基于时序列PDD的DDoS攻击检测.docVIP

2010年??4月 枣庄学院学报 Apr.?2010 第??27卷??第?2?期 JOURNAL?OF?ZAOZH?UANG?UN?IVERSITY V?o.l?27?NO.?2 基于时间序列?PDD?的?DDoS攻击检测 母军臣,?陈书理 (开封大学??软件技术学院,?河南??开封???475004) [?摘???要?]基于?DD?oS攻击的相关特性,?提出了?一种时间?序列??PDD?的??DD?oS攻击?检测方?法,?结?合时间?序列??PDD?的平?稳 性,?采用了非参数的??CU?SUM?算法检测?DD?oS?攻击,?并对该方法的有效性进行了模拟. * [?关键词?]?DD?oS;?时间序列;?非参数;??CU?SUM?算法 [?中图分类号?]?T?P393.??08 [文献标识码?]?A [?文章编号?]?1004-?7077(?2010)?02-??0070-?05 In?tern?et应用范围越?来越广,?网络安全问题已经成?为制约???In?tern?et应用和?发展的主?要 问题.?在若干网?络安全问题中,??DD?oS?(?DD?oS,???D?istribu?ted?D?en?ial?o?f?S?erv?ice)?攻击?[??1,??2,??3]?尤为突 出.?针对??DD?oS?攻击的特点,?结合相关?网络?协议和?技术?等,?已?经提?出了很?多种??DD?oS?攻?击 检测和防御策略?,?本文主要介绍一?种基于?时间序?列??PDD?的??DD?oS?攻击检?测方?法,?并给?出 了模拟测试结果?. 1 时间序列??PDD?分析 1.???1???相关概念 基于时间?序列??PDD?的检?测模型中,??用到了一个?时间序列???PDD?(?端口数?据密度??PDD, P?or?t??to?P?or?t?D?ata?D?en?sity),?其定义和相关?信息如下. 定义???1:?设???r=??{?p1,??p2,??,,???pi?}为网络数?据包集合,?用三元组?(??SA?i,???SPi,??DPi?)?表示???r中的 元素???Pi,?其中??SA?、SPi?和??DPi?分别?表示数据包??Pi?的源???IP地址、源?端口号和目的端口号.?如 果集合???r中所有元素的三元组?(?SA?i,??SPi,??D?Pi?)相同,?则称???r为相关集合. 定义???2:?设???P=??{?p1,???p2,??,,???pi?}?为??$?t时间?内网?络数?据包?集?合,???P?的?一?个划?分为???r1,???r2, ,,???rm,?且???r1G r2G??,?G???rm?=??P,???r1?H??r2?H?,?H???rm?=?U.?集?合??P?内相?关数据?包集合?为??R?=???{?r1,???r2, ,,???rm?}?,?定义集合??R?中元素的个数?(即??|R?|?)?为网络流量的端口数据密度??PDD. 图??1 数据包信息 *?[收稿日期?]?2010-?03?-?03 [基金项目?]河南省科技厅重点攻关项目?(?082102240038);?开封市科技发展计划项目?(?100124?) [作者简介?]母军臣?(?1979?-??),?男,?硕士,?河南鹿邑人,?主要研究方向为信息安全. #???70# 母军臣,?陈书理??基于时间序列?PDD的?DDoS攻击检测 图??2 聚合后的关联关系 假设得到的网络流?量的数据包集合为??P?=??{?p1,??p2,???p3,???p4,???p5,???p6,???p7,???p8?},??该集合的?数据 包信息如图???1所示,?聚?合后得到的关?联关系?如图???2?所示.?根?据定义???1?对?数据包?集合???P?进 行分析,?可以得?到相关的?数据?包集?合有 r1?=???{?p1,???p2?}、r2?=???{?p3?}、r3?=???{?p4?}、r4?=???{?p5?}、r5?= {?p6?}、r6?=??{?p7?}和???r7?=??{?p8?}??则有???R?=??{?r1,???r2,?,???rm,???r4,?,???r5,???r6,?,???r7?}.?根据定义??2?可知,?此网络流 量的时间序列???PDD?为??|R?|?=??7. DD?oS?的攻击特性?使网络?的??PDD?异常?增加,?因?此,?可以?根据???PDD?可?以检?测??DD?oS?攻 击.?需?要说明?的是,?合?法的网?络流量?也会使???PDD?增加,?但?是合法?网络流?量所要?