本发明公开了一种面向高速网络分组抽样数据采集场景的DDoS攻击检测方法，该方法首先使用等距抽样技术对网络分组进行抽样，然后使用两个包含多个计数器和哈希表的改良Count‑Min Sketch结构分别对UDP流量和TCP流量的有效特征进行快速提取，通过机器学习的决策树方法分别对UDP流量和TCP流量离线构造UDP Flood和SYN Flood流量分类器。利用这些构造好的分类器，使用Sketch结构在线记录抽样分组流的特征向量，实现在高速网络分组抽样数据采集场景里对常见的DDoS攻击UDP Flood和SYN Flood的在线检测。该方法能够以较低的时间复杂度和空间复杂度在高速网络环境中实现DDoS攻击准确识别，其中，UDP Flood检测方法能够很好的区分UDP Flood攻击流量与DNS单向请求流量，从而降低误判率，可用于高速网络的安全监测。