基于小波分析的DDOS入侵檢測(cè)研究.pdf

1、DDoS（分布式拒絕服務(wù)）攻擊是一種分布、協(xié)作的大規(guī)模攻擊方式。通過聯(lián)合或控制網(wǎng)絡(luò)上若干主機(jī)同時(shí)發(fā)動(dòng)DoS攻擊，制造數(shù)以百萬計(jì)的數(shù)據(jù)分組流入欲攻擊的目標(biāo)，大量消耗目標(biāo)系統(tǒng)資源，從而造成合法用戶無法獲得服務(wù)。DDoS攻擊給網(wǎng)絡(luò)的正常運(yùn)行帶來了極大的危害，具有隱蔽性和分布性，難以進(jìn)行檢測(cè)和防范，這使得近年來研究DDoS攻擊的檢測(cè)與防范方法成為入侵檢測(cè)領(lǐng)域的一個(gè)研究熱點(diǎn)。本文主要基于流量的自相似性，利用小波方法來研究DDoS攻擊的檢測(cè)和防范。

2、 本文首先概述了入侵檢測(cè)相關(guān)技術(shù)的研究現(xiàn)狀、采用的一般原理與方法，結(jié)合大量資料分析了DDoS方面的國內(nèi)外研究進(jìn)展。 其次，本文簡(jiǎn)要介紹了近年來理論界和工程界采用較多的一種方法――小波變換，其具有的多尺度分析特性可以對(duì)信號(hào)進(jìn)行更為準(zhǔn)確的分析。學(xué)術(shù)界的研究成果以及本文實(shí)測(cè)數(shù)據(jù)均表明：網(wǎng)絡(luò)流量具有自相似性。利用小波方法分析自相似性可以取得很好的效果，本文推導(dǎo)了利用小波來分析網(wǎng)絡(luò)流量的方法，作為本文的理論基礎(chǔ)。 再次，本

3、文描述了DoS攻擊的一般步驟，對(duì)DoS攻擊的機(jī)理進(jìn)行了分析，尤其是結(jié)合TCP擁塞控制機(jī)制對(duì)弱DoS攻擊機(jī)理進(jìn)行了較為深入的研究。弱DoS攻擊并不產(chǎn)生很大的總流量，因而難以用常規(guī)的流量控制手段加以遏制。為了比較好地檢測(cè)到弱DoS攻擊，本文設(shè)計(jì)了一種DDoS檢測(cè)與防范模型。該模型采集IP包頭獲得流量信息；利用小波方法計(jì)算流量的Hurst參數(shù)，以是否超出閾值來判斷是否遭受DoS攻擊；采用數(shù)字濾波的方案對(duì)作為判決基準(zhǔn)的Hurst參數(shù)對(duì)不同網(wǎng)絡(luò)情

4、況進(jìn)行自適應(yīng)；當(dāng)認(rèn)為受到攻擊后，結(jié)合連接信任域來進(jìn)行響應(yīng)。實(shí)驗(yàn)表明：該模型可以檢測(cè)到弱DoS攻擊。 在DDoS檢測(cè)模型的實(shí)現(xiàn)上，對(duì)性能要求較高的兩項(xiàng)技術(shù)是流量采集和流量分析。本文先對(duì)現(xiàn)有流量采集技術(shù)進(jìn)行了回顧，然后設(shè)計(jì)并應(yīng)用了兩種基于Linux系統(tǒng)的流量采集方案。在流量分析中，采用了一些技巧以提高效率。為了驗(yàn)證模型，本文采用了比較權(quán)威的MIT Lincoln Laboratory的DDoS攻擊數(shù)據(jù)集進(jìn)行實(shí)驗(yàn)。 最后，本文