一种检测网络攻击的方法和设备

摘要

本发明实施例公开了一种检测网络攻击的方法，包括：接收数据包，获取数据包的相邻观察时刻的平均距离值的比较值；对所述比较值进行累积和统计，获得累积和的统计量；在预定的观察周期内，当所述累积和的统计量超过预先设定的阈值时，判定发生网络攻击。本发明中，CUSUM算法主要是累积明显比正常运行情况下的平均水平高的变量的值，即累积差异值，因此能够更准确地检测网络攻击，发生减小误报率；同时，算法简单，可以迅速地检测出网络攻击。

主权项

一种检测网络攻击的方法，其特征在于，包括：接收数据包，获取所述数据包的相邻观察时刻的平均距离值的比较值，其中，数据包的距离值定义为(TTL初值‑TTL终值)，生存时间TTL是IP数据包的IP报头的一个域，TTL终值可以从收到的数据包中来读取，而TTL初值则由操作系统来设定，数据包的所述平均距离值就是对所有数据包的距离值求和，用所得出的结果除以数据包的个数，数据包的一观察时刻的平均距离值是从上一观察时刻到本观察时刻所经历的一个预定的时间间隔内所有接收到的数据包的平均距离值；对所述比较值进行累积和统计，获得累积和的统计量；在预定的观察周期内，当所述累积和的统计量超过预先设定的阈值时，判定发生网络攻击。