利索能及
我要发布
收藏
专利号: 2016105569573
申请人: 南京邮电大学
专利类型:发明专利
专利状态:已下证
更新日期:2025-04-10
缴费截止日期: 暂无
联系人

摘要:

权利要求书:

1.一种基于广义杰卡德相似系数Web应用层DDoS攻击检测方法,其特征在于,包括如下步骤:步骤一:设置时间间隔t;

步骤二:以t时间间隔内的数据量作为计算项,通过使用广义杰卡德相似系数计算公式计算当前t时间间隔内属性集合和历史正常属性集合的相似性,所述广义杰卡德相似系数计算公式如下:步骤三:将步骤二中计算出的杰卡德相似系数与预先设定的相似阈值γ比较,以此为依据判断是否发生DDoS攻击,所述的相似阈值γ通过如下步骤设置:步骤1:采集目标Web服务器正常情况下若干小时以来每个时间间隔t内HTTP请求作为历史正常数据,取不同历史正常数据各个属性特征平均值组成属性向量,此属性向量作为广义杰卡德相似系数计算公式中的x;

步骤2:模拟DDoS攻击,捕获若干个时间间隔t内流量数据作为样本,计算各个时间间隔t内流量数据的属性向量作为广义杰卡德相似系数计算公式中的xi,计算其杰卡德相似系数Sim(x,xi);

步骤3:取一个大于所有作为样本的DDoS攻击流量数据的杰卡德相似系数Sim(x,xi)的值作为相似阈值γ。

2.根据权利要求1所述的一种基于广义杰卡德相似系数Web应用层DDoS攻击检测方法,其特征在于,所述步骤二具体包括如下步骤:

步骤2.1:将若干次t时间间隔内不同历史正常数据取平均值计算x;

步骤2.2:计算当前t时间间隔内的xi值;

步骤2.3:计算杰卡德相似系数Sim(x,xi)。

3.根据权利要求2所述的一种基于广义杰卡德相似系数Web应用层DDoS攻击检测方法,其特征在于,所述的属性特征包括源IP地址熵值、数据包大小的熵值以及TCP连接数与HTTP请求数比值。

4.根据权利要求3所述的一种基于广义杰卡德相似系数Web应用层DDoS攻击检测方法,其特征在于,所述源IP地址熵值的计算步骤如下:步骤a1:定义IP_all={IP1,IP2,...IPi,...IPn},IP_all代表t时间间隔内源IP地址集合;

步骤a2:定义P={p1,p2,...,pi,...,pn},pi表示IPi的概率分布;

步骤a3:由步骤a1,a2得出t时间间隔内源IP地址的熵值为:

5.根据权利要求3所述的一种基于广义杰卡德相似系数Web应用层DDoS攻击检测方法,其特征在于,所述数据包大小的熵值的计算步骤如下:步骤b1:将流向目标主机的第i个数据流定义为flowi,则t时间间隔内采集到的流向目标主机的数据流flow_all表示为:flow_all={flow1,flow2,...flowi,...flown};

步骤b2:设P(flowi)为第i个流上数据包的数量,用pi表示其概率分布为:其中

步骤b3:由步骤b1,b2得出数据包大小的熵值为:

6.根据权利要求3所述的一种基于广义杰卡德相似系数Web应用层DDoS攻击检测方法,其特征在于,所述TCP连接数与HTTP请求数比值的计算步骤如下:步骤c1:定义tcpnum为t时间间隔内总的TCP连接数;

步骤c2:定义http_reqnum为t时间间隔内总的HTTP请求数;

步骤c3:由步骤c1,c2得到连接请求比为:

7.根据权利要求2所述的一种基于广义杰卡德相似系数Web应用层DDoS攻击检测方法,其特征在于,所述步骤三具体包括如下步骤:步骤3.1:将步骤二中计算出的杰卡德相似系数Sim(x,xi)与预先设定的相似阈值γ比较,若Sim(x,xi)>γ则进行步骤3.2后进入步骤3.4,否则则进行步骤3.3后进入步骤3.4;

步骤3.2:将xi加入历史正常数据;

步骤3.3:报警,作出攻击响应;

步骤3.4:回到步骤二。

8.一种基于广义杰卡德相似系数Web应用层DDoS攻击检测装置,其特征在于,包括:时间间隔设置模块:用于设置时间间隔t;

相似性比较模块:用于以t时间间隔内的数据量作为计算项,通过使用广义杰卡德相似系数计算公式计算当前t时间间隔内属性集合和历史正常属性集合的相似性,所述广义杰卡德相似系数计算公式如下:攻击识别模块:将相似性比较模块中计算出的杰卡德相似系数与预先设定的相似阈值γ比较,以此为依据判断是否发生DDoS攻击,所述的相似阈值γ通过如下步骤设置:

步骤1:采集目标Web服务器正常情况下若干小时以来每个时间间隔t内HTTP请求作为历史正常数据,取不同历史正常数据各个属性特征平均值组成属性向量,此属性向量作为广义杰卡德相似系数计算公式中的x;

步骤2:模拟DDoS攻击,捕获若干个时间间隔t内流量数据作为样本,计算各个时间间隔t内流量数据的属性向量作为广义杰卡德相似系数计算公式中的xi,计算其杰卡德相似系数Sim(x,xi);

步骤3:取一个大于所有作为样本的DDoS攻击流量数据的杰卡德相似系数Sim(x,xi)的值作为相似阈值γ。

9.一种相似阈值设置模块,包括:

平均值计算模块:用于采集目标Web服务器正常情况下若干小时以来每个时间间隔t内HTTP请求作为历史正常数据,取不同历史正常数据各个属性特征平均值组成属性向量,此属性向量作为广义杰卡德相似系数计算公式中的x;

攻击样本相似系数计算模块:用于模拟DDoS攻击,捕获若干个时间间隔t内流量数据作为样本,计算各个时间间隔t内流量数据的属性向量作为广义杰卡德相似系数计算公式中的xi,计算其杰卡德相似系数Sim(x,xi),所述广义杰卡德相似系数计算公式如下:相似阈值计算模块:用于取一个大于所有作为样本的DDoS攻击流量数据的杰卡德相似系数Sim(x,xi)的值作为相似阈值γ。