取到的特征字段对应的数值，确定获取到的数据访问请求对应的访问请求特征向量。

在一个实施例中，如图8所示，DDoS攻击检测装置700具体还包括以下内容：访问请求分类模块712、模型重新训练模块714和检测模型替换模块716。其中：

访问请求分类模块712，用于根据检测结果确定DDoS攻击类型对应的数据访问请求。

模型重新训练模块714，用于以确定的DDoS攻击请求类型对应的数据访问请求作为训练样本数据，重新训练DDoS攻击检测模型。

检测模型替换模块716，将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型。

本实施例中，根据检测结果中各种DDoS攻击类型对DDoS攻击访问请求进行分类，根据分类后的DDoS攻击访问请求重新训练DDoS攻击检测模型，将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型，更新DDoS攻击检测模型，提高DDoS攻击检测模型的检测准确率。

在一个实施例中，访问请求分类模块712还用于根据检测结果统计DDoS攻击访问请求的攻击请求数量；当统计到的攻击请求数量大于预设攻击请求阈值时，根据检测结果按照DDoS攻击请求类型对DDoS攻击访问请求进行分类。

在一个实施例中，如图9所示，DDoS攻击检测装置700具体还包括以下内容：训练指令获取模块718、请求批量生成模块720和检测模型训练模块722。其中：

训练指令获取模块718，用于获取模型训练指令。

请求批量生成模块720，用于根据模型训练指令调用DDoS攻击程序批量产生DDoS攻击访问请求。

检测模型训练模块722，用于以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型。

本实施例中，通过调用DDoS攻击程序批量产生DDoS攻击访问请求，节省了收集DDoS攻击访问请求的所耗费的时间，以DDoS攻击程序批量产生DDoS攻击访问请求作为训练样本数据，可直接训练得到DDoS攻击检测模型，提高了生成DDoS攻击检测模型的速度。

在一个实施例中，检测模型训练模块722还用于将批量产生的DDoS攻击访问请求按照DDoS攻击请求类型进行分类，得到各DDoS攻击请求类型对应的DDoS攻击访问请求；以分类后的DDoS攻击访问请求作为输入，且以分类后的DDoS攻击访问请求对应的DDoS攻击请求类型作为输出，进行训练得到预先训练好的DDoS攻击检测模型。

本实施例中，预先训练好的DDoS攻击检测模型可以用于检测数据访问请求是否为DDoS攻击访问请求，若检测到数据访问请求为DDoS攻击访问请求，还可以检测到该数据访问请求属于哪种DDoS攻击类型，可以更加准确的对数据访问请求进行检测。

关于DDoS攻击检测装置的具体限定可以参见上文中对于DDoS攻击检测方法的限定，在此不再赘述。上述DDoS攻击检测装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图Y所示。该计算机设备包括通过***总线连接的处理器、存储器、网络接口和数据库。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作***、计算机程序和数据库。该内存储器为非易失性存储介质中的操作***和计算机程序的运行提供环境。该计算机设备的数据库用于存储特征字段表。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种DDoS攻击检测方法。

本领域技术人员可以理解，图10中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不生成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，处理器执行计算机程序时实现以下步骤：获取当前时间段内的数据访问请求；统计获取到数据访问请求的访问请求数量；当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；根据提取到的特征字段生成获取到的数据访问请求对应的访问请求特征向量；将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取预先训练好的DDoS输出的检测结果。

在一个实施例中，当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段，包括：当统计的访问请求数量高于预设请求数量阈值时，获取特征字段表；在获取到的数据访问请求中，提取与获取到的特征字段表中字段标识对应的特征字段。

在一个实施例中，根据提取到的特征字段生成获取到的数据访问请求对应的访问请求特征向量，包括：识别提取到的特征字段的字段类型；根据识别到的字段类型所对应的数值确定方式，确定提取到的特征字段对应的数值；根据提取到的特征字段对应的数值，确定获取到的数据访问请求对应的访问请求特征向量。

在一个实施例中，将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取预先训练好的DDOS输出的检测结果之后，处理器执行计算机程序时还实现以下步骤：根据检测结果确定DDoS攻击类型对应的数据访问请求；以确定的DDoS攻击请求类型对应的数据访问请求作为训练样本数据，重新训练DDoS攻击检测模型；将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型。

在一个实施例中，根据检测结果确定DDoS攻击类型对应的数据访问请求，包括：根据检测结果统计DDoS攻击访问请求的攻击请求数量；当统计到的攻击请求数量大于预设攻击请求阈值时，根据检测结果按照DDoS攻击请求类型对DDoS攻击访问请求进行分类。

在一个实施例中，预先训练好的DDoS攻击检测模型生成过程中，处理器执行计算机程序时还实现以下步骤：获取模型训练指令；根据模型训练指令调用DDoS攻击程序批量产生DDoS攻击访问请求；以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型。

在一个实施例中，以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型，包括：将批量产生的DDoS攻击访问请求按照DDoS攻击请求类型进行分类，得到各DDoS攻击请求类型对应的DDoS攻击访问请求；以分类后的DDoS攻击访问请求作为输入，且以分类后的DDoS攻击访问请求对应的DDoS攻击请求类型作为输出，进行训练得到预先训练好的DDoS攻击检测模型。

本实施例中，将统计到当前时间段内的数据访问请求的访问请求数量与预设请求数量阈值进行比较，进行第一次检测。当统计到的访问请求数量高于预设请求数量阈值时，预判定可能受到DDoS攻击，需要进行第二次检测，即提取获取到的数据访问请求中的特征字段，根据特征字段生成获取到的数据访问请求对应的特征向量，将特征向量输入到预先训练好的DDoS攻击检测模型进行检测，得到检测结果。第二次检测中利用预先训练好的DDoS攻击检测模型对访问请求进行检测，提高了第二次检测的准确性。通过两次检测的配合，整体提高了对DDoS攻击访问请求的检测准确率。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：获取当前时间段内的数据访问请求；统计获取到数据访问请求的访问请求数量；当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；根据提取到的特征字段生成获取到的数据访问请求对应的访问请求特征向量；将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取预先训练好的DDoS输出的检测结果。

在一个实施例中，当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段，包括：当统计的访问请求数量高于预设请求数量阈值时，获取特征字段表；在获取到的数据访问请求中，提取与获取到的特征字段表中字段标识对应的特征字段。

在一个实施例中，根据提取到的特征字段生成获取到的数据访问请求对应的访问请求特征向量，包括：识别提取到的特征字段的字段类型；根据识别到的字段类型所对应的数值确定方式，确定提取到的特征字段对应的数值；根据提取到的特征字段对应的数值，确定获取到的数据访问请求对应的访问请求特征向量。

在一个实施例中，将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取预先训练好的DDOS输出的检测结果之后，计算机程序被处理器执行时还实现以下步骤：根据检测结果确定DDoS攻击类型对应的数据访问请求；以确定的DDoS攻击请求类型对应的数据访问请求作为训练样本数据，重新训练DDoS攻击检测模型；将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型。

在一个实施例中，根据检测结果确定DDoS攻击类型对应的数据访问请求，包括：根据检测结果统计DDoS攻击访问请求的攻击请求数量；当统计到的攻击请求数量大于预设攻击请求阈值时，根据检测结果按照DDoS攻击请求类型对DDoS攻击访问请求进行分类。

在一个实施例中，预先训练好的DDoS攻击检测模型生成过程中，计算机程序被处理器执行时还实现以下步骤：获取模型训练指令；根据模型训练指令调用DDoS攻击程序批量产生DDoS攻击访问请求；以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型。

在一个实施例中，以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型，包括：将批量产生的DDoS攻击访问请求按照DDoS攻击请求类型进行分类，得到各DDoS攻击请求类型对应的DDoS攻击访问请求；以分类后的DDoS攻击访问请求作为输入，且以分类后的DDoS攻击访问请求对应的DDoS攻击请求类型作为输出，进行训练得到预先训练好的DDoS攻击检测模型。

本实施例中，将统计到当前时间段内的数据访问请求的访问请求数量与预设请求数量阈值进行比较，进行第一次检测。当统计到的访问请求数量高于预设请求数量阈值时，预判定可能受到DDoS攻击，需要进行第二次检测，即提取获取到的数据访问请求中的特征字段，根据特征字段生成获取到的数据访问请求对应的特征向量，将特征向量输入到预先训练好的DDoS攻击检测模型进行检测，得到检测结果。第二次检测中利用预先训练好的DDoS攻击检测模型对访问请求进行检测，提高了第二次检测的准确性。通过两次检测的配合，整体提高了对DDoS攻击访问请求的检测准确率。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种DDoS攻击检测方法，所述方法包括：

获取当前时间段内的数据访问请求；

统计获取到数据访问请求的访问请求数量；

当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；

根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量；

将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDoS输出的检测结果。

2.根据权利要求1所述的方法，其特征在于，所述当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段，包括：

当统计的访问请求数量高于预设请求数量阈值时，获取特征字段表；

在获取到的数据访问请求中，提取与获取到的特征字段表中字段标识对应的特征字段。

3.根据权利要求2所述的方法，其特征在于，所述根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量，包括：

识别提取到的特征字段的字段类型；

根据识别到的字段类型所对应的数值确定方式，确定所述提取到的特征字段对应的数值；

根据所述提取到的特征字段对应的数值，确定所述获取到的数据访问请求对应的访问请求特征向量。

4.根据权利要求1所述的方法，其特征在于，所述将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDOS输出的检测结果之后，还包括：

根据所述检测结果确定DDoS攻击类型对应的数据访问请求；

以确定的DDoS攻击请求类型对应的数据访问请求作为训练样本数据，重新训练DDoS攻击检测模型；

将预先训练好的DDoS攻击检测模型替换为重新训练的DDoS攻击检测模型。

5.根据权利要求4所述的方法，其特征在于，所述根据所述检测结果确定DDoS攻击类型对应的数据访问请求，包括：

根据所述检测结果统计DDoS攻击访问请求的攻击请求数量；

当统计到的攻击请求数量大于预设攻击请求阈值时，根据所述检测结果按照DDoS攻击请求类型对所述DDoS攻击访问请求进行分类。

6.根据权利要求1所述的方法，其特征在于，所述预先训练好的DDoS攻击检测模型生成过程包括：

获取模型训练指令；

根据所述模型训练指令调用DDoS攻击程序批量产生DDoS攻击访问请求；

以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型。

7.根据权利要求6所述的方法，其特征在于，所述以批量产生的DDoS攻击访问请求作为训练样本数据训练DDoS攻击检测模型，得到预先训练好的DDoS攻击检测模型，包括：

将批量产生的DDoS攻击访问请求按照DDoS攻击请求类型进行分类，得到各DDoS攻击请求类型对应的DDoS攻击访问请求；

以分类后的DDoS攻击访问请求作为输入，且以所述分类后的DDoS攻击访问请求对应的DDoS攻击请求类型作为输出，进行训练得到预先训练好的DDoS攻击检测模型。

8.一种DDoS攻击检测装置，其特征在于，所述装置包括：

访问请求获取模块，用于获取当前时间段内的数据访问请求；

请求数量统计模块，用于统计获取到数据访问请求的访问请求数量；

特征字段提取模块，用于当统计的访问请求数量高于预设请求数量阈值时，则从获取到的数据访问请求中提取特征字段；

特征向量生成模块，用于根据提取到的特征字段生成所述获取到的数据访问请求对应的访问请求特征向量；

检测结果获取模块，用于将生成的访问请求特征向量输入预先训练好的DDoS攻击检测模型，获取所述预先训练好的DDoS输出的检测结果。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。