0769-82801009

519929611@qq.com

異常流量檢測也能“定制化”?——迪普科技Probe3000助您精準(zhǔn)定位檢測閾值

2022-12-21 14:51:10 147小編

  ■ 背景介紹

  面對日益嚴(yán)峻的DDoS攻擊,政企、金融、教育等用戶為確保業(yè)務(wù)的穩(wěn)定運行,往往會購買抗DDoS服務(wù)。運營商作為最大的異常流量清洗服務(wù)提供商,可以通過基于流量閾值、報文特征等方式進(jìn)行大流量DDoS攻擊防護(hù),同時也需要針對不同的用戶制定細(xì)粒度的檢測策略并提供相應(yīng)的防護(hù),為用戶提供更好的流量清洗服務(wù)。

  在為用戶定制防護(hù)策略的過程中,流量檢測的閾值設(shè)定是重要的一環(huán),為此迪普科技Probe3000異常流量檢測產(chǎn)品在提供檢測策略模版的同時推出基于多維度的流量自學(xué)習(xí)功能,旨在提升流量檢測效率,為防護(hù)策略的制定提供可靠的數(shù)據(jù)支撐。

  常見的流量自學(xué)習(xí)功能普遍將用戶的所有應(yīng)用視為一個整體防護(hù)對象,根據(jù)一天中整個防護(hù)對象的流量趨勢篩選出峰值流量進(jìn)行自學(xué)習(xí)計算。下圖為某傳統(tǒng)的檢測設(shè)備通過該算法得到的某用戶業(yè)務(wù)整體流量趨勢和相應(yīng)檢測閾值:

瀟灑培訓(xùn)歡迎你(瀟灑學(xué)校)

  這樣的學(xué)習(xí)方式得到的結(jié)果雖然避免了固定閾值的“一刀切”式防護(hù),但仍然存在不可避免的缺陷:無法針對單個IP進(jìn)行流量分析、學(xué)習(xí)間隙過長導(dǎo)致模型粗糙、特殊時間段(如凌晨、午休時間等)流量數(shù)據(jù)無參考價值、正常流量增長誤報為攻擊等。

  對此迪普科技對自學(xué)習(xí)算法進(jìn)行了優(yōu)化,從IP流量、高頻采樣以及多維度流量特征三個維度展開學(xué)習(xí),提升檢測策略與用戶業(yè)務(wù)的粘合度。

  ■ IP流量自學(xué)習(xí)

  該用戶的業(yè)務(wù)包含A、B、C三個IP,Probe3000產(chǎn)品可以對各IP的流量趨勢進(jìn)行單點學(xué)習(xí)并生成對應(yīng)的檢測閾值:

瀟灑培訓(xùn)歡迎你(瀟灑學(xué)校)

瀟灑培訓(xùn)歡迎你(瀟灑學(xué)校)

瀟灑培訓(xùn)歡迎你(瀟灑學(xué)校)

  對比后不難發(fā)現(xiàn),基于整體流量趨勢計算得到的檢測閾值偏向C地址,該閾值對于A和B并沒有實質(zhì)性的效果。通過對單IP的流量分析和學(xué)習(xí),可以給出更具體的檢測閾值。

  ■ 高頻采樣 精確學(xué)習(xí)

  為了解決學(xué)習(xí)間隙過長導(dǎo)致采樣頻率過低,從而導(dǎo)致模型粗糙的問題,Probe3000產(chǎn)品憑借精確的檢測算法和高性能硬件架構(gòu),將采樣頻率提高到分鐘級別,同時對于某些時間段內(nèi)不具備學(xué)習(xí)價值的流量,可以進(jìn)行相應(yīng)過濾,保證流量學(xué)習(xí)的精確性。

  以下圖為例,在8:00到9:00期間,Probe3000產(chǎn)品采用每5分鐘學(xué)習(xí)一次的頻率對地址C制定的檢測閾值如下,經(jīng)對比后發(fā)現(xiàn),在明顯發(fā)現(xiàn)縮短學(xué)習(xí)頻率后,生成的檢測閾值在業(yè)務(wù)流量未達(dá)到默認(rèn)上限前設(shè)備策略始終在不斷進(jìn)行自我完善,很大程度降低了誤報的概率。

瀟灑培訓(xùn)歡迎你(瀟灑學(xué)校)

  ■ 多維度流量特征

  互聯(lián)網(wǎng)應(yīng)用流量是由多種流量成分構(gòu)成的,僅基于總流量來描述流量模型是不精確的,可能會存在不超過總流量閾值但某特定流量成分發(fā)起的拒絕服務(wù)攻擊。如:正常應(yīng)用總流量為100M時,SYN流量突增20M,雖然不會對總流量產(chǎn)生沖擊,但可能對TCP新建連接的性能產(chǎn)生影響。針對這樣的問題,Probe3000產(chǎn)品可以深入到流量成分和協(xié)議層面進(jìn)行學(xué)習(xí),生成精確到具體流量類型的檢測閾值。

  繼續(xù)以C地址為例,流向該地址的各類流量組成如下:

瀟灑培訓(xùn)歡迎你(瀟灑學(xué)校)

瀟灑培訓(xùn)歡迎你(瀟灑學(xué)校)

  通過深入剖析流量組成類型,當(dāng)Probe3000產(chǎn)品發(fā)現(xiàn)某種流量突增時,會主動停止對該部分異常流量的學(xué)習(xí)并產(chǎn)生告警信息,準(zhǔn)確定位隱藏在正常流量下的攻擊,通過對不同類型流量設(shè)定相應(yīng)的流量閾值,可以降低漏報概率,避免檢測結(jié)果中出現(xiàn)漏網(wǎng)之魚。

  通過高頻度、多維度、細(xì)粒度的流量自學(xué)習(xí)功能,可以幫助運營商的運維工程師解決異常流量檢測閾值難調(diào)整,策略定制不準(zhǔn)確等問題。在日常使用中,將固定檢測策略模版與自學(xué)習(xí)功能有效結(jié)合使用,可以更大程度的降低運維難度,提高檢測精度,提升用戶使用滿意度。

  目前,迪普科技異常流量檢測&清洗設(shè)備廣泛應(yīng)用于三大運營商,并于2019年獨家中標(biāo)中國移動抗DDoS設(shè)備集中采購、獨家中標(biāo)中國聯(lián)通“云盾抗DDoS平臺”新建工程項目。一直以來,迪普科技始終致力于對自身產(chǎn)品功能及性能進(jìn)行優(yōu)化,同時不斷提高產(chǎn)品服務(wù)質(zhì)量,為客戶創(chuàng)造更大價值。

  • 聯(lián)系人:石老師/丘老師
  • 電話:15818402896 / 15019229965
  • 郵箱:qiufukang2007@163.com
  • 主辦單位:東莞市橫瀝瀟灑職業(yè)培訓(xùn)學(xué)校
  • 技術(shù)支持:廣東智造人才信息技術(shù)科技有限公司
  • 招生熱線:0769-82801009