基于偏二叉树SVM多分类算法的应用层DDoS检测方法App-DDoS.PDFVIP

第4 卷第3 期 网络与信息安全学报 Vol.4 No.3 2018 年3 月 Chinese Journal of Network and Information Security March 2018 基于偏二叉树 SVM 多分类算法的应用层 DDoS 检测方法 1,2 1,2 1,2 1,2 张斌 ，刘自豪 ，董书琴 ，李立勋 （1. 信息工程大学，河南 郑州 450001 ； 2. 河南省信息安全重点实验室，河南 郑州 450001 ） 摘 要：针对基于流量特征的应用层DDoS 检测方法侧重于检测持续型应用层DDoS 攻击，而忽略检测上升 型与脉冲型应用层DDoS 攻击的问题，提出一种综合检测多类型应用层 DDoS 攻击的方法。首先通过 Hash 函数及开放定址防碰撞方法，对多周期内不同源IP 地址建立索引，进而实现HTTP GET 数的快速统计功能， 以支持对刻画数据规模、流量趋势及源 IP 地址分布差异所需特征参数的实时计算；然后采用偏二叉树结构 组合SVM 分类器分层训练特征参数，并结合遍历与反馈学习的方法，提出基于偏二叉树SVM 多分类算法的 应用层DDoS 检测方法，快速区分出非突发正常流量、突发正常流量及多类型App-DDoS 流量。实验表明， 所提算法通过划分检测类型、逐层训练检测模型，与传统基于SVM、Navie Bayes 的检测方法相比，具有更 高的检测率与更低的误检率，且能有效区分出具体攻击类型。 关键词：应用层DDoS 攻击；HTTP GET 统计模型；流量特征参数；SVM 多分类器 中图分类号：TP393 文献标识码：A doi: 10.11959/j.issn.2096-109x.2018020 App-DDoS detection method using partial binary tree based SVM algorithm ZHANG Bin1,2, LIU Zihao1,2, DONG Shuqin1,2, LI Lixun1,2 1. Information and Engineering University, Zhengzhou 450001, China 2. Key Laboratory of Information Security, Zhengzhou 450001, China Abstract: As it ignored the detection of ramp-up and pulsing type of application layer DDoS (App-DDoS) attacks in existing flow-based App-DDoS detection methods, an effective detection method for multi-type App-DDoS was proposed. Firstly, in order to fast count the number of HTTP GET for users and further support the calculation of feature parameters applied in detection method, the ind