[發(fā)明專利]基于方向性似然比檢驗的網(wǎng)絡拒絕服務攻擊檢測方法

有效

• 申請?zhí)枺?/td>: 202011290957.6
• 申請日: 2020-11-17
• 公開（公告）號: CN112543183B
• 公開（公告）日: 2021-11-19
• 發(fā)明（設計）人: 李健;蘇秦;安豆;孫靜春;高杰
• 申請（專利權）人: 西安交通大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 西安通大專利代理有限責任公司 61200
• 代理人: 王艾華

1.一種基于方向性似然比檢驗的網(wǎng)絡拒絕服務攻擊檢測方法，利用各個網(wǎng)絡流量特征之間的相關性，有效的檢測網(wǎng)絡拒絕服務攻擊；其特征在于，包括下列步驟：

(1)提取各個網(wǎng)絡流量特征，構成特征向量，在無攻擊狀態(tài)下獲取多個特征向量，先正則化使得各個特征數(shù)據(jù)的均值為0且方差為1，再求得均值向量和協(xié)方差矩陣；

(2)隨機生成多個服從以步驟(1)估計的參數(shù)為均值向量和協(xié)方差矩陣的多元正態(tài)分布的向量，構成一個樣本；

(3)計算步驟(2)中生成的樣本的均值向量和協(xié)方差矩陣，在每個可能的變異方向上計算方向性似然比檢驗統(tǒng)計量，取最大的若干個方向性似然比檢驗統(tǒng)計量之和作為攻擊檢測統(tǒng)計量；

(4)重復多次步驟(2)和(3)，得到多個攻擊檢測統(tǒng)計量，它們可確定攻擊檢測統(tǒng)計量在無攻擊狀態(tài)下的概率分布；

(5)根據(jù)誤報率，結合步驟(4)得到的多個攻擊檢測統(tǒng)計量，求得判別有攻擊和無攻擊的攻擊檢測統(tǒng)計量的門限值；

(6)從網(wǎng)絡采集不確定是否含有攻擊的網(wǎng)絡流量數(shù)據(jù)，提取特征構成網(wǎng)絡流量特征向量并正則化，構成與步驟(2)中同樣大小的樣本，基于此樣本在每個可能的變異方向上計算方向性似然比檢驗統(tǒng)計量；

(7)取最大的若干個方向性似然比檢驗統(tǒng)計量之和作為攻擊檢測統(tǒng)計量，并與門限值比較，若攻擊檢測統(tǒng)計量大于門限值，則網(wǎng)絡受到拒絕服務攻擊，反之則沒有。

2.根據(jù)權利要求1所述基于方向性似然比檢驗的網(wǎng)絡拒絕服務攻擊檢測方法，其特征在于，步驟(3)攻擊檢測統(tǒng)計量公式具體為式1：

其中W_i(i＝1,…p(p+3)/2)為以下各個統(tǒng)計量U_i和V_ij從大到小依次排列的值，p為網(wǎng)絡流量特征的維度，R取前r個最大的W_i之和，整數(shù)r取p(p+3)/2的10％到20％之間，

這里tr為矩陣的跡，[A]_(ij)為矩陣A的元素(i,j)，n為樣本大小，μ₀和Σ₀分別是步驟(1)求得的均值向量和協(xié)方差矩陣，和分別是步驟(3)中計算的樣本均值向量和協(xié)方差矩陣，e_i為p維列向量，僅第i個元素為1，其余均為0；設E_ij為p×p的矩陣，僅元素(i,j)和(j,i)為1其余均為0。

3.根據(jù)權利要求1所述基于方向性似然比檢驗的網(wǎng)絡拒絕服務攻擊檢測方法，其特征在于，所述步驟(4)重復T次步驟(2)和(3)，得到攻擊檢測統(tǒng)計量R₁,…,R_T，它們可確定攻擊檢測統(tǒng)計量在無攻擊狀態(tài)下的概率分布，其中T大于10000。

4.根據(jù)權利要求1所述基于方向性似然比檢驗的網(wǎng)絡拒絕服務攻擊檢測方法，其特征在于，所述步驟(5)中，給定誤報率α，攻擊檢測統(tǒng)計量的門限值完全由其在無攻擊狀態(tài)的概率分布所決定，將步驟(4)得到的T個攻擊檢測統(tǒng)計量從小到大依次排列，選擇處于(1-α)×100％位置的值，即從小到大的第個值作為判別有攻擊和無攻擊的攻擊檢測統(tǒng)計量的門限值，記該門限值為L，其中為取整運算，門限值的確定不用正態(tài)分布，即μ_R±z_α/2σ_R近似而得到，這里μ_R和σ_R分別為攻擊檢測統(tǒng)計量在無攻擊狀態(tài)下的均值和標準差，z_α/2是標準正態(tài)分布的上α/2分位數(shù)。

5.根據(jù)權利要求1所述的基于方向性似然比檢驗的網(wǎng)絡拒絕服務攻擊檢測方法，其特征在于，所述步驟(7)將基于第k個樣本求得的各個方向性似然比檢驗統(tǒng)計量U_ik和V_ijk從大到小依次排列，依次記作W_ik，(i＝1,…p(p+3)/2)，p為網(wǎng)絡流量特征的維度；取前r個方向性似然比檢驗統(tǒng)計量之和，作為最終的檢測統(tǒng)計量，即

將R_k與門限值L比較，判別網(wǎng)絡是否受到攻擊，若R_kL，則網(wǎng)絡受到拒絕服務攻擊，反之則沒有。