[发明专利]隐马尔可夫模型检测LDoS攻击方法

说明书

低速率拒绝服务(Low‑Rate Denial of Service，LDoS)攻击具有平均速率低、隐蔽性强的特点，传统的检测方法难以奏效。本发明针对LDoS攻击提出了一种基于隐马尔科夫模型的LDoS攻击检测方法。首先对网络状态建立隐马尔科夫模型，将归一化累计功率谱密度(Normalized Cumulative Power Spectrum Density，NCPSD)方法的检测结果作为隐马尔科夫模型的观测值。利用前向算法得到不同观测值序列在该模型下的偏离度作为检测依据。在NS‑2中对本检测方法进行测试，实验结果表明本方法能够有效的检测LDoS攻击，与其他方法相比也具有更好的检测性能。通过假设检验得出检测率为99.96％，具有检测概率高，以及虚警率和漏警率低的优点。

技术领域

本发明涉及一种计算机网络安全技术，尤其是针对低速率拒绝服务(LDoS)攻击的检测，可以高准确率的检测出攻击。

背景技术

低速率拒绝服务LDoS攻击是一种新型的拒绝服务(Denial of Service，DoS)攻击方式。自LDoS攻击被发现的那一天起，它就一直是网络安全领域的研究热点。LDoS攻击的本质是利用网络系统中自适应机制所存在的漏洞，造成虚假拥塞，迫使TCP连接的服务质量大大降低。据统计，网络中80％以上的流量是TCP，因此，LDoS攻击会产生巨大的威胁。LDoS攻击不需一直维持很高的攻击速率，只需在固定的周期发送高速率的短脉冲攻击流。因此，LDoS攻击的平均速率低，甚至低于正常的网络流量。这种特点使得LDoS攻击具有很强的隐蔽性，传统的检测方法难以奏效。

目前，基于信号处理理论的LDoS攻击检测方法得到了广泛的研究，并取得了一定的成果。这类方法主要是将LDoS攻击流量进行抽样，在时频域对抽样序列统计分析，进而得到攻击流异于正常流的特征加以区分。Yu Chen等提出了一种频域检测法是将采样序列的自相关函数通过离散傅里叶变换(Discrete Fourier Transform，DFT)得到功率谱密度(Power Spectrum Density，PSD)，然后选择一个固定频率点的归一化累积功率谱密度(Normalized Cumulative Power Spectrum Density，NCPSD)值作为特征，利用似然比函数找到一个门限值作为判决依据。但是该方法计算量大，检测率较低，存在一定的漏警概率和虚警概率。吴志军教授领导的团队对LDoS攻击进行了一定的研究：提出了基于卡尔曼滤波技术的LDoS攻击检测方法。该方法首先对受害端的流量抽样序列进行小波变换，提取波形趋势，然后采用卡尔曼滤波算法以一步预测与最优估算的误差值作为检测突变的依据。该方法较Yu Chen的方法检测性能有一定的提高，但没有考虑FDoS(Flooding Denial ofService)攻击的影响，当FDoS攻击发生时，会被误检为LDoS攻击，从而无法通过检测结果来判别攻击类型。吴志军教授将Duffing系统相轨迹的转变作为检测LDoS攻击的依据。通过测量网络是否脱离混沌(Chaos)状态，来判断是否存在LDoS攻击。该方法的优势在于背景噪声远强于攻击信号时，检测效果依然理想。缺点在于系统实现复杂。此外，并未给出具体的检测率。依据Holder指数值的异常变化提出基于多重分形的LDoS攻击检测方法。该方法的核心思想是当LDoS攻击发生时，网络流量的多重分形特征必然有所改变，而这种改变可以由Holder指数来体现。该方法假设LDoS攻击流采用UDP协议，并未对其他协议类型的LDoS攻击进行测试，因此有一定局限性。

为了克服现有方法的缺点，本文在国内外相关研究的基础上，借助HMM对网络状态建模，将NCPSD检测方法的检测结果作为HMM的观测值序列，通过前向算法计算不同观测值序列在该模型下的概率，以此作为依据来衡量不同观测值序列对于HMM的偏离程度，从而实现了一种高性能的检测LDoS攻击的方法。