基于概率神經(jīng)網(wǎng)絡(luò)的DDoS攻擊實(shí)時(shí)檢測(cè)方法研究與實(shí)現(xiàn).pdf

1、隨著網(wǎng)絡(luò)應(yīng)用范圍的越來(lái)越廣,其在人們的生活和社會(huì)中扮演越來(lái)越重要的角色,但是網(wǎng)絡(luò)的安全問(wèn)題也隨之而來(lái)。自1996年初發(fā)現(xiàn)分布式拒絕服務(wù)攻擊(DDoS)以來(lái),DDoS攻擊被廣泛用于網(wǎng)絡(luò)敲詐、商業(yè)競(jìng)爭(zhēng)、甚至政治斗爭(zhēng)。已經(jīng)成為一種流行的破壞計(jì)算機(jī)或者網(wǎng)絡(luò)資源可用性的攻擊形式。拒絕服務(wù)攻擊由于容易實(shí)施、難以防范、難以追蹤等特點(diǎn)而成為最難解決的網(wǎng)絡(luò)安全問(wèn)題之一。因此需要對(duì)網(wǎng)絡(luò)的狀況進(jìn)行實(shí)時(shí)監(jiān)控和預(yù)警,當(dāng)發(fā)生DDoS攻擊時(shí),如何及時(shí)準(zhǔn)確地檢測(cè)DDo

2、S攻擊變得更加重要。
　　 本文首先系統(tǒng)分析了DDoS攻擊原理、方法和現(xiàn)狀,特別是對(duì)其攻擊特征進(jìn)行了詳細(xì)的剖析；然后,在此基礎(chǔ)上引入了一種信息熵方法來(lái)描述攻擊特征,介紹并給出了一種基于概率神經(jīng)網(wǎng)絡(luò)的DDoS攻擊實(shí)時(shí)檢測(cè)模型；最后,討論了DDoS攻擊檢測(cè)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)。因此本文主要工作如下:
　　 (1)本文重點(diǎn)分析了DDoS攻擊特征,通過(guò)比較給出了一種基于信息熵的DDoS攻擊特征描述方法。首先,選擇DDoS攻擊的相關(guān)特

3、征屬性:流量大小、源IP地址、目的IP地址、源端口號(hào)、目的端口號(hào)、生存時(shí)間。這些屬性能全面、有效地反應(yīng)出網(wǎng)絡(luò)流量的變化。然后,引入時(shí)間窗的方法來(lái)計(jì)算機(jī)信息熵,更加全面、有效地反應(yīng)出DDoS攻擊特征。
　　 (2)有些DDoS攻擊可能持續(xù)的時(shí)間非常短,多長(zhǎng)時(shí)間提取網(wǎng)絡(luò)流量檢測(cè)一次網(wǎng)絡(luò)流量是否存在異常,對(duì)于檢測(cè)DDoS攻擊非常重要。為了提高檢測(cè)的實(shí)時(shí)性,本文提出了二級(jí)滑動(dòng)窗口方法用以計(jì)算這些基于時(shí)間序列的特征屬性的信息熵:一級(jí)是基于

4、時(shí)間大小的滑動(dòng),二級(jí)滑動(dòng)是計(jì)算信息熵時(shí)對(duì)數(shù)據(jù)包的滑動(dòng)。
　　 (3)本文采用概率神經(jīng)網(wǎng)絡(luò)對(duì)這些特征屬性進(jìn)行分類(lèi),提出基于概率神經(jīng)網(wǎng)絡(luò)的DDoS攻擊實(shí)時(shí)檢測(cè)模型,并對(duì)該檢測(cè)模型進(jìn)行驗(yàn)證并對(duì)實(shí)驗(yàn)結(jié)果評(píng)估。概率神經(jīng)網(wǎng)絡(luò)優(yōu)勢(shì)在于概率神經(jīng)網(wǎng)絡(luò)對(duì)應(yīng)的權(quán)值就是模式樣本的分布,網(wǎng)絡(luò)不需要訓(xùn)練,能夠滿(mǎn)足實(shí)時(shí)處理的要求,有極快的學(xué)習(xí)收斂速度,用概率密度函數(shù)建立神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)性能好于其它的分類(lèi)器,能夠自適應(yīng)設(shè)置平滑參數(shù),使分類(lèi)更加準(zhǔn)確。實(shí)驗(yàn)評(píng)估部分,實(shí)

5、驗(yàn)數(shù)據(jù)集用麻省理工學(xué)院Lincoln實(shí)驗(yàn)室由DARPA為評(píng)估入侵檢測(cè)模型而建立的測(cè)試數(shù)據(jù)集,其中2000年LincolnLaboratory Scenario(DDoS)是專(zhuān)門(mén)用來(lái)測(cè)試DDoS攻擊。為了進(jìn)一步驗(yàn)證該方法的檢測(cè)率等方面問(wèn)題,本文在局域網(wǎng)模擬DDoS攻擊并采集網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行驗(yàn)證。用檢測(cè)率、誤報(bào)率、漏報(bào)率和檢測(cè)時(shí)間評(píng)估檢測(cè)標(biāo)準(zhǔn)進(jìn)行驗(yàn)證
　　 (4)DDoS攻擊檢測(cè)原型系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)。通過(guò)實(shí)驗(yàn)結(jié)果評(píng)估得出用該方法檢測(cè)