基于TCP流量分布異常的慢速拒絕服務(wù)攻擊檢測(cè)方法.pdf

1、慢速拒絕服務(wù)（Low rate Denial of Service，LDoS）攻擊是一種新型拒絕服務(wù)（Denial of Service，DoS）攻擊，其產(chǎn)生的攻擊效果近似于DoS攻擊但攻擊隱蔽性更強(qiáng)。目前LDoS攻擊檢測(cè)存在兩方面的問題：其一是由于攻擊行為特征異于傳統(tǒng)DoS攻擊，傳統(tǒng)DoS攻擊檢測(cè)方法難以檢測(cè)LDoS攻擊；其二是已有的LDoS攻擊檢測(cè)方法普遍存在檢測(cè)準(zhǔn)確性不高、檢測(cè)范圍有限、算法復(fù)雜、資源消耗大且實(shí)時(shí)性弱、自適應(yīng)能力欠

2、缺等缺點(diǎn)。因此，深入開展LDoS攻擊檢測(cè)方法的研究對(duì)防范惡意網(wǎng)絡(luò)攻擊、保障網(wǎng)絡(luò)安全具有重要的理論價(jià)值和現(xiàn)實(shí)意義。
　　基于LDoS攻擊的基本原理，借助形式化描述方法構(gòu)建了LDoS攻擊的攻擊模型和攻擊公式，提取了與攻擊效果緊密相關(guān)的若干攻擊參數(shù)，刻畫了攻擊參數(shù)與攻擊效果和攻擊效能之間的關(guān)系。為全面反映LDoS攻擊對(duì)數(shù)據(jù)流量的影響，在相關(guān)研究的基礎(chǔ)上建立了三個(gè)典型的網(wǎng)絡(luò)場(chǎng)景，以用于分析、歸納并提取LDoS攻擊發(fā)生時(shí)有效TCP（Tran

3、smission Control Protocol）流量和其它數(shù)據(jù)流量的頻數(shù)分布特征、有效TCP流量的分布形態(tài)特征和波動(dòng)形態(tài)特征。此外，為恰當(dāng)評(píng)測(cè)LDoS攻擊檢測(cè)方法的性能，建立了LDoS攻擊檢測(cè)方法的評(píng)價(jià)指標(biāo)。
　　大量分析發(fā)現(xiàn)，LDoS攻擊發(fā)生時(shí)有效TCP流量的頻數(shù)分布、分布形態(tài)和波動(dòng)形態(tài)均會(huì)發(fā)生異常。為檢測(cè)有效TCP流量的頻數(shù)分布異常，借助卡方距離在度量直方圖距離時(shí)區(qū)分能力強(qiáng)的優(yōu)勢(shì)，通過計(jì)算頻數(shù)分布的直方圖距離檢測(cè)頻數(shù)分布的

4、異常，提出了一種基于有效TCP流量頻數(shù)分布異常的LDoS攻擊檢測(cè)方法，并建立了相關(guān)判斷準(zhǔn)則。在檢測(cè)有效TCP流量分布形態(tài)異常的過程中，為了消除樣本原始值偶然誤差的負(fù)面影響，采用了自適應(yīng)指數(shù)加權(quán)移動(dòng)平均AEWMA（Adaptive Exponentially Weighted MovingAverage）算法統(tǒng)計(jì)樣本原始值，同時(shí)通過從離散程度和振蕩頻率兩個(gè)方面來分別檢測(cè)分布形態(tài)的異常，提出了一種基于有效TCP流量分布形態(tài)異常的LDoS攻擊

5、檢測(cè)方法，并建立了相關(guān)判斷準(zhǔn)則。在檢測(cè)有效TCP流量波動(dòng)形態(tài)異常的過程中，為了從較小的時(shí)間尺度觀察波動(dòng)形態(tài)，提出了數(shù)據(jù)片的概念，同時(shí)依據(jù)所檢測(cè)數(shù)據(jù)片內(nèi)波動(dòng)形態(tài)的異常，提出了一種基于有效TCP流量波動(dòng)形態(tài)異常的LDoS攻擊檢測(cè)方法，并建立了相關(guān)判斷準(zhǔn)則。
　　針對(duì)僅使用單一檢測(cè)方法檢測(cè)單一異常特征有可能導(dǎo)致檢測(cè)精度不夠的問題，通過分析所提出的三種檢測(cè)方法在不同檢測(cè)環(huán)境下的優(yōu)勢(shì)和不足，結(jié)合三種方法具有的互補(bǔ)特性，構(gòu)建了一個(gè)融合多種檢測(cè)

6、方法的LDoS攻擊檢測(cè)系統(tǒng)原型，給出了該檢測(cè)系統(tǒng)的檢測(cè)規(guī)則、處理流程及相關(guān)算法。
　　模擬實(shí)驗(yàn)表明，在一定的網(wǎng)絡(luò)環(huán)境下，所提出的三種LDoS檢測(cè)方法檢測(cè)準(zhǔn)確度高，誤報(bào)率和漏報(bào)率低。此外，基于通用數(shù)據(jù)集LBNL（Lawrence Berkeley National Laboratory）數(shù)據(jù)集與MAWI（MeasurementandAnalysis on the WIDE Internet）數(shù)據(jù)集和DARPA99（DefenseAd