SDN环境下基于支持向量机的DDoS攻击检测研究

软件定义网络(Software-Defined Networks,SDN)提出了全新的架构思想,但控制器易受分布式拒绝服务(Distributed Denial of Service,DDoS)的攻击导致资源耗尽.针对上述问题,提出了一种SDN环境下基于支持向量机(Support Vector Machine,SVM)的DDoS攻击检测算法—RF-SVM(Random Forest-SVM).首先,根据DDoS攻击和分类特点结合数据包头信息选择关联的六维特征;然后,利用随机森林计算特征权重并筛选特征,得到一个最优特征子集;最后,采用SVM算法检测DDoS攻击,以达到较好的分类性能.在相同场景的实验结果表明:RF-SVM算法比SVM算法和RF算法具有更高的检测率、查全率和F1值.     

SDN环境下基于目的IP地址熵的DDoS攻击检测与易损机制研究

在软件定义网络(Software-Define Networking,SDN)环境下,分布式拒绝服务攻击(Distributed Denial of Service Attacks,DDoS)产生时,交换机中流表项大量增长,同时产生大量的PACKET＿IN消息发往控制器,导致控制器阻塞,从而影响了整个SDN网络.因此,本文提出了一种基于目的 IP地址的信息熵检测与易损评判机制相结合的模型,通过统计窗口内目的 IP地址的信息熵变化,检测SDN网络是否受到DDoS攻击,对于检测出的异常流量,进行目的 IP地址的易损评判,判断其是否易受到DDoS攻击.仿真实验表明,熵值检测模块在25%的攻击速率下检测率达到98%,误警率为2%.易损机制判断模块能在攻击发生初期迅速发现攻击并及时关闭端口,丢包率下降至3.6%,降低了攻击对SDN网络的影响.     

SDN环境下基于支持向量机的DDoS攻击检测研究

软件定义网络（Software-Defined Networks,SDN）提出了全新的架构思想,但控制器易受分布式拒绝服务（Distributed Denial of Service,DDoS）的攻击导致资源耗尽. 针对上述问题,提出了一种SDN环境下基于支持向量机(Support Vector Machine,SVM)的DDoS攻击检测算法—RF-SVM(Random Forest-SVM). 首先,根据DDoS攻击和分类特点结合数据包头信息选择关联的六维特征;然后,利用随机森林计算特征权重并筛选特征,得到一个最优特征子集;最后,采用SVM算法检测DDoS攻击,以达到较好的分类性能. 在相同场景的实验结果表明:RF-SVM算法比SVM算法和RF算法具有更高的检测率、查全率和F₁值.     

基于软件定义网络的DDoS攻击检测方案

分布式拒绝服务(distributed denial-of-service,DDoS)攻击是网络中的常见威胁,攻击者通过向受害服务器发送大量无用请求使正常用户无法访问服务器,DDoS逐渐成为软件定义网络(software-defined networking,SDN)的重大安全隐患。针对SDN中DDoS攻击检测问题,提出了一种粗粒度与细粒度相结合的检测方案,使用队列论及条件熵作为到达流的粗粒度检测模块,使用机器学习作为细粒度检测模块,从合法包中准确检测出恶意流量。实验表明,在使用Mininet模拟SDN网络的环境中,方案可准确检测出DDoS攻击。     

SDN环境下基于动态阈值的DDoS攻击检测方法研究

软件定义网络SDN技术改变了传统网络中数控结合的局面,简化了网络管理。然而,SDN面对分布式拒绝服务DDoS攻击时也显得捉襟见肘。探讨了SDN环境下基于动态阈值的DDoS攻击检测问题。通过SDN网络的特点,提出了一种由触发检测和深度检测相结合的DDoS检测机制。该机制先根据收集到的流量状态计算网络环境的熵,并根据网络条件推导出一个动态阈值来进行粗粒度的异常预警。深度检测在预警信息后启动,通过基于机器学习的分类算法进行判断环境是否遭受到DDoS攻击。最后通过仿真环境实验表明,该机制可以有效的检测出环境是否遭受攻击,具有较高的检测率和较低的误检率。     

SDN中基于条件熵和决策树的DDoS攻击检测方法

软件定义网络（software defined network,SDN）作为一种新型网络架构,其转控分离及集中控制的架构思想为网络带来了显著的灵活性,同时为感知全局网络状态提供了便利。分布式拒绝服务攻击（distributed denial of service,DDoS）是一种典型的网络攻击方式。针对SDN网络中进行DDoS攻击检测的问题,提出了一种基于条件熵和决策树的DDoS攻击检测方法,利用条件熵判断当前网络状态,通过分析SDN中DDoS攻击特点,提取用于流量检测的6项重要特征,使用C4.5决策树算法进行网络流量分类,实现对SDN中的DDoS攻击的检测。实验表明,相比于其它研究方法,文中提出的方法不仅具有较高检测精确率和召回率,而且明显缩短了检测时间。     

SDN中基于流特征的DDoS攻击与闪拥事件检测

在软件定义网络(software defined networking, SDN)中,由于集中管理与可编程的特点,其安全性面临着巨大的挑战。恶意攻击者容易利用SDN网络的安全漏洞进行分布式拒绝服务(distributed denial of service,DDoS)攻击,而对DDoS攻击与闪拥事件检测的分析不论是对预防恶意流量还是电子数据取证都至关重要。提出一种SDN中基于流特征的多类型DDoS攻击和闪拥流量检测方法,其中可调节的φ-熵增加不同数据类型间的距离以便在流形成初期及时发现攻击行为。对一些常见的DDoS攻击方式进行详细分析,并通过获取交换机中流表的多维特征对样本进行训练分类,在有效检测DDoS攻击流量的同时还能在一定程度上区分DDoS攻击与闪拥事件。通过Mininet平台进行仿真实验,实验表明,该方法可以有效提高DDoS攻击检测率并降低闪拥事件误报率,验证了实验的准确性和有效性。     

软件定义网络中基于深度神经网络的DDoS攻击检测

针对分布式拒绝服务（Distributed Denial of Service,DDoS）攻击在软件定义网络（Software-Define Networking,SDN）环境中对其控制器的危害问题,提出一种SDN环境下基于广义熵检测和Adam-DNN相结合的DDoS攻击检测方案.首先,把来自交换机的大量数据包进行熵值检测,根据阈值将数据流量划分为正常、异常和攻击;然后,控制器定位到发出异常警报的交换机收集流表信息,并提取它们的8元流量特征,通过Adam-DNN进行检测是否发生攻击.实验结果表明,与传统的机器学习、香农熵检测方案相比,本方案检测成功率提高了0.91%～3.66%,CPU利用率降低了5%.     

软件定义网络中基于贝叶斯ARTMAP的DDoS攻击检测模型

为解决SDN(software defined network,软件定义网络)架构下DDoS(distributed denial of service,分布式拒绝服务)攻击检测问题,提出基于贝叶斯ARTMAP的DDoS攻击检测模型. 流量统计模块主要收集捕获到的流表信息,特征提取模块提取流表中的关键信息并获取关键特征,分类检测模块通过贝叶斯ARTMAP提取分类规则,并通过粒子群算法对参数进行优化,对新的数据集进行分类检测.仿真实验证明了模型所提取的5元特征的有效性,并且该模型与3种传统的DDoS攻击检测模型相比检测成功率提高了0.96%~3.71%,误警率降低了0.67%~2.92%.     

面向IDS的DDoS攻击检测真实性分析

为了解决由于IDS检测结果的不确定性而导致其不能有效运用于DDoS攻击响应的问题,提出了一种对每例IDS检测出的DDoS检测结果进行真实性检验的算法.首先,通过分析具有代表性的攻击检测案例,研究了IDS对DDoS攻击产生误判的原因.然后,根据这些误判原因,提出了一组真实DDoS攻击所具有的特征,包括源地址伪造、报文特征测度不一致等.这些特征可以用形式化的方法进行描述并可支持对IDS的DDoS检测结果进行真实性分析.最后,基于利用这些特征建立的规则集,提出了一种可以对IDS的每例DDoS攻击检测结果进行真实性判定的算法,并将其应用于一个以流记录为数据源、在大规模网络边界工作的IDS.基于实际网络流量的运行结果表明,该算法可以准确有效地纠正基于规则匹配的IDS检测方法所产生的误判.     

基于深度信念网络的SDN的DDoS攻击检测模型

DDoS(分布式拒绝服务攻击)主要通过发送大量的数据与请求,导致目标主机被耗尽资源,从而使目标网络瘫痪.SDN环境下感染僵尸网络是一种常见的DDos攻击方式.深度信念网络既可以作为概率生成模型也可以作为判别模型,在实际领域有较多应用,如特征提取与分类识别.笔者提出基于深度信念网络的DDoS攻击检测方法,具有比传统机器学习方法检测精度更高的优势.     

软件定义网络DDoS联合检测系统

分布式拒绝服务(distributed denial-of-service,DDoS)攻击已成为网络安全的最大威胁之一。传统的对抗方式如入侵检测、流量过滤和多重验证等,受限于静态的网络架构,存在明显的缺陷。软件定义网络(software-defined networking,SDN)作为一种新型动态网络体系,其数控分离、集中控制与动态可编程等特性颠覆了现有的网络架构,为对抗DDoS攻击提供了新的思路。现有基于SDN的DDoS防护方案处于研究的起步阶段,且存在较多问题。针对现有方案中检测周期过小将导致系统开销大的问题,该文提出由触发检测和深度检测相结合的DDoS联合检测方案,将低开销、粗粒度的触发检测算法与高精度、细粒度的深度检测算法相结合,在保障高检测精度的前提下降低了系统的复杂度;同时,在Mininet平台上实现了基于SDN的DDoS攻击检测系统,设计实验对系统进行测试和评估。实验结果表明:该系统具有开销小、检测准确率高的特性,实用价值较强。     

基于网络连接统计的分布式拒绝服务攻击检测

分析了分布式拒绝服务(D istributed D en ial of Serv ice,DDoS)攻击原理及其攻击特征,提出了一种基于网络连接统计的DDoS攻击检测方法。该方法利用DDoS攻击的固有特性,从网络连接数据的统计分析中探寻系统正常行为的特征分布,建立DDoS攻击检测模型。通过模拟攻击实验验证了检测方法的可行性。实验结果表明:该方法能快速有效地实现对DDoS攻击的检测,并对其他网络安全检测研究具有一定的指导意义。     

链路洪泛攻击的SDN移动目标防御机制

针对Crossfire分布式拒绝服务(distributed denial of service,DDoS)攻击,该文提出一种基于软件定义网络(software defined network,SDN)的攻击防御机制。在对Crossfire攻击分析基础上,设计一个SDN流量层级的集中监测及分流控制模型并部署到防御机制中,利用SDN的重路由策略疏解被攻击链路的拥塞负载,通过对流量的灵活调度缓解拥塞并避免关键链路中断对网络业务造成严重干扰。利用SDN的移动目标防御(mobile target defense,MTD)机制动态调整网络配置和网络行为并诱使攻击者对攻击流量进行调整,提高诱饵服务器对攻击的检测效率。实验结果表明:该机制可以有效防御Crossfire攻击且SDN的防御机制和重路由策略不会造成显著开销。     

SDN中DDoS攻击的高效联合检测和防御机制

为解决软件定义网络(SDN,software-defined networking)控制器所面临的DDoS攻击问题,本文提出一个高效率的联合检测和防御机制.联合检测部分采用改进自组织映射(SOM,self-organizing mapping)算法和多维条件熵算法相结合,通过对自组织映射算法的改进,与多维条件熵算法相互提供反馈信息,达到高效联合检测目的.联合防御部分采用常规防御模块与快速防御模块相结合,通过调整优先级的方式针对不同的检测结果采取不同的防御策略.大量实验表明,本文的联合检测机制可以达到95.2%的检测率;与单独的防御机制相比,联合防御机制中控制器的响应时间可以平均降低0.11s.     

基于决策树的DDoS攻击检测方法研究

采用决策树中的ID3算法,提出一种基于数据挖掘技术的DDoS攻击检测方法.该方法从被监控网络采集的数据中提取网络流量特征设计检测系统,较好地解决了网络流量分析中数值属性特征的分类问题.实验结果表明该系统能有效检测网络中发生的DDoS攻击行为.     

应用数据挖掘算法检测云计算中的DDoS攻击

DDoS攻击给当前网络安全造成了极大威胁,在分析归纳DDoS攻击特征的基础上,针对在云计算中DDoS攻击的特点,设计出基于云计算的DDoS攻击入侵检测模型,将Apriori算法与K-means聚类算法相结合应用到入侵检测模型中。实验表明,在云计算中运用数据挖掘算法建立的入侵检测模型能实时自动准确地检测DDoS攻击。     

基于CUSUM的自适应攻击检测

为了能够快速发现DDoS攻击,尽量减小或避免其危害,基于CUSUM算法,以发送和接收数据包数量比例为特征量,提出一种快速的DDoS攻击检测算法.并通过动态调整期望值和警告阀值,使算法具有更好的适应性,能够运用于不同的网络环境.最后通过实验对算法进行验证.     

SDN环境下基于KNN的DDoS攻击检测方法

DDo S攻击是当前互联网面临的主要威胁之一,如何快速准确地检测DDo S攻击是网络安全领域研究的热点问题。文中提出了一种在SDN环境下基于KNN算法的模块化DDo S攻击检测方法,该方法选取SDN网络的5个关键流量特征,采用优化的KNN算法对选取的流量特征进行流量异常检测,最后基于NOX控制器和Net FPGA交换机进行了实验验证。实验结果表明:相对其他的分类检测算法,所提的检测方案具有更高的识别率和更低的误报率。     

一种基于熵的DDoS攻击实时检测算法

提出一种轻量级的DDoS(distributed denial of service)攻击检测的有效方法.首先基于滑动窗口技术的熵算法实时检测网络数据包中目的IP地址出现的随机性,然后使用VTP(variance-time plot)方法进行异常检测.实验结果表明,该方法能够实时检测出各种DDoS攻击的存在,特别是能够发现大流量背景下攻击流量没有引起整个网络流量显著变化的DDoS攻击.