CN109889550B - 一种DDoS攻击确定方法及装置 - Google Patents

Abstract

本申请提供一种DDoS攻击确定方法及装置。一种DDoS攻击确定方法，所述方法包括：当接收到报文时，解析所述报文中的报文特征；根据预设的哈希算法计算所述报文特征对应的哈希值；在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值相匹配的精确DDoS攻击表项；若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；当所述精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值时，确定发生DDoS攻击。

Description

一种DDoS攻击确定方法及装置

技术领域

本申请涉及通信技术领域，尤其涉及一种DDoS攻击确定方法及装置。

背景技术

随着计算机和互联网的不断发展，DDoS(Distributed Denial of Service，分布式拒绝服务)攻击变得日益猖獗，DDoS攻击数量从原来的兆级攻击已经发展为现在的G级攻击，甚至是T级攻击。由于DDoS攻击具有易实施、难防范、难追踪等特点，如今已经成为网络安全最难解决的问题之一，给网络环境带来了极大的危害。

当网络设备遭受DDoS攻击时，最明显的现象就是网络设备接收到大量的不明报文，因此可以根据网络设备中所接收的报文的变化趋势来确定是否发生DDoS攻击。但是每次DDoS攻击的方式是不确定的，想要获得正确的DDoS攻击方式就需要对所接收的报文进行多维度分析，这样就加大了网络设备处理报文的压力，存在影响DDoS攻击防护效果的风险。因此如何快速确定是否发生DDoS攻击是当前亟待解决的问题。

发明内容

有鉴于此，本申请提供一种DDoS攻击确定方法及装置。

具体地，本申请是通过如下技术方案实现的：

一种DDoS攻击确定方法，所述方法包括：

当接收到报文时，解析所述报文中的报文特征；

根据预设的哈希算法计算所述报文特征对应的哈希值；

在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；

若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值相匹配的精确DDoS攻击表项；

若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；

当所述精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值时，确定发生DDoS攻击。

一种DDoS攻击确定装置，所述装置包括：

特征解析模块，用于当接收到报文时，解析所述报文中的报文特征；

哈希值计算模块，用于根据预设的哈希算法计算所述报文特征对应的哈希值；

第一判断模块，用于在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；

第二判断模块，用于若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值相匹配的精确DDoS攻击表项；

数值更新模块，用于若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；

DDoS攻击确定模块，用于当所述精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值时，确定发生DDoS攻击。

本申请实施例提供的技术方案，通过计算报文特征对应的哈希值，通过哈希值进行疑似DDoS攻击判断，在确定发生疑似DDoS攻击的情况下，通过哈希值进行精确DDoS攻击判断，以此来确定是否发生DDoS攻击。如此本申请实施例提供的技术方案可以快速确定是否发生DDoS攻击。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例描述中所需要的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本申请一示例性实施例示出的一种示例性应用场景示意图；

图2是本申请一示例性实施例示出的一种DDoS攻击确定方法的实施流程示意图；

图3是本申请一示例性实施例示出的一种DDoS攻击确定装置的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

如图1所示的一示例性应用场景，相关技术中当网络设备遭受DDoS攻击时，接收到大量的不明报文，这些不明报文由多个攻击者(如图1所示的攻击设备1、攻击设备2、攻击设备3)发出，为了确定是否发生DDoS攻击，可以根据网络设备中所接收的报文的变化趋势进行确定。由于每次DDoS攻击的方式是不确定的，想要获得正确的DDoS攻击方式就需要对所接收的报文进行多维度分析，这样就加大了网络设备处理报文的压力，存在影响DDoS攻击防护效果的风险。因此如何快速确定是否发生DDoS攻击是当前亟待解决的问题。

针对上述技术问题，本申请实施例提供一种DDoS攻击确定技术方案，该技术方案可以基于FPGA实现，可以快速确定是否发生DDoS攻击。

具体的本申请实施例提供的技术方案如下：当接收到报文时，解析所述报文中的报文特征；根据预设的哈希算法计算所述报文特征对应的哈希值；在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值相匹配的精确DDoS攻击表项；若本地存在与所述哈希值相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；当所述精确DDoS攻击表项中记录的数值超过第一预设阈值时，确定发生DDoS攻击。为了对本申请进一步说明，提供下列实施例：

如图2所示，为本申请实施例DDoS攻击确定方法的实施流程示意图，该方法具体可以包括以下步骤：

S201，当接收到报文时，解析所述报文中的报文特征；

当网络设备接收到外部设备发送的报文时，需要判断该报文是否为DDoS攻击者发送的报文，因此需要解析报文中的报文特征。其中报文特征可以是源端口、目的端口、源IP、目的IP、传输层协议类型和/或报文中携带的数据。

S202，根据预设的哈希算法计算所述报文特征对应的哈希值；

由于报文数量较多，相应的报文特征数量也较多，直接基于报文特征确定是否发生DDoS攻击会消耗大量资源，因此本申请实施例对报文特征进行哈希运算，计算该报文特征的哈希值。例如该报文特征为：源IP(192.168.1.1)，计算该源IP对应的哈希值1。

另外哈希算法可以是MD4、MD5、SHA-1等当前任意常用的哈希算法，本申请实施例对此不作限定。

S203，在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；

针对S202中计算的哈希值，在本地疑似DDoS攻击表项中，判断是否存在与该哈希值相匹配的疑似DDoS攻击表项，如果在本地疑似DDoS攻击表项中存在与该哈希值相匹配的疑似DDoS攻击表项，可以确定发生疑似DDoS攻击，更新该疑似DDoS攻击表项的有效时间，以防止其老化。其中本地疑似DDoS攻击表项可以存储至本地缓存中，本申请实施例中本地疑似DDoS攻击表项可以如下表1所示：

疑似DDoS攻击表项编号	哈希值
		疑似DDoS攻击表项1	哈希值1
疑似DDoS攻击表项2	哈希值2

表1

如上述表1所示，针对S202中计算的哈希值1，在本地疑似DDoS攻击表项中，存在与该哈希值1相匹配的疑似DDoS攻击表项1，可以确定发生疑似DDoS攻击，更新该疑似DDoS攻击表项1的有效时间，防止疑似DDoS攻击表项1老化。

如果在本地疑似DDoS攻击表项中不存在与该哈希值相匹配的疑似DDoS攻击表项，从外部获取与该哈希值相匹配的第二统计数值，其中该第二统计数值统计用于统计该哈希值的出现次数，即统计所述报文的出现次数，当该第二统计数值超过第二预设阈值时，表示发生DDoS攻击，即可以确定发生DDoS攻击，建立与该哈希值相匹配的疑似DDoS攻击表项，即上述所说的疑似DDoS攻击表项1，对于该报文进行丢弃处理。

其中该第二统计数值可以存储在外部缓存中，可以从外部缓存中获取与该哈希值相匹配的第二统计数值，而疑似DDoS攻击表项可以建立在本地缓存中，即根据本地缓存使用情况，建立与该哈希值相匹配的疑似DDoS攻击表项，由于本地缓存可能存在分配不足的情况，在本地缓存中无法建立与该哈希值相匹配的疑似DDoS攻击表项，故在本地缓存分配不足的情况下，仅启动加强版DDoS攻击防护，即上述所说的判断与该哈希值相匹配的第二统计数值是否超过第二预设阈值，当该第二统计数值超过第二预设阈值时，表示发生DDoS攻击，即可以确定发生DDoS攻击，即转而依据外部第二统计数值确定是否发生DDoS攻击。如此通过对外部第二统计数值的判断，做疑似DDoS攻击的学习，即建立疑似DDoS攻击表项，可以实现自主学习疑似DDoS攻击。

本申请实施例中对于所建立的疑似DDoS攻击表项，设置有效时间，如果疑似DDoS攻击表项在有效时间内未更新，即在有效时间内不存在哈希值与疑似DDoS攻击表项相匹配，则对疑似DDoS攻击表项进行老化处理。

对于外部第二统计数值可以通过如下方式得到：对于报文特征按照不同维度进行分类，例如对于源端口、目的端口、源IP、目的IP、传输层协议类型、报文中携带的数据等报文特征，可以按照源端口，源端口、目的端口，源端口、目的端口、源IP，源端口、目的端口、源IP、目的IP，源端口、目的端口、源IP、目的IP、传输层协议类型，源端口、目的端口、源IP、目的IP、传输层协议类型、报文中携带的数据等维度分为六类，分别计算这六类报文特征对应的哈希值，对于接收到的报文，解析报文中的报文特征，根据预设的哈希算法计算报文特征对应的哈希值，判断该哈希值是否与任意一类报文特征对应的哈希值匹配，若匹配，相应报文特征类别对应的统计值加1，选取这六类报文特征统计值最大的更新至外部第二统计数值。

S204，若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值相匹配的精确DDoS攻击表项；

如果在本地疑似DDoS攻击表项中存在与该哈希值相匹配的疑似DDoS攻击表项，可以确定发生疑似DDoS攻击，需要进一步进行分析：

判断本地是否存在与该哈希值相匹配的精确DDoS攻击表项。其中为了防止哈希冲突，本申请实施例优选的，判断本地是否存在与该哈希值、该报文特征相匹配的精确DDoS攻击表项；

若本地不存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，在本地建立与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，这里精确DDoS攻击表项中不仅记录哈希值，还记录报文特征，其目的是为了防止哈希冲突。对于所建立的精确DDoS攻击表项，在其中更新第一统计数值为1，后续持续更新该第一统计数值，即在该哈希值、报文特征同时出现的情况下，第一统计数值加1。

S205，若本地存在与所述哈希值相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；

若本地存在与所述哈希值相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值，即该第一统计数值加1。其中为了防止哈希冲突，本申请实施例优选的若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值。

S206，当所述精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值时，确定发生DDoS攻击。

对于精确DDoS攻击表项中记录的第一统计数值，判断其是否超过预设阈值，在精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值的情况下，确定发生DDoS攻击，表示该报文的出现次数超过第一预设阈值，可以确定发生DDoS攻击，后续可以直接丢弃此类报文。

通过上述对本申请实施例提供的技术方案的描述，通过计算报文特征对应的哈希值，通过哈希值进行疑似DDoS攻击判断，在确定发生疑似DDoS攻击的情况下，通过哈希值进行精确DDoS攻击判断，以此来确定是否发生DDoS攻击。如此本申请实施例提供的技术方案可以快速确定是否发生DDoS攻击。

与上述DDoS攻击确定方法的实施例相对应，本申请实施例还提供了一种DDoS攻击确定装置，如图3所示，该装置可以包括：特征解析模块310、哈希值计算模块320、第一判断模块330、第二判断模块340、数值更新模块350、DDoS攻击确定模块360。

特征解析模块310，用于当接收到报文时，解析所述报文中的报文特征；

哈希值计算模块320，用于根据预设的哈希算法计算所述报文特征对应的哈希值；

第一判断模块330，用于在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；

第二判断模块340，用于若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值相匹配的精确DDoS攻击表项；

数值更新模块350，用于若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；

DDoS攻击确定模块360，用于当所述精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值时，确定发生DDoS攻击。

在本申请实施例的一种具体实施方式中，所述第二判断模块340具体用于：

若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项；

所述数值更新模块350具体用于：

若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值。

在本申请实施例的一种具体实施方式中，所述装置还包括(图中未示出)：

时间更新模块，用于若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，更新所述疑似DDoS攻击表项的有效时间。

在本申请实施例的一种具体实施方式中，所述装置还包括(图中未示出)：

第一表项建立模块，用于若本地不存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，在本地建立与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，并更新所建立的精确DDoS攻击表项中记录的第一统计数值。

在本申请实施例的一种具体实施方式中，所述装置还包括(图中未示出)：

第二表项建立模块，用于若本地疑似DDoS攻击表项中不存在与所述哈希值相匹配的疑似DDoS攻击表项，从外部获取与所述哈希值相匹配的第二统计数值；

判断所述第二统计数值是否超过第二预设阈值；

若所述第二统计数值超过第二预设阈值，则建立与所述哈希值相匹配的疑似DDoS攻击表项，并确定与所述哈希值相匹配的疑似DDoS攻击表项的有效时间。

上述***实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

通过上述对本申请实施例提供的技术方案的描述，通过计算报文特征对应的哈希值，通过哈希值进行疑似DDoS攻击判断，在确定发生疑似DDoS攻击的情况下，通过哈希值进行精确DDoS攻击判断，以此来确定是否发生DDoS攻击。如此本申请实施例提供的技术方案可以快速确定是否发生DDoS攻击。

对于***实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的***实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本发明可以在由计算机执行的计算值可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

以上所述仅是本发明的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (8)

1.一种DDoS攻击确定方法，其特征在于，所述方法包括：

当接收到报文时，解析所述报文中的报文特征；

根据预设的哈希算法计算所述报文特征对应的哈希值；

在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；

若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项；

若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；

当所述精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值时，确定发生DDoS攻击。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，更新所述疑似DDoS攻击表项的有效时间。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若本地不存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，在本地建立与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，并更新所建立的精确DDoS攻击表项中记录的第一统计数值。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述方法还包括：

若本地疑似DDoS攻击表项中不存在与所述哈希值相匹配的疑似DDoS攻击表项，从外部获取与所述哈希值相匹配的第二统计数值；

判断所述第二统计数值是否超过第二预设阈值；

若所述第二统计数值超过第二预设阈值，则建立与所述哈希值相匹配的疑似DDoS攻击表项，并确定与所述哈希值相匹配的疑似DDoS攻击表项的有效时间。

5.一种DDoS攻击确定装置，其特征在于，所述装置包括：

特征解析模块，用于当接收到报文时，解析所述报文中的报文特征；

哈希值计算模块，用于根据预设的哈希算法计算所述报文特征对应的哈希值；

第一判断模块，用于在本地疑似DDoS攻击表项中，判断是否存在与所述哈希值相匹配的疑似DDoS攻击表项；

第二判断模块，用于若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，判断本地是否存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项；

数值更新模块，用于若本地存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，更新所述精确DDoS攻击表项中记录的第一统计数值；

DDoS攻击确定模块，用于当所述精确DDoS攻击表项中记录的第一统计数值超过第一预设阈值时，确定发生DDoS攻击。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：

时间更新模块，用于若本地疑似DDoS攻击表项中存在与所述哈希值相匹配的疑似DDoS攻击表项，更新所述疑似DDoS攻击表项的有效时间。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

第一表项建立模块，用于若本地不存在与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，在本地建立与所述哈希值、所述报文特征相匹配的精确DDoS攻击表项，并更新所建立的精确DDoS攻击表项中记录的第一统计数值。

8.根据权利要求5至7任一项所述的装置，其特征在于，所述装置还包括：

第二表项建立模块，用于若本地疑似DDoS攻击表项中不存在与所述哈希值相匹配的疑似DDoS攻击表项，从外部获取与所述哈希值相匹配的第二统计数值；

判断所述第二统计数值是否超过第二预设阈值；

若所述第二统计数值超过第二预设阈值，则建立与所述哈希值相匹配的疑似DDoS攻击表项，并确定与所述哈希值相匹配的疑似DDoS攻击表项的有效时间。

Images