DDoS攻击的全局异常相关检测方法.pdfVIP

第29卷第 11期 计算机应用 Vo1．29No．1l 2009年 11月 JournalofComputerApplications Nov．2009 文章编号 ：1001—9081 2009 11—2952—05 DDoS攻击的全局异常相关检测方法 李宗林，胡光岷，杨 丹，姚兴苗 电子科技大学 宽带光纤传输与通信网技术教育部重点实验室，成都 611731 1izonglin@uestc．edu．CFI 摘 要：骨干网中存在的DDoS攻击，由于背景流量巨大，且分布式指向受害者的多个攻击流 尚未汇聚，因此难 以 进行有效的检测。为了解决该问题，提出一种基于全局流量异常相关分析的检测方法。根据攻击流引起流量之间相 关性的变化，采用主成分分析提取多条流量中潜在异常部分之间的相关性，并将相关性变化程度作为攻击检测测度。 实验结果证明了该测度的可用性 ，能够克服骨干网中DDoS攻击流幅值相对低且不易检测的困难，同现有的全局流量 检测方法相比．所提 出的方法能够取得更高的检测率。 关键词：网络安全；相关性分析；主成分分析 中图分类号：TP393．08 文献标志码：A GlobalabnormalcorrelationanalysismethodforDDoSattackdetection LIZong—lin，HU Guang-min，YANG Dan，YAO Xing·miao KeyLaboratoryofBroadbandOpticalFiberTransmissionandCommunicatoinNetworks，UniversityofElectronciScienceand TechnologyofChina， ChengduSichuan611731，China Abstract：DDoSattackishardtodetectinbackbonenetwork，forthereasonthatattackflowsayedistributedinmultiple linksandpronetobemaskedbytremendoUSamountsofbackgroundtraffic．Tosolvethisproblem，adetectionmethodbased onglobalabnormalcorrelationanalysisWas proposed．Thechangeofcorrelationbetweentrafficcausedbyattackflowswas exploitedforattack detection，thecorrelationbetween potentially anomaloustrafficwasextractedbyprinciple component analysis，anditschangedergeeWasusedasanindicatorofattack．Evaluationshowseffectivenessoftheproposedmethod，and provesthatitovercomesthedifficultiesin detectingrelativelylow volumeofDDoS attacktransitingin backbonenetwork． Comparedwiththeexistingnetwork—widedetectionmethod，itachieveshigherdetectionrate． Keywords：networksecurity；correlationanalysis；PrincipleComponentAnalysis PCA 检测。然而此时攻击流分布式存在于多条链路中，容易被巨 0 引言 大的背景流掩盖，在单条链路或节点中并不表现出明显异常 分布式拒 绝 服务 攻 击 DistributedDenialofService， 特征 。 DDoS 通过胁迫散布在网络中的多台主机，形成数 目众多的 骨干网中的DDoS攻击检测通常采用两种检测方式：多 攻击源，同时对受害者发起攻击，使得受害者主机的关键资源 节点协作的分布式检测以及全局检测。多节点协作的分布式 带宽、缓冲区、CPU资源等 迅速耗尽 ，受害者或者崩溃，或 检测通过在网络中选取一些节点建立检测子网络 ，各节点依 者花大量时间处理攻击包而不能正常服务。近年来 ，攻击者 靠自己搜集的信息，展开快速简单的本地局部检测 ；再利用一 们又利用僵尸网络 Botnet 作为攻击平台，形成规模更庞大 定的通信机制，交换各节点的检测结果，最后对部分或全部节 的DDoS攻击 ，使得攻击流的分布程度更广、危害更大，DDoS 点的检测结果进行综合分