基于SVM分类器的SYN+Flood攻击检测规则生成方法的研究.pdfVIP

第 22 卷第 10 期 计算机应用与软件 Vol.22, No.10 2005 年 10 月 Computer Applications and Software Oct. 2005 基于 SVM 分类器的 SYN Flood 攻击检测规则生成方法的研究 蒋 琦 庄 毅 谢 东 (南京航空航天大学信息工程与技术学院 江苏 南京 210016) (SYN flood ) , TCP , 摘 要 洪泛攻击 是目前最常用的拒绝服务攻击之一 它通过发送大量 请求连接报文 造成大量的半连接从而消 . IP , . 耗网络资源 由于洪泛攻击中所使用的数据包都是正常数据包，又采用了伪 技术 使得对其的检测和阻断都十分困难 本文分析了 洪泛攻击的攻击原理以及检测并阻断攻击困难的原因，提出了二次检测的防御方法，先用 SVM 异常检测分类器检测出攻击报文, . SYN flood 再依据报文相似度生成误用检测规则从而阻断攻击报文 试验结果表明这种方法对 攻击的检测效果明显。 关键词 SYN flood SVM 入侵检测 规则生成 A WAY TO CREATE MISUSE RULES TO DETECT SYNFLOOD BASED ON SVM Jiang Qi Zhuang Yi Xie Dong (College of Information Science and Technology, Nanjing University of Aeronautics and Astronautics, Nanjing Jiangsu 210016, China) Abstract SYN flood is the most popular DOS(Denial of Sever) attack at present. It makes lots of half-connection to use up the net resource through send huge number of TCP connect-request packet. It is difficult to defense this kind of attack because the packets it sent are the normal packets with fake IP address. This article analysis the elements of SYN flood attack and why it is so difficult to defense. And the article also gives a way to defense SYN flood through twice detect and interdiction: First, detect the abnormal packet using the classifier based on the SVM(Support Vector Machine) arithmetic, than create the misuse rule using the similar degree of the v