基于改进的Adaboost算法在应用层DDoS攻击检测中的应用.pdfVIP

基于改进的 Adaboost 算法在应用层 DDoS 攻击 检测 中的应用 刘 东 ,张骏温 ,张 艳 ,成梦曼 (北京交通大学计算机与信息技术学院 北京 100044) 摘 要 文中提出了一种用于应用层DDoS攻击检测的基于C4. 5决策树的 Adaboost改进算法 。为了 避免Adaboost算法过度关注噪声样本，引进了一个权重阈值，当权重大于阈值时将该样本从训练样本中 剔除 。在单位时间内从Web应用服务器的日志文件中提取每个ip请求服务器的总次数、请求大小、请求 URL的熵值、返回状态码的熵值、请求相同页面的次数、请求相同页面所占比例 ，并将这6个特征值作为 请求特征用于本文算法进行训练，以建立应用层DDoS检测的模型 。通过十折交叉验证的方式将所提算 法与传统Adaboost算法和C4. 5进行了对比，发现所提算法有较高的检测率。 关键词 应用层DDoS攻击，Adaboost，C4.5决策树，噪声样本，阈值 中图法分类号 TP393.08 文献标识码 A Application of Improved Adaboost Algorithm in Application Layer DDoS Attack Detection LIU Dong, ZHANG Jun-wen ,ZHANG Yan, CHENG Meng-man 万方数据 185 第10A期 刘东，等：基于改进的Adaboost算法在应用层DDoS攻击检测中的应用 负载，建立可信度模型来完成攻击检测。文献fs]提 2相关研究 出了一种通过信息熵和卡尔曼滤波来分析攻击发生 2．1 常见的应用层DDoS攻击的介绍 时突发流量与正常流量之间的差异而进行检测的 应用层DDoS攻击具有以下特点[1j： 方法。 1)攻击的不对称性。一次应用层请求会产生大 基于行为分析的方式主要是指通过建立正常用 量的服务器后台操作，使攻击者只需发送少量的请 户访问网站的行为模型，将与正常模型偏差较大的 求就可以消耗大量的服务器资源，进而使服务器 访问模型判断为攻击。文献E6]提出了一种通过马 宕机。 尔科夫链的方式建立正常访问模型来对攻击进行检 2)建立的连接是合法的。因攻击利用的是网络 测的方法。 协议的第七层，所以每次攻击需建立合法的连接，难 本文基于行为分析的方式，通过提取El志文件 以被传统的检测方法发现。 中的请求行为特征来建立攻击检测模型。 根据攻击频率，可以将攻击分为高速和低速攻 3算法介绍 击： 3．1 AdaBoost算法原理 高速攻击类似于传统的Flood攻击，发送大量 的Http—Requset请求，耗尽目标主机资源。 AdaBoost算法通过将多轮训练出的若干个弱 低速攻击是利用应用层协议的特点，有选择性 学习器相叠加的方法建立强分类器，其具体步骤如 地向目标主机发送低频率的请求，长期占用服务器 下所示： 资源。常见的低速攻击有以下3类[2]： 1)Slowheaders利用了HTTP协议每次请求以 {+1，一1}，i一1，2，…，，2)，赋予初始权重Wt，。一三， 两次“＼r＼n”为结尾的特征，在攻击时发送大量的以