[发明专利]基于V-SVM的DDoS攻击检测方法和装置

说明书

本发明实施例提供一种基于V‑SVM的DDoS攻击检测方法及装置，属于通信技术领域。其中，方法包括：采集多个历史网络流量数据样本，计算每个基于V‑SVM网络流量数据样本的九元组NSAF特征；对基于V‑SVM九元组NSAF特征进行归一化处理，并根据PCA技术对经过归一化处理的基于V‑SVM九元组NSAF特征进行降维，得到训练集；构建V‑SVM分类模型，并利用基于V‑SVM训练集对基于V‑SVM的分类模型进行训练，获得最优拉格朗日乘子；根据基于V‑SVM最优拉格朗日乘子求得决策函数，并利用基于V‑SVM决策函数判断当前网络是否发生DDoS攻击。本发明相较于现有技术检测DDoS攻击的方法，提高了准确率、降低了误报率，同时还提高了攻击检测的稳定性和时效性。

技术领域

本发明涉及通信技术领域，特别涉及一种基于V-SVM的DDoS攻击检测方法和装置。

背景技术

DDoS(Distributed Denial of Service，分布式拒绝服务)攻击是目前黑客经常采用并且难以防范的攻击手段。DDoS攻击可以通过僵尸网络发起大规模的网络攻击，在一定时间内向目标系统发送大量请求以成倍地提高拒绝服务攻击的威力，对网络安全造成了巨大的威胁。

现有技术中，Ferreira等人在2012年提出了基于Renyi和Tsallis熵的归因选择方法，通过与香农熵对比来评估的Renyi和Tsallis熵的优劣，从而获得最佳属性子集以区分正常流或攻击流；Karnwal等人在2012年将一维的时序转换成多维的AR模型参数时序，采用支持向量机对数据流进行学习和分类；Arabia Latif等人在2015年针对传感器产生数据时噪音对准确度的影响，提出了一种增强的决策树算法，来检测云辅助中DDoS攻击的发生；Park等人在2016年利用基于概率模型分析异常数据检测的方法，提出一种针对流量洪攻击的检测方法。

本发明的发明人在研究DDoS攻击检测方法时，发现现有技术中的DDoS攻击检测方法误报率及漏报率高、时效性差。

发明内容

本申请的目的在于提供一种基于V-SVM的DDoS攻击检测方法和装置，以解决现有技术存在的部分或全部问题。

为实现上述目的，本申请一方面提供了一种基于V-SVM的DDoS攻击检测方法，所述方法包括：采集多个历史网络流量数据样本，计算每个所述网络流量数据样本的九元组NSAF特征；对所述九元组NSAF特征进行归一化处理，并根据PCA技术对经过归一化处理的所述九元组NSAF特征进行降维，得到训练集；构建V-SVM分类模型，并利用所述训练集对所述V-SVM分类模型进行训练，获得最优拉格朗日乘子；根据所述最优拉格朗日乘子求得决策函数，并利用所述决策函数判断当前网络是否发生DDoS攻击。

在一个实施例中，所述网络流量数据样本的九元组NSAF特征为：

NSAF＝(A,S,L,N,J,R,P,Y,C)

其中，特征A表示与当前连接具有相同目标主机的连接数；特征S表示与当前连接具有相同服务的连接数；特征L表示相同目标主机的“SYN”错误连接数与特征A之比；特征N表示相同服务的“SYN”错误连接数与特征S之比；特征J表示相同目标主机的“REJ”错误连接数与特征A之比；特征R表示相同服务的“REJ”错误连接数与特征S之比；特征P表示与当前连接具有相同服务的连接数与特征A之比；特征Y表示与当前连接具有不同服务的连接数与特征A之比；特征C表示与当前连接具有不同目标主机的连接数与特征S之比。