超球体多类支持向量机及其在DDoS攻击检测中的应用

《超球体多类支持向量机及其在DDoS攻击检测中的应用》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、西南交通大学博士学位论文超球体多类支持向量机及其在DDoS攻击检测中的应用姓名：徐图申请学位级别：博士专业：信息安全指导教师：何大可20080601第1

2、页西南交通大学博士研究生学位论文良好的分类器。标准的SVM是个二分类器，若用SVM解决多类分类问题，需要将SVM扩展到多类。目前的主要思路是将多类问题转化为一系列的二分类问题，然后由多个SVM进行分类，例如常用的1．v．r和1．v—1分类器。这种方法可有效实现多分类功能，但因它是以间接的方式形成的分类能力，需要训练的SVM数量较多，所以它们的学习效率不高，不适合类别多、训练规模

3、大的问题。因此，间接型多类SVM不适用于DDoS攻击检测。由于DDoS分类类别比较多，需要效率更高的直接型多类学习机。在前人工作的基础上，建立了直接型多分类器——超球体多类支持向量机(HSMC．SVM)的概念。建立超球的原则是，对某类样本，在超球半径尽可能小的情况下，包含该类样本尽可能多。为每类样本建立一个超球，Ⅳ类样本就建立Ⅳ个超球，在空间中形成像肥皂泡一样的分类结构。在判决时，测试样本离哪个超球最近，就属于那个超球代表的类，这就是HSMC．SVM的分类原理。它是以直接的方式形成分类能力，具有学习容量大、训练速度快、可扩展性强

4、的优点。每个超球的确定相当于求解一个凸二次规戈lJ(Qp)问题，根据训练SVM的SMO算法的思想，建立了HSMC．SVM的SMO训练算法，并给出了“二阶逼近”的工作集选择法，使得训练速度进一步提高。在加快训练速度方面，还采用了样本缩减和核矩阵缓存的策略。通过理论分析已经证明，HSMC．SVM的分类误差有界。实验表明，HSMC—SVM在训练和测试速度上较lv—r和1一v．1分类器有较大幅度提高，但分类精度略有下降。为了进一步提高训练速度和训练精度，将最小二乘法引入到HSMC．SVM中，提出了最小二乘超球支持向量机(LSHS—MCS

5、VM)的概念。与HSMC．SVM相比，LSHS．MCSVM在目标函数中使用了二次函数，将不等式约束改为等式约束，并取消了乘子的取值限制，使得LSHS．MCSVM在乘子搜索和优化计算方面速度更快，从而加快了它的整体收敛速度。LSHS．MCSVM的训练仍可使用SMO算法，在“一阶逼近"和“二阶逼近”的工作集选择下，LSHS．MCSVM的收敛速度比基于经验的工作集选择法有进一步提高。由于都使用球形分类结构，LSHS．MCSVM与HSMC—SVM西南交通大学博士研究生学位论文第1II页有类似的学习误差上界。数值实验表明，在不降低分类精度

6、的情况下，LSHS．MCSVM比HSMC．SVM有更快的训练速度，在某些数据集上，LSHS．MCSVM还有更高的学习精度。为了区分不同类型的攻击，对DDoS攻击流进行分析，提取了9维相对值(IⅣ)特征向量。分别将HSMC．SVM和LSHS．MCSVM用于DDoS攻击检测。实验表明，它们完全能区分不同类型的攻击，并能较准确地识别由真实的攻击工具发起的攻击。对不同类型的攻击，两种分类器都能比较准确地给出攻击的类标。根据识别出的类标，可以获得攻击强度、攻击协议和攻击方式的信息，为防御环节采取相应措施提供了依据。关键词：分布式拒绝服务攻

7、击；支持向量机；多类模式识别；超球体多类支持向量机；最小二乘超球多类支持向量机；工作集选择第1V页西南交通大学博士研究生学位论文AbstractAnattackerlaunchesDistributedDenialofService(DDoS)attacksbytheBotNet，whichsendlotsofgarbageIPpacketstothevictim．BecausethevictimreceivesthegarbageIPpacketsexceedingoverthatitcan’tdealwith，itwilld

8、eterminetheservicestothelegitimateuses．BotNetiscomposedofthecomputersallovertheInternetwithsecurityweakness．Anattackerwillberelativesafeifhe／shecommandsBotNettostartaDDoSattackwithbogussourceIPaddresses．Asaresult，launchingDDoSattackonInternetisSOeasythatitbecomesasev

9、erethreattotheInternetsecurity．SotheresearchersmustfindsomemeasurestolimitorstopDDoSattacksoverflowonIntemet．InordertodefeatDDoSatt