CN109474570A - 一种检测慢速攻击的方法及*** - Google Patents
一种检测慢速攻击的方法及*** Download PDFInfo
- Publication number
- CN109474570A CN109474570A CN201711473589.7A CN201711473589A CN109474570A CN 109474570 A CN109474570 A CN 109474570A CN 201711473589 A CN201711473589 A CN 201711473589A CN 109474570 A CN109474570 A CN 109474570A
- Authority
- CN
- China
- Prior art keywords
- slow speed
- attack
- interactive
- interaction
- hash table
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1458—Denial of Service
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明提出了一种检测慢速攻击的方法及***,包括:通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。本发明可在第一时间检出慢速攻击,并提供有效应对措施,有效降低由于攻击而造成的损失。
Description
技术领域
本发明涉及信息安全技术领域,尤其涉及一种检测慢速攻击的方法及***。
背景技术
慢速攻击属于DDoS攻击下CC攻击的一种,DDoS攻击凭借其严重的后果以及简单的操作,一直都是攻防中黑客所采用的重要攻击方式。随着DDoS攻击的演变,信息安全的防御也在同步升级。发展到今天,DDoS攻击已经多种多样。CC攻击的本名叫做HTTP-FLOOD,是一种专门针对于Web的应用层FLOOD攻击,攻击者操纵网络上的肉鸡,对目标Web服务器进行海量http request攻击,直到服务器带宽被打满,造成了拒绝服务。由于伪造的http请求和客户正常请求没有区别,对于没有流量清洗设备的用户来说,这无疑就是噩梦。而慢速攻击就是CC攻击的一个变种。
慢速攻击与通常的CC攻击方式不同,其以反其道而行之的方式即以慢著称,以至于攻击目标悄无声息,直到被攻击的主机突然死去。表面看上去他与普通的通信交互没太多区别,也因此导致维护人员很难发现这种攻击。且目前缺少对慢速攻击进行有效检测的技术手段。
发明内容
针对上述现有技术中存在的问题,本发明提出了一种检测慢速攻击的方法及***,具体发明内容包括:
一种检测慢速攻击的方法,包括:
通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;
实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;
根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。
进一步地,所述基础特征包括:交互连接的平均时长、平均资源占用情况、平均发送字节数、平均每次交互发送的包数、平均每次交互请求的IP总数。
进一步地,所述异常交互,包括:请求连接时长大于交互连接的平均时长的规定倍数;交互过程中以固定形式发送数据,且时间间隔大于规定值;交互过程中占用资源大于平局资源占用的规定倍数。
进一步地,所述判断环境中是否存在慢速攻击,具体为:若某次交互中同时具备所有的所述异常交互情况,则判断此次交互中对同一IP的请求次数是否大于规定阈值,若是则环境中存在慢速攻击,否则继续对交互情况进行监控。
进一步地,若环境中存在慢速攻击,则从哈希表中取出对应交互信息,形成攻击日志并上报,并发出报警信号。
进一步地,根据每次的监控判断结果,动态更新哈希表数据,并根据攻击行为匹配将攻击进行分类。
一种检测慢速攻击的***,包括:
统计模块,用于通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;
监控模块,用于实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;
判定模块,用于根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。
进一步地,所述基础特征包括:交互连接的平均时长、平均资源占用情况、平均发送字节数、平均每次交互发送的包数、平均每次交互请求的IP总数。
进一步地,所述异常交互,包括:请求连接时长大于交互连接的平均时长的规定倍数;交互过程中以固定形式发送数据,且时间间隔大于规定值;交互过程中占用资源大于平局资源占用的规定倍数。
进一步地,所述判断环境中是否存在慢速攻击,具体为:若某次交互中同时具备所有的所述异常交互情况,则判断此次交互中对同一IP的请求次数是否大于规定阈值,若是则环境中存在慢速攻击,否则继续对交互情况进行监控。
进一步地,还包括报警模块,用于:若环境中存在慢速攻击,则从哈希表中取出对应交互信息,形成攻击日志并上报,并发出报警信号。
进一步地,根据每次的监控判断结果,动态更新哈希表数据,并根据攻击行为匹配将攻击进行分类。
一种电子设备,包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序,所述处理器执行所述程序时实现所述的检测方法。
一种计算机可读存储介质,用于存储计算机程序,所述计算机程序可被处理器执行所述的检测方法。
本发明的有益效果是:
本发明可在第一时间检出慢速攻击,并提供有效应对措施,有效降低由于攻击而造成的损失;本发明可根据目前的攻击方式匹配所有慢速攻击,也能利用攻击行为数据分析的方式学习攻击行为,并实时更新检测阈值,提高检测的准确性,并能灵活的增加和修改攻击特征匹配方式。有效的解决已有实现方案中攻击行为匹配针对性太强,不能自学习攻击行为,也不能有效的管理攻击行为等缺点。
附图说明
为了更清楚地说明本发明或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本发明中记载的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1为本发明一种检测慢速攻击的方法流程图;
图2为本发明一种检测慢速攻击的***结构图。
具体实施方式
为了使本技术领域的人员更好地理解本发明实施例中的技术方案,并使本发明的上述目的、特征和优点能够更加明显易懂,下面结合附图对本发明中技术方案作进一步详细的说明。
本发明给出了一种检测慢速攻击的方法实施例,如图1所示,包括:
S101:通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;
S102:实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;
S103:根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。
优选地,所述基础特征包括:交互连接的平均时长、平均资源占用情况、平均发送字节数、平均每次交互发送的包数、平均每次交互请求的IP总数。
优选地,所述异常交互,包括:请求连接时长大于交互连接的平均时长的规定倍数,例如3倍以上;交互过程中以固定形式发送数据,且时间间隔大于规定值,例如10秒;交互过程中占用资源大于平局资源占用的规定倍数,例如3倍以上。
优选地,所述判断环境中是否存在慢速攻击,具体为:若某次交互中同时具备所有的所述异常交互情况,则判断此次交互中对同一IP的请求次数是否大于规定阈值,如占比大于总请求IP数的1/20,若是则环境中存在慢速攻击,否则继续对交互情况进行监控。
优选地,若环境中存在慢速攻击,则从哈希表中取出对应交互信息,形成攻击日志并上报,并发出报警信号。
优选地,根据每次的监控判断结果,动态更新哈希表数据,并根据攻击行为匹配将攻击进行分类;若慢速攻击出现新的行为时,可将指定的行为写入哈希表,形成新的行为匹配统计;若再次匹配到相似攻击,记录信息并重新进行统计计算,提高检测的准确性。
本发明还给出了一种检测慢速攻击的***实施例,如图2所示,包括:
统计模块201,用于通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;
监控模块202,用于实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;
判定模块203,用于根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。
优选地,所述基础特征包括:交互连接的平均时长、平均资源占用情况、平均发送字节数、平均每次交互发送的包数、平均每次交互请求的IP总数。
优选地,所述异常交互,包括:请求连接时长大于交互连接的平均时长的规定倍数;交互过程中以固定形式发送数据,且时间间隔大于规定值;交互过程中占用资源大于平局资源占用的规定倍数。
优选地,所述判断环境中是否存在慢速攻击,具体为:若某次交互中同时具备所有的所述异常交互情况,则判断此次交互中对同一IP的请求次数是否大于规定阈值,若是则环境中存在慢速攻击,否则继续对交互情况进行监控。
优选地,还包括报警模块,用于:若环境中存在慢速攻击,则从哈希表中取出对应交互信息,形成攻击日志并上报,并发出报警信号。
优选地,根据每次的监控判断结果,动态更新哈希表数据,并根据攻击行为匹配将攻击进行分类。
另,本发明给出了一种实施例的计算机设备,包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序,所述处理器执行所述程序时,实现上述实施例中的检测方法;同时还可能包括用于存储器和处理器通信的通信接口;所述存储器可能包含RAM存储器,也可能还包括非易失性存储器(non-volatile memory),例如至少一个磁盘存储器;所述处理器可能是一个中央处理器(Central Processing Unit,简称为CPU),或者是特定集成电路(Application Specific Integrated Circuit,简称为ASIC),或者是被配置成实施本发明实施例的一个或多个集成电路;所述存储器、处理器可以独立部署,也可以集成在一块芯片上。
为了实现上述实施例,本发明还给出了一种非临时性计算机可读存储介质,其上存储有计算机程序,所述计算机程序被处理器执行时实现上述实施例中的检测方法。
1.本说明书中方法的实施例采用递进的方式描述,对于***的实施例而言,由于其基本相似于方法实施例,所以描述的比较简单,相关之处参见方法实施例的部分说明即可。本发明提出了一种检测慢速攻击的方法及***,包括:通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。本发明可在第一时间检出慢速攻击,并提供有效应对措施,有效降低由于攻击而造成的损失;本发明可根据目前的攻击方式匹配所有慢速攻击,也能利用攻击行为数据分析的方式学习攻击行为,并实时更新检测阈值,提高检测的准确性,并能灵活的增加和修改攻击特征匹配方式。有效的解决已有实现方案中攻击行为匹配针对性太强,不能自学习攻击行为,也不能有效的管理攻击行为等缺点。
虽然通过实施例描绘了本发明,本领域普通技术人员知道,本发明有许多变形和变化而不脱离本发明的精神,希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。
Claims (7)
1.一种检测慢速攻击的方法,其特征在于,包括:
通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;
实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;
根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。
2.如权利要求1所述的方法,其特征在于,所述基础特征包括:交互连接的平均时长、平均资源占用情况、平均发送字节数、平均每次交互发送的包数、平均每次交互请求的IP总数。
3.如权利要求2所述的方法,其特征在于,所述异常交互,包括:请求连接时长大于交互连接的平均时长的规定倍数;交互过程中以固定形式发送数据,且时间间隔大于规定值;交互过程中占用资源大于平局资源占用的规定倍数。
4.如权利要求3所述的方法,其特征在于,所述判断环境中是否存在慢速攻击,具体为:若某次交互中同时具备所有的所述异常交互情况,则判断此次交互中对同一IP的请求次数是否大于规定阈值,若是则环境中存在慢速攻击,否则继续对交互情况进行监控。
5.如权利要求4所述的方法,其特征在于,若环境中存在慢速攻击,则从哈希表中取出对应交互信息,形成攻击日志并上报,并发出报警信号。
6.如权利要求4或5所述的方法,其特征在于,根据每次的监控判断结果,动态更新哈希表数据,并根据攻击行为匹配将攻击进行分类。
7.一种检测慢速攻击的***,其特征在于,包括:
统计模块,用于通过智能学习过程统计客户端与服务端的数据交互情况,形成基础特征,并存入哈希表;
监控模块,用于实时监控客户端与服务端的数据交互情况,当发现异常交互时,获取交互信息,并存入哈希表;
判定模块,用于根据异常交互的具体交互情况,判断环境中是否存在慢速攻击。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201711473589.7A CN109474570A (zh) | 2017-12-29 | 2017-12-29 | 一种检测慢速攻击的方法及*** |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201711473589.7A CN109474570A (zh) | 2017-12-29 | 2017-12-29 | 一种检测慢速攻击的方法及*** |
Publications (1)
Publication Number | Publication Date |
---|---|
CN109474570A true CN109474570A (zh) | 2019-03-15 |
Family
ID=65658036
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201711473589.7A Withdrawn CN109474570A (zh) | 2017-12-29 | 2017-12-29 | 一种检测慢速攻击的方法及*** |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN109474570A (zh) |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101557394A (zh) * | 2009-04-10 | 2009-10-14 | 无锡智高志科技有限公司 | 一种蜜网主动防御***中的数据控制方法 |
CN105553974A (zh) * | 2015-12-14 | 2016-05-04 | 中国电子信息产业集团有限公司第六研究所 | 一种http慢速攻击的防范方法 |
CN105591832A (zh) * | 2014-11-13 | 2016-05-18 | 腾讯数码(天津)有限公司 | 应用层慢速攻击检测方法和相关装置 |
US20170324757A1 (en) * | 2016-05-04 | 2017-11-09 | University Of North Carolina At Charlotte | Multiple detector methods and systems for defeating low and slow application ddos attacks |
-
2017
- 2017-12-29 CN CN201711473589.7A patent/CN109474570A/zh not_active Withdrawn
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101557394A (zh) * | 2009-04-10 | 2009-10-14 | 无锡智高志科技有限公司 | 一种蜜网主动防御***中的数据控制方法 |
CN105591832A (zh) * | 2014-11-13 | 2016-05-18 | 腾讯数码(天津)有限公司 | 应用层慢速攻击检测方法和相关装置 |
CN105553974A (zh) * | 2015-12-14 | 2016-05-04 | 中国电子信息产业集团有限公司第六研究所 | 一种http慢速攻击的防范方法 |
US20170324757A1 (en) * | 2016-05-04 | 2017-11-09 | University Of North Carolina At Charlotte | Multiple detector methods and systems for defeating low and slow application ddos attacks |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN106411934B (zh) | DoS/DDoS攻击检测方法和装置 | |
CN104519032B (zh) | 一种互联网账号的安全策略及*** | |
KR100748246B1 (ko) | 침입탐지 로그수집 엔진과 트래픽 통계수집 엔진을 이용한다단계 통합보안 관리 시스템 및 방법 | |
EP3068095A2 (en) | Monitoring apparatus and method | |
CN107682345B (zh) | Ip地址的检测方法、检测装置及电子设备 | |
CN107623685B (zh) | 快速检测SYN Flood攻击的方法及装置 | |
EP3108399A1 (en) | Scoring for threat observables | |
EP3085023B1 (en) | Communications security | |
CN109922072B (zh) | 一种分布式拒绝服务攻击检测方法及装置 | |
Cao et al. | Entropy‐based denial‐of‐service attack detection in cloud data center | |
CN104360924A (zh) | 一种在云数据中心环境下对虚拟机进行监控等级划分的方法 | |
CN107040405B (zh) | 网络环境下被动式多维度主机指纹模型构建方法及其装置 | |
CN113518057A (zh) | 分布式拒绝服务攻击的检测方法、装置及其计算机设备 | |
CN112019533A (zh) | 一种缓解CDN***被DDoS攻击的方法及*** | |
CN110944016A (zh) | DDoS攻击检测方法、装置、网络设备及存储介质 | |
CN110519266B (zh) | 一种基于统计学方法的cc攻击检测的方法 | |
CN109246157B (zh) | 一种http慢速请求dos攻击的关联检测方法 | |
CN109474570A (zh) | 一种检测慢速攻击的方法及*** | |
CN114172707B (zh) | Fast-Flux僵尸网络检测方法、装置、设备及存储介质 | |
CN109862016A (zh) | 一种针对云计算自动扩容Yo-Yo攻击的对抗方法 | |
CN112688970B (zh) | 一种基于可编程芯片的大流量DDoS攻击检测方法及*** | |
CN112560085B (zh) | 业务预测模型的隐私保护方法及装置 | |
US11444966B2 (en) | Automatic detection of network strain using response time metrics | |
JP2022191649A (ja) | サイバーセキュリティ管理装置、サイバーセキュリティ管理方法及びサイバーセキュリティ管理システム | |
CN110162969B (zh) | 一种流量的分析方法和装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
WW01 | Invention patent application withdrawn after publication | ||
WW01 | Invention patent application withdrawn after publication |
Application publication date: 20190315 |