基于Bayes分类器的DoS∕DDoS攻击防御技术

《基于Bayes分类器的DoS∕DDoS攻击防御技术》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、第40卷第2期2010年3月航空计算技术AeronauticalComputingTechniqueV01．40No．2Mar．2010基于Bayes分类器的DoS／DDoS攻击防御技术罗建1，李艳梅1’2(1．西华师范大学计算机学院，四川南充637002；2．电子科技大学计算机科学与工程学院，四JII成都610054)摘要：提出了一种基于贝叶斯分类算法的分布式拒绝服务攻击防御技术。利用贝叶斯分类算法来计算数据包的分值特征，按照分值袁对数据包进行评分并映射成危险等级。然后对危险等级进行评估，根据不同危险等级对网络流量进行过滤。基于该防御技术，设计并实现了防御系统。通过实验分析，该系统在D

2、oS／DDoS攻击发生时能有效区分正常流量与异常流量，从而实现对DoS／DDoS攻击进行实时防御。关键词：拒绝服务；分布式拒绝服务；贝叶斯分类器；危险等级；包过滤中图分类号：TP393．08文献标识码：A文章编号：1671．654X(2010)02．0127．03引言拒绝服务(DoS)攻击是指利用合理的服务请求来占用过多的服务资源，从而使服务器无法处理合法用户的指令，形成拒绝服务。单一的DoS攻击一般采用一对一方式，随着计算机和网络技术的飞速发展，DoS攻击越来越难以凑效，分布式拒绝服务(DDoS)攻击就应运而生。DDoS攻击就是利用网络上大量的傀儡机在同一时间产生巨量的攻击数据包，然后

3、对指定的目标机发起DoS攻击，耗尽目标机的资源，从而使受害主机丧失提供正常网络服务的能力⋯。由于DDoS攻击实施简单而有效，能利用的工具较多而且难于防止和追查，所以DDoS攻击成为当前网络安全最严重的威胁之一。数据挖掘技术在检测和防御DoS／DDoS攻击领域有一定的应用旧1，但主要还是应用在攻击检测中，常用的基于拥塞控制的防御机制H]在有效区分恶意攻击流量和合法流量上还存在许多不足。在深入研究了大量与DoS／DDoS攻击／防御相关的方法和技术的基础之上，现提出了一种基于模式识别方法的DoS／DDoS防御技术，采用贝叶斯(Bayes)分类器对数据包进行分析和评估瞪]，并设计出相应的防御系统

4、。贝叶斯分类器主要根据对抽样的正常流量和异常流量进行二次分析，利用Bayes定理，产生基于属性的分值表。依靠属性分值表对数据包进行记分，将其转换成数据包危险等级，并以此为依据达到净化异常流量、防御DoS／DDoS攻击的目的。后面分析以DDoS攻击防御为主，同样也适用于DoS攻击防御。1Bayes分类器Bayes分类器采用贝叶斯分类算法为包过滤器提供数据包的属性分值表，并计算在此分值表作用下的正常流量和异常流量的分值特征。1．1贝叶斯分类算法前提贝叶斯分类方法是基于以下假设：当网络流量正常时，数据包的一些属性值的统计特性维持在一个比较稳定的状态，当DDoS攻击发生时，这些属性值的统计特性较

5、正常情况下会发生剧烈的变化。相关属性值不对称的、剧烈的变化将作为判断DDoS攻击发生的有利证据。IP报文中的一些属性可以作为候选字段。比如：IP的协议字段、数据包的大小、目的端口地址、源／目的IP地址的前缀、TTL值、TCP标志位值等。可以计算这些属性的边缘概率分布律，也可以假设某些属性是相关的，计算某些屙陛的联合概率分布律。1．2贝叶斯分类算法描述假设每一个数据包存在A，B，C，⋯等属陛，并且属性值是离散的(连续的属性值可以进行相应的离散化处理)。例如：A表示IP数据包的协议号，曰表示IP数据包的数据包长度，c表示IP数据包的TLL值。令妒。(A，B，c，⋯)为联合概率分布律。令数据包

6、A，B，c，⋯属性的值为口，b，c，⋯，若该数据包为正常数据包，其概率由胪。(A=口，B=b，C=c，⋯)表示。若该数据包为异常数据包，其概率由妒。(A=o，B=b，C=c，⋯)表示。令垆。(A，曰，C，⋯)表示在DDoS攻击发生时，属性A，B，c，⋯的联合概率分布律。收稿日期：2009—08—28修订日期：2009—11-18基金项目：国家863计划项目资助(2008AA012132)作者简介：罗建(1975一)，男，重庆合川人，讲师，硕士，研究方向为数据挖掘、计算智能、图像处理、网络安全。·128．航空计算技术第40卷第2期令数据包P在属性A，B，C，⋯分别等于aP，b尸，cP=c，

7、，⋯)。假设“为DDoS攻击发生时总共数据包的情况下，P为正常数据包的概率表示为：的个数，Ⅳn为其中的正常数据包，Ⅳ4为其中的异常数cte(p)=Prob(p是正常数据包IA=aP，B=b尸，C据包。根据贝叶斯定理可得：．，。，、Ⅳ。妒。(A=aP，B=bJp，C=cP，⋯)，1、uu、，，一Ⅳ。护．(A=口P，B=bP，C=cP，⋯)+J7、乙，P。(A=口P，B=bP，C：cP，⋯)、‘7由于Nm=M+M，故(1)式叉可化简为：