基于概率神經(jīng)網(wǎng)絡(luò)的DDoS攻擊實(shí)時(shí)檢測方法研究與實(shí)現(xiàn).pdf

1、隨著網(wǎng)絡(luò)應(yīng)用范圍的越來越廣,其在人們的生活和社會中扮演越來越重要的角色,但是網(wǎng)絡(luò)的安全問題也隨之而來。自1996年初發(fā)現(xiàn)分布式拒絕服務(wù)攻擊(DDoS)以來,DDoS攻擊被廣泛用于網(wǎng)絡(luò)敲詐、商業(yè)競爭、甚至政治斗爭。已經(jīng)成為一種流行的破壞計(jì)算機(jī)或者網(wǎng)絡(luò)資源可用性的攻擊形式。拒絕服務(wù)攻擊由于容易實(shí)施、難以防范、難以追蹤等特點(diǎn)而成為最難解決的網(wǎng)絡(luò)安全問題之一。因此需要對網(wǎng)絡(luò)的狀況進(jìn)行實(shí)時(shí)監(jiān)控和預(yù)警,當(dāng)發(fā)生DDoS攻擊時(shí),如何及時(shí)準(zhǔn)確地檢測DDo

2、S攻擊變得更加重要。
　　 本文首先系統(tǒng)分析了DDoS攻擊原理、方法和現(xiàn)狀,特別是對其攻擊特征進(jìn)行了詳細(xì)的剖析；然后,在此基礎(chǔ)上引入了一種信息熵方法來描述攻擊特征,介紹并給出了一種基于概率神經(jīng)網(wǎng)絡(luò)的DDoS攻擊實(shí)時(shí)檢測模型；最后,討論了DDoS攻擊檢測系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)。因此本文主要工作如下:
　　 (1)本文重點(diǎn)分析了DDoS攻擊特征,通過比較給出了一種基于信息熵的DDoS攻擊特征描述方法。首先,選擇DDoS攻擊的相關(guān)特

3、征屬性:流量大小、源IP地址、目的IP地址、源端口號、目的端口號、生存時(shí)間。這些屬性能全面、有效地反應(yīng)出網(wǎng)絡(luò)流量的變化。然后,引入時(shí)間窗的方法來計(jì)算機(jī)信息熵,更加全面、有效地反應(yīng)出DDoS攻擊特征。
　　 (2)有些DDoS攻擊可能持續(xù)的時(shí)間非常短,多長時(shí)間提取網(wǎng)絡(luò)流量檢測一次網(wǎng)絡(luò)流量是否存在異常,對于檢測DDoS攻擊非常重要。為了提高檢測的實(shí)時(shí)性,本文提出了二級滑動窗口方法用以計(jì)算這些基于時(shí)間序列的特征屬性的信息熵:一級是基于

4、時(shí)間大小的滑動,二級滑動是計(jì)算信息熵時(shí)對數(shù)據(jù)包的滑動。
　　 (3)本文采用概率神經(jīng)網(wǎng)絡(luò)對這些特征屬性進(jìn)行分類,提出基于概率神經(jīng)網(wǎng)絡(luò)的DDoS攻擊實(shí)時(shí)檢測模型,并對該檢測模型進(jìn)行驗(yàn)證并對實(shí)驗(yàn)結(jié)果評估。概率神經(jīng)網(wǎng)絡(luò)優(yōu)勢在于概率神經(jīng)網(wǎng)絡(luò)對應(yīng)的權(quán)值就是模式樣本的分布,網(wǎng)絡(luò)不需要訓(xùn)練,能夠滿足實(shí)時(shí)處理的要求,有極快的學(xué)習(xí)收斂速度,用概率密度函數(shù)建立神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)性能好于其它的分類器,能夠自適應(yīng)設(shè)置平滑參數(shù),使分類更加準(zhǔn)確。實(shí)驗(yàn)評估部分,實(shí)

5、驗(yàn)數(shù)據(jù)集用麻省理工學(xué)院Lincoln實(shí)驗(yàn)室由DARPA為評估入侵檢測模型而建立的測試數(shù)據(jù)集,其中2000年LincolnLaboratory Scenario(DDoS)是專門用來測試DDoS攻擊。為了進(jìn)一步驗(yàn)證該方法的檢測率等方面問題,本文在局域網(wǎng)模擬DDoS攻擊并采集網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行驗(yàn)證。用檢測率、誤報(bào)率、漏報(bào)率和檢測時(shí)間評估檢測標(biāo)準(zhǔn)進(jìn)行驗(yàn)證
　　 (4)DDoS攻擊檢測原型系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)。通過實(shí)驗(yàn)結(jié)果評估得出用該方法檢測