這樣的學(xué)習(xí)方式得到的結(jié)果雖然避免了固定閾值的“一刀切”式防護(hù)，但仍然存在不可避免的缺陷：無法針對(duì)單個(gè)IP進(jìn)行流量分析、學(xué)習(xí)間隙過長導(dǎo)致模型粗糙、特殊時(shí)間段(如凌晨、午休時(shí)間等)流量數(shù)據(jù)無參考價(jià)值、正常流量增長誤報(bào)為攻擊等。

對(duì)此迪普科技對(duì)自學(xué)習(xí)算法進(jìn)行了優(yōu)化，從IP流量、高頻采樣以及多維度流量特征三個(gè)維度展開學(xué)習(xí)，提升檢測策略與用戶業(yè)務(wù)的粘合度。

■ IP流量自學(xué)習(xí)

該用戶的業(yè)務(wù)包含A、B、C三個(gè)IP，Probe3000產(chǎn)品可以對(duì)各IP的流量趨勢進(jìn)行單點(diǎn)學(xué)習(xí)并生成對(duì)應(yīng)的檢測閾值：

對(duì)比后不難發(fā)現(xiàn)，基于整體流量趨勢計(jì)算得到的檢測閾值偏向C地址，該閾值對(duì)于A和B并沒有實(shí)質(zhì)性的效果。通過對(duì)單IP的流量分析和學(xué)習(xí)，可以給出更具體的檢測閾值。

■ 高頻采樣 精確學(xué)習(xí)

為了解決學(xué)習(xí)間隙過長導(dǎo)致采樣頻率過低，從而導(dǎo)致模型粗糙的問題，Probe3000產(chǎn)品憑借精確的檢測算法和高性能硬件架構(gòu)，將采樣頻率提高到分鐘級(jí)別，同時(shí)對(duì)于某些時(shí)間段內(nèi)不具備學(xué)習(xí)價(jià)值的流量，可以進(jìn)行相應(yīng)過濾，保證流量學(xué)習(xí)的精確性。

以下圖為例，在8:00到9:00期間，Probe3000產(chǎn)品采用每5分鐘學(xué)習(xí)一次的頻率對(duì)地址C制定的檢測閾值如下，經(jīng)對(duì)比后發(fā)現(xiàn)，在明顯發(fā)現(xiàn)縮短學(xué)習(xí)頻率后，生成的檢測閾值在業(yè)務(wù)流量未達(dá)到默認(rèn)上限前設(shè)備策略始終在不斷進(jìn)行自我完善，很大程度降低了誤報(bào)的概率。

■ 多維度流量特征

互聯(lián)網(wǎng)應(yīng)用流量是由多種流量成分構(gòu)成的，僅基于總流量來描述流量模型是不精確的，可能會(huì)存在不超過總流量閾值但某特定流量成分發(fā)起的拒絕服務(wù)攻擊。如：正常應(yīng)用總流量為100M時(shí)，SYN流量突增20M，雖然不會(huì)對(duì)總流量產(chǎn)生沖擊，但可能對(duì)TCP新建連接的性能產(chǎn)生影響。針對(duì)這樣的問題，Probe3000產(chǎn)品可以深入到流量成分和協(xié)議層面進(jìn)行學(xué)習(xí)，生成精確到具體流量類型的檢測閾值。

繼續(xù)以C地址為例，流向該地址的各類流量組成如下：

通過深入剖析流量組成類型，當(dāng)Probe3000產(chǎn)品發(fā)現(xiàn)某種流量突增時(shí)，會(huì)主動(dòng)停止對(duì)該部分異常流量的學(xué)習(xí)并產(chǎn)生告警信息，準(zhǔn)確定位隱藏在正常流量下的攻擊，通過對(duì)不同類型流量設(shè)定相應(yīng)的流量閾值，可以降低漏報(bào)概率，避免檢測結(jié)果中出現(xiàn)漏網(wǎng)之魚。

通過高頻度、多維度、細(xì)粒度的流量自學(xué)習(xí)功能，可以幫助運(yùn)營商的運(yùn)維工程師解決異常流量檢測閾值難調(diào)整，策略定制不準(zhǔn)確等問題。在日常使用中，將固定檢測策略模版與自學(xué)習(xí)功能有效結(jié)合使用，可以更大程度的降低運(yùn)維難度，提高檢測精度，提升用戶使用滿意度。

目前，迪普科技異常流量檢測&清洗設(shè)備廣泛應(yīng)用于三大運(yùn)營商，并于2019年獨(dú)家中標(biāo)中國移動(dòng)抗DDoS設(shè)備集中采購、獨(dú)家中標(biāo)中國聯(lián)通“云盾抗DDoS平臺(tái)”新建工程項(xiàng)目。一直以來，迪普科技始終致力于對(duì)自身產(chǎn)品功能及性能進(jìn)行優(yōu)化，同時(shí)不斷提高產(chǎn)品服務(wù)質(zhì)量，為客戶創(chuàng)造更大價(jià)值。

songjy

<tfoot id="beol1"></tfoot>