本申请实施例提供了一种识别DDOS攻击数据流的方法及装置，涉及网络安全技术领域，所述方法应用于检测设备，所述方法包括：接收网络设备发送的sFlow报文，所述sFlow报文携带有各数据流的数据流统计信息、以及所述各数据流的采样起始时间和采样结束时间；针对每条数据流，确定该数据流对应的采样起始时间和采样结束时间之间的时间间隔，并根据该数据流的数据流统计信息和所述时间间隔，确定该数据流对应的传输速率；如果该数据流对应的传输速率超过预设阈值，则确定该数据流是DDOS攻击数据流。采用本申请可以降低误识别率。