一种应用层分布式拒绝服务攻击快速检测方法 (2012年)

提出一种基于应用层协议用户行为统计特征的快速攻击检测算法，能在高速网络环境中快速识别异常聚集流量，区分正常访问和应用层分布式拒绝服务攻击。该方法使用有限状态自动机理论描述了应用层协议正常用户行为和攻击行为的差异，构建了检测自动机模型。该方法将应用层协议用户行为抽象成一系列协议关键字的交互，主要根据应用层协议关键字的统计特征生成用户行为统计特征向量，构造基于逼近理想点排序算法的模型分类器，同时对模型进行训练得到最优分类距离阈值，从而对DDoS攻击行为作出判定。高速网络环境下的测试结果表明了此方法的有效性。