一种基于相似度的DDoS攻击检测方法  

A DDoS intrusion detection method based on likeness

作　　者：何慧[1] 张宏莉[1] 张伟哲[1] 方滨兴[1] 胡铭曾[1] 陈雷[1] 

机构地区：[1]哈尔滨工业大学计算机信息安全研究中心,黑龙江哈尔滨150001

出　　处：《通信学报》2004年第7期176-184,共9页Journal on Communications

基　　金：国家"863"高技术研究发展计划研究基金资助项目(2002AA142020)

摘　　要：在分析了网络流量构成的基础上,提出了基于相似度的DDoS检测方法。这种方法不是简单的根据流量的突变来检测网络状况,而是从分析攻击对流量分布的影响着手。首先对网络流量进行高频统计,然后对其相邻时刻进行相似度分析,根据相似度的变化来发现异常。从大量的实验结果可以看出基于相似度的检测方法能够比较有效的发现大流量背景下,攻击流量并没有引起整个网络流量显著变化的DDoS攻击,因此更适合大规模网络的异常检测。The paper proposes a DDoS intrusion detection method based on likeness through analyzing characteristics of the network traffic. This method detects the state of network not by burst net flow but by the impact of the traffic distribution. First, we focus on the high frequency statistics result, then analyze its likeness of adjacent time and detect the abnormality. According to a great number of experiments, the intrusion detection method based on likeness can find out the DDoS intrusion against the large scale network traffic, which does not arouse the sharp changes of the network traffic.

关 键 词：异常检测 DDOS检测 相似度 高频统计 

分 类 号：TP393[自动化与计算机技术—计算机应用技术]