基于决策树的DDoS攻击检测方法研究.pdfVIP

200 9年12 月 山东师范大学学报( 自然科学版) Dee ．2009 第24卷第4期 J our nal of Sh a ndon g Nor mal Uni ver si t y ( Nat u r al Sci enc e) V01．2 4 No．4 基 于 决 策 树 的 DDoS攻 击 检 测 方 法 研 究 胡 滨 代 昆玉 ( 贵州大学计算机科学系 ， ( 102 ，贵 阳∥第一作者32 岁，男，讲师) 摘要采用决策 树中的ID3算法，提出一种基于数据 挖掘技术的DDo S攻击检 测方法．该方法从被监 控网络采集的数据中提 取网络流量特征设计检测系统，较好地解决了网络流量分析中数值属性特征的分类 问题 ．实验结果表 明该系统能有效检测网络 中 发生的DDo S攻击行为． 关键词DDoS攻击；网络流量；数据挖掘；I D3算法 中图分类号11P 301 文献标识码A doi ：10 ．3969 ／j ．i s en．100 1—4748．2009．04 ．006 1 引 言 DDoS( 分布式拒绝服务) 攻击利用分布在不 同地点的大量计算机 ，采用协作方式，同时向 目标机发送大量合法的超过其处 理能力的数据包 ，不断消耗 目标机 的网络带宽或系统资源 ，使被攻击对象不能提供正常的服务甚至瘫痪 ．研究表明DDoS攻击 已成为当前计算机 网络安全中最难解 决的问题 ¨J ． 当代互联网是基于r I ℃P ／坤协议设计 的．由于 1℃P ／口协议 的脆弱性 ，一般认为除非修改其 内核 ，否则理论上没有办法彻 底解决DDoS攻击 ．目前可通过一些技术手段 ，如检测和过滤，来有效地阻止一些DDoS攻击 ，降低攻击造成的危害呤J ．为避免 DDoS攻击可能造成的灾难性后果，必须尽可能早地检测出DDoS攻击行为并采取相应的对策 ． DDoS攻击检测系统用于监控网络中进出数据、识别DDoS攻击行为，为后期防御DDoS攻击提供参考信息．在数据量庞大 而又复杂 的网络流量 中，正确识别其中含有的DDoS攻击行为特征 ，并有效地提高检测精度都是当前急需解决的问题． 笔者提出一种基于数据挖掘决策树技术的DDoS攻击检测方法．该方法实时监控网络中进出的数据包，采用I D3算法处 理数据提取网络流量 的异常特征，对于DDoS攻击行为有较好 的检测效果． 2 DDoS攻击检测系统设计 当前多数攻击检测系统是基于Dor ot hy Denni ng 的攻击 检测模型 ，这种模型分为误用检测和异常检测 ¨J ．与误用检 测方法相比，异常检测的明显优点是能够检测出新的攻击 类型． 实际应用时，基于误用DDoS攻击检测必须和基 于异 常DDoS攻击检测联合使用才能达到理想效果，这就产生 了基于混合模式DDoS攻击检测 ．它将误用检测和 异常检 测两种方式混合一起使用．在基于混合模式的攻击检测系 统 中，可以使用数据挖掘技术 ，由异常检测发现攻击，从发 现的攻击 中摘录特征放入误用模式特征库中，再利用误用 检测的方法检测DDoS攻击． 本文的DDoS攻击检测 系统采用了基于混合模式 的检 测方法 ．系统采用流量监控获得网络的相关数据 ，并将采集 到的数据存储到数据库 中．利用数据挖掘方法获取对该网 络的访问规律，将相应的规律放入到DDoS攻击检测系统 中，实时监控网络 中相关数据量的变化，一旦发现DDoS攻 图1 DDo S攻击检测 系统体系结构 击就迅速做 出相应处理．系统分为数据获取模块 、数据预处理模块 、数据挖掘模块、攻击检测模块 、规则评估模块 个部分 ，如 图l 所示． ·贵州省商层次人才科研条件特助经费资助项 目( TZJF一2007年23 号) 收稿 日期：2009 —09—07 19 第24卷 山东师范大学学报( 自然科学版) 第4 期 图l 中，数据获取