[發明專利]基于混沌Dufing振子的LDDoS攻擊檢測方法

在審

• 申請號: 201310143577.3
• 申請日: 2013-04-24
• 公開（公告）號: CN104125193A
• 公開（公告）日: 2014-10-29
• 發明（設計）人: 岳猛;吳志軍;馬蘭
• 申請（專利權）人: 中國民航大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/00
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于混沌Dufing振子的LDDoS(Low-rate?Distributed?Denial?of?Sevice)攻擊檢測方法，是一種利用混沌理論檢測網絡攻擊的新方法。LDDoS攻擊利用TCP擁塞控制機制的漏洞，以小流量形式發送周期性的脈沖式攻擊。LDDoS攻擊檢測的問題實質是在以RTT為周期的強TCP背景噪聲下提取周期為RTO_min的“微弱”方波信號的問題。利用這個模型，本發明提出并實現了基于Duffing振子的LDDoS攻擊檢測算法和基于雙Duffing振子差分混沌系統的攻擊參數估計方法。

2.根據權利要求1所述的基于混沌Dufing振子的LDDoS攻擊檢測方法，其特征在于所述檢測方法包括以下步驟：

(1)建立一個網絡流量模型，將LDDoS攻擊流看作隱藏在以RTT為周期的TCP背景噪聲下周期的“微弱”方波信號；

(2)對到達路由器的數據包等間隔采樣，構造出一個離散的信號序列；

(3)構造檢測系統的數學模型，調整Duffing振子讓系統處于混沌狀態向周期狀態轉變的邊沿；

(4)將預處理過后的待檢測信號通過Duffing振子系統；

(5)比較系統的相圖邊緣，有攻擊時相圖邊緣明顯擴大，并且系統陣發混沌，具有強烈的進入大尺度周期狀態的趨勢，通過比較系統的時域波形也可以直觀的發現系統輸出幅度明顯增大；

(6)利用雙Duffing振子差分混沌系統，對攻擊周期以及攻擊參數做估計；

其中，步驟(1)是結合LDDoS攻擊模型及原理，LDDoS在2*RTT～3*RTT時間內，以接近瓶頸鏈路帶寬的速率，向目標主機發送UDP包，由于UDP包通常非常小，導致在攻擊時刻鏈路流量峰值遠高于正常情況，繼而將LDDoS攻擊流看作隱藏在以RTT為周期的TCP背景噪聲下周期的“微弱”方波信號；

步驟(2)中抽樣間隔為t，抽樣周期T，這樣采樣數據就構成了一個離散的信號序列；

步驟(3)選用對Duffing系統非線性項的乘性擾動來做間歇混沌，對非線性恢復力進行改進，并將待測信號作為非線性項的系數，確定檢測系統的數學模型為：

其中，S(t)為待測信號，是采樣到達檢測路由器包的離散信號序列，表示正常流量在t₀時刻取得的最大幅值，f·cos(ωt)為系統內置信號，同時S(t)＝L(t)+M(t)，t＝nΔ，n∈N，是由正常流量L(t)和惡意流量M(t)組成的一個寬平穩隨機過程；

步驟(4)中通過預先設定合理門限值，消除TCP背景噪聲(正常網絡流量)對系統的影響，再將處理后的流量作為Duffing振子非線性項擾動，通過觀測系統的相變，來達到LDDoS攻擊檢測的目的；

步驟(5)中由于LDDoS攻擊的存在，系統的非線性受其影響，出現波動。具體表現在：相圖邊緣明顯增大，當攻擊出現時，系統輸出明顯增大；在攻擊間隙期，由于擾動因子近似為零，系統時域輸出大幅減小；

步驟(6)中LDDoS攻擊參數包括攻擊周期T，攻擊脈寬L，雙Duffing振子的差分混沌系統能夠很好地抑制系統共模干擾，凸顯系統時域狀態的變化。

3.根據2所述的基于混沌Dufing振子的LDDoS攻擊檢測方法，其特征在于：

(1)將Duffing系統相跡的轉變作為攻擊檢測的依據，攻擊是否被檢測出來是基于系統是否脫離混沌狀態；

(2)一旦有特定的微擾小信號，由于混沌系統對周期小信號的敏感性，即使幅值較小，也會使系統發生本質的相變；

(3)對LDDoS攻擊周期的估計，是通過精確地計算Duffing系統陣發混沌的周期來實現的；

(4)對LDDoS攻擊脈寬的估計，通過選取合法流量通過系統時引起的時域最大峰值為預設閥值，把受攻擊后相鄰峰值間隔內超過預設閥值的時間長度作為樣本，取樣本均值作為攻擊脈寬的估計。