CN110719272A

CN110719272A - 一种基于lr算法的慢速拒绝服务攻击检测方法

Info

Publication number: CN110719272A
Application number: CN201910920763.0A
Authority: CN
Inventors: 汤澹; 严裕东; 冯叶; 张斯琦; 郑芷青; 张冬朔; 詹思佳
Original assignee: Hunan University
Current assignee: Hunan University
Priority date: 2019-09-27
Filing date: 2019-09-27
Publication date: 2020-01-21

Abstract

本发明公开了一种基于LR算法的慢速拒绝服务(LDoS)攻击检测方法，属于网络安全领域。其中所述方法包括：以一个时间窗口为检测单位，实时获取检测网络的数据报文；基于LDoS攻击下的网络数据分布形态特征，以提取相关网络数据特征值的方式，对各个时间窗口内数据进行处理，并以提取的特征值作为LR算法的训练输入，完成检测模型构建；对于待检测网络，同样提取的该时间窗口内数据报文的分布形态特征，利用训练完成的LR模型进行攻击检测，并依据相关判定准则判定是否发生LDoS攻击。本发明提出的LR算法针对检测LDoS攻击的应用场景，能高效、快速、自适应地检测LDoS攻击。

Description

一种基于LR算法的慢速拒绝服务攻击检测方法

技术领域

本发明属于计算机网络安全领域，具体涉及一种基于LR算法的慢速拒绝服务攻击检测方法。

背景技术

在当今全球化、信息化的背景下，信息安全和网络攻击防御日益成为重要的研究课题。自《网络安全法》于2017年6月1日正式实施以来，我国网络安全相关法律法规及配套制度逐步健全，网络安全威胁治理取得新成效；但尽管如此，我国网络安全威胁问题仍然十分突出。国家计算机网络应急技术处理协调中心2019年4月发布的《2018年我国互联网网络安全态势综述》指出：我国目前关键信息基础设施面临较为突出的安全风险，APT攻击、数据泄露、分布式拒绝服务攻击等问题也较为严重。

网络攻击最经常采取的方式之一是拒绝服务(DoS)攻击，这种攻击对网络损害巨大。传统的DoS攻击通过不断向网络中涌入大量攻击流来消耗有限的网络资源，导致受害网络或主机无法提供正常的服务。而慢速拒绝服务(LDoS)攻击是一种新型DoS攻击。不同于传统的必须维持网络中高流量的DoS攻击，LDoS攻击利用拥塞控制机制的漏洞，使得网络中平均流量降低，其产生的攻击效果近似于DoS攻击但攻击隐蔽性更强。

目前LDoS攻击检测存在两个方面的问题：其一是由于攻击行为特征异于传统DoS攻击，传统DoS攻击检测方法难以检测LDoS攻击；其二是已有的LDoS攻击检测方法普遍存在检测准确度不高、算法复杂、资源消耗大且实时性弱、自适应能力欠缺等特点。

本发明针对现有LDoS攻击检测方法普遍存在检测准确度不高、算法复杂、资源消耗大且实时性弱、自适应能力欠缺等特点，提出了一种基于LR算法的慢速拒绝服务攻击检测方法。该方法通过分析实时网络流量数据，提取网络流量数据的特征值，如TCP均值、方差、样本熵等；根据提取的特征值，通过LR算法完成检测模型的构建；对于待检测网络，以相同的方法，提取出相关流量特征值，并基于检测模型进行回归分析，从而达到检测LDoS攻击的目的。该LDoS攻击检测方法检测率高，假阴性率和假阳性率低，同时具有较低的算法空间复杂度和时间复杂度，因此该检测方法可普适于准确检测LDoS攻击。

发明内容

针对现有LDoS攻击检测方法普遍存在检测准确度不高、算法复杂、资源消耗大且实时性弱、自适应能力欠缺等特点，提出了一种基于LR算法的慢速拒绝服务攻击检测方法。该LDoS攻击检测方法检测率高，误报率和漏报率低，同时具有较低的算法空间复杂度和时间复杂度，因此该检测方法可普适于准确检测LDoS攻击。

本发明为实现上述目标所采用的技术方案为：该慢速拒绝服务攻击检测方法主要包括五个步骤：采样数据、处理数据、模型构建、分析数据以及判定检测。

1.采样数据。实时获取网络中(关键服务器、路由器或链路)的相关数据报文，其方式是以固定取样时间获取固定单位时间内所有相关数据报文，以此作为样本原始值。

2.处理数据。根据获取的网络数据报文样本原始值，处理得到的网络数据的相关特征值。特征值由样本TCP均值、TCP方差、变异系数、样本熵四项组成，它们能实时反应网络中流量的大小和变化情况，且在受到LDoS攻击时变化明显。通过计算获取这四种受到LDoS攻击之后会发生剧烈变化的特征值，能够较好鉴别网络中LDoS攻击的存在。

3.模型构建。LR算法模型利用步骤2处理数据阶段所计算获取的各单位时间内样本特征值作为算法的输入，进行模型的迭代训练。最终得到的模型，应当是一组体现各特征值在LDoS攻击判决中的重要性程度的“权值”。该过程具体是：1)对于各组数据，利用极大似然估计算法，求出最大似然函数；2)利用梯度上升方法，在对数据进行多轮训练迭代的过程中不断修正权值，得到模型中的最终的权值。

在实际的网络环境中，LDoS攻击随时可能开始，开始后也随时可能结束，因此，LR算法模型假设采集到的各个网络参数样本之间是相互独立的。因此，可以基于分析具有特定特征值的网络的真实标签(是否实际发生了LDoS攻击)，得到具有相关特征值的网络属于正样本(发生了攻击)或负样本(未发生攻击)的条件概率，从而获取极大似然函数，在通过梯度上升的迭代方法，训练得到一组合理的模型检测权值。

其中，LR在训练过程中，针对LDoS攻击检测的应用场景，有如下要求：1)网络样本数据规模大，故使用随机梯度上升算法，其基本思想是用部分数据代替整体样本，减小算法开销；2)设定动态的学习率，一方面加快训练权值的收敛速度，另一方面避免算法陷入局部最优情况，提升模型检测效率。

4.分析数据。在待检测网络中采样数据，并用类似方法提取它的特征值，并利用LR算法所构建的模型，对于待检测网络中各单位时间内的数据特征值进行判定检测。具体为：1)将待检测网络中的特征值与LR算法模型中的权值对应相乘，得到其LDoS攻击“判决特征值”；2)将该“判决特征值”的运算结果代入“逻辑回归函数”，求得各单位时间内网络受到LDoS攻击的概率；3)基于各个单位时间内LDoS攻击发生概率，设定合理的概率阈值。

其中，LR算法使用Sigmoid函数作为“逻辑回归函数”。该函数将输入的自变量映射到0～1的区间上，表示对应样本受到LDoS攻击的概率，从而转化为二分类问题，以检测LDoS攻击。Sigmoid函数的原型可以表示如下：

而在该攻击检测模型中，判断具有该特征值的网络中是否存在网络攻击，需要将网络流量的各特征值与对应权值相乘，得到其“判决特征值”，若将第i个特征值记作x_i，其对应的权值为w_i，则判决特征值可以表示如下：

最后，将判决特征值代入Sigmoid函数，所得的结果即为该组网络数据属于正样本类(存在网络攻击)的概率。对于所有的网络数据，进行如上运算，会得到各组网络数据中存在攻击的概率值，该过程可以表示如下：

5.判定检测。根据分析数据中所得到的单位时间内被攻击的概率，来确定网络中是否发生了LDoS攻击，具体是：若该单位时间窗口特征值经分析数据步骤计算，所得结果大于所设定的概率阈值，即判定其对应的单位时间内发生了LDoS攻击。

其中，在LR算法中，概率阈值基于ROC曲线进行动态设定，将阈值设定在假阴性(FN)和假阳性(FP)之和最低的一点，而非将阈值设为固定值，以提高检测率、提升检测自适应性。

有益效果

基于LR算法的LDoS攻击检测方法检测率高，误报率和漏报率低，同时算法的空间复杂度和时间复杂度低。因此，该检测方法可普适于准确检测LDoS攻击。

附图说明

图1为正常的网络流量与网络受到LDoS攻击时的流量对比。在受到LDoS攻击时，网络中平均流量下降，同时，网络流量波动较大。因此，提取出均值、方差、变异系数、样本熵等反映流量大小和变化的特征值，适用于基于“流量异常特征”的LDoS攻击检测。

图2为LR算法在不同的学习率设定下，对同一个权值进行训练的对比。在LR算法中，若使用固定的学习率，其权值训练结果倾向于在最优值附近波动，误差可能较大，导致模型检测效率可能不高；而在本发明中，针对LDoS攻击检测的应用场景，在LR算法中使用动态的学习率，使得其收敛到最优值，提升检测效率。

图3为LR在不同的梯度上升算法设定下，对同一个权值进行训练的对比。在LR算法中，每次模型训练迭代需要基于全部数据更新权值，算法开销大；针对LDoS攻击检测应用场景中数据量较大、较全面的情况，在LR算法中使用随机梯度上升，用部分样本代替总体样本，能大幅降低算法复杂度，且能取得与梯度上升类似的结果。

图4为LR算法对于概率阈值的选取示意图。LR算法基于ROC曲线——一种以真阳性率(TPR)为纵坐标，假阳性率(FPR，1-特异度)为横坐标绘制的曲线，而曲线上最靠近左上角的点，是总体错误最少的最好阈值选择，在这一点上假阴性和假阳性的数目之和最小，检测率最高，因此，这一点即为动态选取的阈值。

图5为一种基于LR算法的慢速拒绝服务攻击检测方法的流程图。

具体实施方式

下面结合附图对本发明进一步说明。

如图5所示，该慢速拒绝服务攻击检测方法主要包括五个步骤：采样数据、处理数据、模型构建、分析数据以及判定检测。

图1为正常的网络流量与网络受到LDoS攻击时的流量对比。提取出均值、方差、变异系数、样本熵等反映流量大小和变化，且受到LDoS攻击时变化较大的特征值，适用于基于“流量异常特征”的LDoS攻击检测。

图2为LR算法在不同的学习率设定下，对同一权值进行训练的对比。LR算法在训练迭代中使用动态、不断衰减的学习率，使其最终收敛到最优值，避免出现传统的固定学习率模式可能出现的陷入局部最优、在最优值附近频繁波动等问题，以提高检测模型的准确率。

图3为传统逻LR算法在不同的梯度上升算法设定下，对同一个权值进行训练的对比。在数据量较大、较全面的情况下，LR算法使用随机梯度上升，基于用部分样本代替总体样本的思想，取得了近似于传统梯度上升方法的效果，而大幅降低了复杂度。

图4为LR算法的概率阈值选取示意图。基于待检测数据绘制的ROC曲线选取阈值，具体方法为选取最靠近左上角的点。在这一点上假阴性(FN)和假阳性(FP)的数目之和最小，能够取得最好的效果；相比于固定或凭借经验选取概率阈值，该方法的自适应能力较强。

Claims

1.一种基于LR算法的慢速拒绝服务(Low-rate Denial of Service,LDoS)攻击检测方法，其特征在于，所述的LDoS攻击检测方法包括以下几个步骤：

步骤1、采样数据：实时获取网络中的相关数据报文，形成样本原始值；

步骤2、处理数据：在步骤1中采集网络数据报文样本原始值的基础之上划分时间窗口，计算样本原始值在每个时间窗口中的特征值；

步骤3、构建模型：基于LR算法进行训练，构建LDoS攻击的检测模型；

步骤4、分析数据：对于待检测的网络，重复步骤1和2，得到待测网络样本的特征值，并基于训练完毕的模型，分析计算各单位时间内网络受攻击的概率，并据此设定判定概率阈值；

步骤5、判定检测：对各时间窗口内的数据进行判定检测。若符合条件，则判定为该单位时间内网络中发生LDoS攻击。

2.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤1中实时获取网络中(关键服务器、路由器或链路)的相关数据报文，其方式是以固定取样时间获取固定单位时间内所有相关数据报文，以此作为为样本原始值。

3.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤2中根据步骤1获取的网络数据报文样本原始值，处理得到的特征值由样本TCP均值、TCP方差、变异系数、样本熵四项组成。通过计算获取这几种受到LDoS攻击之后会发生剧烈变化的特征值，能够较好鉴别网络中LDoS攻击。

4.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤3中，LR算法模型的训练过程包括两个步骤：

步骤3.1、以步骤2中计算获取各单位时间内样本特征值为算法的输入，对于各组数据利用极大似然估计算法，求出最大似然函数；

步骤3.2、利用梯度上升方法，在对数据进行多轮训练迭代的过程中不断修正权值，得到模型的最终权值。其中，LR算法使用随机梯度上升算法和动态的学习率，一方面用部分数据代替整体样本，减小算法开销；另一方面加快权值的收敛，避免算法陷入局部最优情况，提升模型检测效率。

5.根据权利要求4中所述的LDoS攻击检测方法，其特征在于，步骤3.1中，基于分析具有特定特征值的网络的真实标签(是否实际发生了LDoS攻击)，得到具有相关特征的网络属于正样本(发生了攻击)或负样本(未发生攻击)的条件概率，从而获取极大似然函数。

6.根据权利要求4中所述的LDoS攻击检测方法，其特征在于，步骤3.2中权值的定义为：网络中各特征值的权重，代表各特征值在LDoS攻击检测中起到的重要程度。

7.根据权利要求1中所述的LDoS攻击测方法，其特征在于，步骤4中，基于步骤3获得的LR算法模型，对于待检测网络中各单位时间内的数据特征值进行判定检测，包括以下两个步骤：

步骤4.1、将待检测网络中的特征值与LR检测模型中的权值对应相乘；

步骤4.2、将步骤4.1的运算结果代入逻辑回归函数，求得各单位时间内网络受到LDoS攻击的概率，并设定合理的概率阈值。

8.根据权利要求7中所述的LDoS攻击检测方法，其特征在于，步骤4.1中将特征值与检测模型中的权值对应相乘，得到其“判定特征值”，代入后续步骤的“逻辑回归函数”，作为LDoS攻击判定的重要依据。

9.根据权利要求7中所述的LDoS攻击检测方法，其特征在于，步骤4.2中使用Sigmoid函数作为“逻辑回归函数”。该函数将输入的自变量映射到0～1的区间上，表示对应样本受到LDoS攻击的概率，从而转化为二分类问题，以检测LDoS攻击。LR算法通过结合ROC曲线算法，从而动态设定概率阈值，以提升模型在实际检测中的自适应性。

10.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤5中，对LDoS攻击的判定准则为：若该单位时间窗口特征值经步骤4.1和4.2计算，所得结果大于步骤4.2中所设定的概率阈值，即判定其对应的单位时间内发生了LDoS攻击。