CN112261000B - 一种基于PSO-K算法的LDoS攻击检测方法 - Google Patents

Abstract

本发明公开了一种基于粒子群优化和K均值聚类(PSO‑K)算法的低速率拒绝服务(LDoS)攻击检测方法，属于计算机网络安全领域。本发明所述的方法包括：以一个时间窗口为检测单位，实时对数据流量进行采样；并在该时间窗口内为数据流量划分时间片，提取数据流量的数字特征；采用PSO‑K算法对数据流量的特征进行聚类分析，再将聚类结果进行处理；与预先计算获得的阈值进行比较，最后依据判定准则判定数据流量是否存在异常，从而检测该时间窗口内是否发生LDoS攻击。本发明提出的基于群体智能优化和无需监督思想的LDoS攻击检测方法具有良好的普适性以及准确性。

Description

一种基于PSO-K算法的LDoS攻击检测方法

技术领域

本发明属于计算机网络空间安全领域，具体涉及一种基于粒子群优化和K均值聚类(PSO-K)算法的低速率拒绝服务(LDoS)攻击检测方法。

背景技术

拒绝服务(DoS)攻击由于其简单且易于达到目的这一攻击特点，目前是一种十分常见的网络攻击。其主要目的是耗尽目标网络或者服务系统的资源，使其无法响应甚至崩溃。LDoS攻击是一种特殊的DoS攻击，其利用现有的网络协议的拥塞控制机制等一些自适应机制的漏洞，周期性地发送高脉冲攻击流来达到攻击目的。为了使网络负载处于网络数据传输和处理能力的有效范围内，网络往往需要进行拥塞控制，此时，网络更致力于确保其稳态的性能，而忽略了其非稳态的性能或者从非稳态切换到稳态的性能。LDoS攻击正是利用此漏洞，周期性地发送短时脉冲式攻击流，导致网络出现丢包现象，造成网络拥塞的假信号。此时，TCP发送方根据超时重传、和增积减等机制重新发送数据包，并调整其拥塞窗口大小，从而进行网络拥塞控制，使网络恢复到稳态。因此，LDoS攻击导致网络不断在非稳态和稳态中切换，从而使整个网络的性能严重下降。相比于DoS攻击，LDoS攻击危害性大且隐蔽性更高。

LDoS攻击的特点是周期性地发送短时攻击流，这些攻击流量主要集中在脉冲期间，因此，LDoS攻击的平均速率低于传统的DoS攻击，容易藏匿在混合流量中，隐蔽性强。这也就意味着传统的DoS攻击检测方法并不适用于LDoS攻击检测。正常网络中绝大多数网络流量离散程度较低；若网络环境遭到LDoS攻击，网络流量为混合网络流量，既包含正常网络流量也包含LDoS攻击流量，此时，网络流量分布更离散，波动性更强。因此，LDoS攻击在一定程度上会对网络流量造成影响，即网络流量的离散性在正常网络和LDoS攻击网络中存在差异。正是由于这种离散性之间的差异，使得LDoS攻击能被发现。目前LDoS攻击检测方法主要有基于时域特征、基于频域特征以及基于形态特征三类，但是这些检测方法通常面临着空间复杂度和时间复杂度较高的问题，部分检测方法需要硬件支持，准确率也有待进一步提高，漏报率和误报率仍需进一步降低。

本发明针对已有的LDoS攻击检测方法的漏报率和误报率仍需进一步降低的需求，基于群体智能优化和无需监督的聚类分析思想，提出了一种基于PSO-K的LDoS攻击检测方法。该方法引入了K均值聚类算法对网络流量进行聚类分析，同时利用粒子群优化算法对聚类中心增加扰动，提高其寻找全局最优聚类中心的能力。最后对聚类结果进行处理并检测判定从而达到检测LDoS攻击的目的。该方法无需利用带有标签的数据集进行训练，是一个无监督过程。本发明提出的基于群体智能优化和无需监督思想的LDoS攻击检测方法，具有良好的普适性以及准确性。

发明内容

针对现有的LDoS攻击检测方法的性能仍需进一步改善的现状，本发明提出了一种基于PSO-K的LDoS攻击检测方法。该检测方法在无需监督的前提下，可以对网络流量进行有效聚类，对LDoS攻击检测具有良好的准确性及普适性。

本发明为实现上述目标所采用的技术方案为：基于PSO-K的LDoS攻击检测方法主要包括四个步骤：采样数据、处理数据、聚类分析数据和判定检测。

1.采样数据。采样数据的主要目的是获取路由器上的TCP流量以及UDP流量从而进行检测。本发明设置了时间窗口，在窗口内以固定取样时间分别对TCP流量以及UDP流量进行采样，形成TCP样本原始值序列和UDP样本原始值序列。

2.处理数据。为了有效检测，本发明划分了时间窗口并提取网络流量的数字特征。本发明在窗口内划分时间片，计算每个时间片的样本原始值序列方差，得到窗口内的TCP样本统计值序列和UDP样本统计值序列。

3.聚类分析数据。基于PSO-K算法，对窗口内的两组样本统计值序列进行聚类分析，并计算各簇内所有点的平均值，得到各TCP簇和UDP簇的均值方差。具体是：

1)基于粒子群优化算法，分别对TCP样本统计值和UDP样本统计值的K个聚类中心增加扰动，增强其跳出局部最优解和寻找最优聚类中心的能力。粒子群算法中，粒子的速度和位置的迭代公式为：

在公式中，i＝1,2,…，N，N是此群中粒子的总数。v_i是粒子的速度，x_i是粒子当前的位置。c₁和c₂是学习因子，本发明中c₁＝c₂＝1.2。pbest_i为粒子目前找到的个体极值，gbest_i为粒子群当前找到的全局极值。rand₁和rand₂均代表0至1之间的随机数。ω为惯性因子，其值为非负，本发明采用线性递减权值策略来进行计算，其计算公式为：

其中，G_k为最大迭代数，ω_ini为初始惯性权值，ω_end为迭代至最大进化代数时的惯性权值，本发明中ω_ini＝0.9，ω_end＝0.4，g为当前迭代进行的次数。

2)基于K均值聚类算法，分别从TCP样本统计值和UDP样本统计值的K个聚类中心出发对该窗口内对应的样本统计值进行聚类分析。本发明中，K均值聚类算法采用欧式距离来计算数据对象间的距离，计算公式为：

其中，D表示数据对象的属性个数。

3)对于聚类后每个TCP簇和UDP簇，计算簇内所有点的均值，得到各TCP簇和UDP簇的均值方差。第i个窗口的第j个簇的均值方差的计算公式为：

其中，C_j表示每个窗口中的第j个簇；var_j表示第j个簇内点代表的值。

4.判定检测。根据预先计算获得的TCP均值方差阈值以及UDP均值方差阈值，对该窗口内各TCP簇和各UDP簇的均值方差进行判定检测。TCP均值方差阈值的计算方式为：根据数据处理部分的步骤，对不存在LDoS攻击的TCP流量计算获得TCP样本统计值序列，计算序列的平均值，获得TCP均值方差阈值。UDP均值方差阈值的计算方式为：根据数据处理部分的步骤，对不存在LDoS攻击的UDP流量计算获得UDP样本统计值序列，计算序列的平均值，获得UDP均值方差阈值。检测LDoS攻击发生的准则为：

1)基于预先计算获得的TCP均值方差阈值，若当前窗口内TCP簇均值方差大于TCP均值方差阈值，则该窗口TCP均值方差异常，判定此窗口内TCP流量异常。

2)基于预先计算获得的UDP均值方差阈值，若当前窗口内UDP簇均值方差大于UDP均值方差阈值，则该窗口内UDP均值方差异常，判定此窗口内UDP流量异常。

3)若同一窗口内的TCP簇和UDP簇均检测到异常，且二者的聚类标签相同，则判定该窗口内发生LDoS攻击。

有益效果

本发明的基于PSO-K算法的LDoS攻击检测方法，能够在无需带标签的数据集进行训练的情况下，提高LDoS攻击的检测准确率，满足当前对LDoS攻击检测方法的需求。该方法属于无监督过程方法，使用与实现简单，漏报率和误报率低。因此，该方法可普适用于LDoS攻击检测。

附图说明

图1为检测窗口及时间片划分的示意图。

图2为基于PSO-K算法的LDoS攻击检测方法的检测准则示意图。

图3为基于PSO-K算法的LDoS攻击检测方法的流程图。

具体实施方式

下面结合附图对本发明进一步说明。

如图1所示，本发明的LDoS检测方法每次进行检测时会首先设置时间窗口的长度并进行相关网络流量的数据采集，随后在时间窗口内划分多个相同长度的时间片，再分别对时间片内的网络流量数据进行处理。

如图2所示，横坐标为时间窗口的编号，纵坐标为均值方差的数值，方形和星形均表示聚类后的各簇，方形簇表示的聚类标签为1，星形簇表示的聚类标签为2。根据本发明提出的判定准则，对于每一个窗口，先检查TCP簇的均值方差是否大于TCP均值方差阈值，如果大于此阈值，则判定为当前窗口内TCP流量异常。再检查UDP簇的均值方差是否大于UDP均值方差阈值，同理，如果大于阈值，则判定为当前窗口内UDP流量异常。当TCP与UDP流量均检测到异常，则检查二者是否拥有相同的聚类标签，如果二者标签相同，则判定该窗口中存在LDoS攻击。如图中虚线A标示的一组点所示，其表示的TCP簇和UDP簇的均值方差均大于阈值，且二者均为星形，即拥有相同的聚类标签1，符合本发明的判定准则，故此窗口被判定为存在LDoS攻击。虚线B和虚线C标示的点均不符合本发明的判断准则，认为其均不存在LDoS攻击。

如图3所示，本发明提出的基于PSO-K算法的LDoS检测方法，主要包括四个步骤：采样数据，处理数据，聚类分析数据以及判定检测。每次检测前首先设置时间窗口的长度，再按照固定的时间间隔对路由器上的TCP流量和UDP流量进行取样。然后在时间窗口内划分时间片，对每个时间片内的TCP样本原始值序列和UDP样本原始值序列进行计算方差，对网络流量的离散性特征进行刻画，获得统计值序列。再基于PSO-K算法对两组统计值序列进行聚类分析，获得各TCP簇和各UDP簇的均值方差值，通过PSO算法对聚类中心的优化，使得K均值聚类算法在全局范围内获得最优聚类的能力得到提高。结合TCP均值方差阈值以及UDP均值方差阈值进行检测判定，如果TCP簇的均值方差和UDP簇的均值方差均大于其阈值，且二者拥有相同的聚类标签，则判定为该窗口内存在LDoS攻击。

Claims (4)

1.一种基于PSO-K算法的LDoS攻击检测方法，其特征在于，PSO-K表示粒子群优化和K均值聚类，PSO-K算法的处理过程包括：1)基于粒子群优化算法对K个聚类中心增加扰动；2)基于K均值聚类算法从K个聚类中心出发对需要聚类的数据进行聚类获得K个簇；3)对聚类后的簇进行分析，所述LDoS攻击检测方法包括以下几个步骤：

步骤1、采样数据：设置时间窗口，在窗口内以固定取样时间获取路由器上的TCP流量以及UDP流量，形成TCP样本原始值序列和UDP样本原始值序列；

步骤2、处理数据：在窗口内划分时间片，计算每个时间片的样本原始值序列方差，得到窗口内的TCP样本统计值序列和UDP样本统计值序列；

步骤3、聚类分析数据：基于PSO-K算法，对窗口内的两组样本统计值序列进行聚类分析，并计算各簇内所有点的平均值，得到各TCP簇和UDP簇的均值方差，所述PSO-K算法的具体处理步骤为：

步骤3.1、基于粒子群优化算法，分别对TCP样本统计值和UDP样本统计值的K个聚类中心增加扰动，增强其跳出局部最优解和寻找最优聚类的能力，所述粒子群优化算法的具体处理过程为：1)设置粒子群的粒子总个数为N，初始化每一个粒子i的速度v_i、位置x_i、个体极值pbests_i以及全局极值gbests_i，i∈{1,2,…,N}，设置粒子速度和位置迭代更新的总轮数为G_k；2)在每一轮更新迭代中，计算每一个粒子i的新v_i、x_i、pbests_i、gbests_i值，根据N个粒子各自的新位置x_i将所有粒子拆分为K个类，计算每一个类的中心获得共K个中心，即为当前迭代轮数下的K个聚类中心，计算当前迭代轮数下的K个类中所有粒子到其对应的中心的欧式距离之和；3)在G_k轮迭代完成之后，最小的欧式距离之和对应的迭代轮数下的K个聚类中心即为增加扰动后的聚类中心；

步骤3.2、基于K均值聚类算法，分别从TCP样本统计值和UDP样本统计值的K个聚类中心出发对该窗口内对应的样本统计值进行聚类分析，每一个聚类中心对应一个簇，一个簇中包含的元素对象为数个样本统计值，根据步骤3.1获得的增加扰动后的K个聚类中心，所述K均值聚类算法的具体处理过程为：1)针对步骤2获得的TCP样本统计值序列，分别计算每一个TCP样本统计值到这K个聚类中心的欧式距离，选择其中最短的欧式距离对应的聚类中心，将此TCP样本统计值划分到此聚类中心对应的簇中，将所有TCP样本统计值划分完成后形成共K个TCP簇，每一个TCP簇都由计算机生成一个聚类标签，第k个簇的聚类标签为k，k∈{1,2,…,N}；2)针对步骤2获得的UDP样本统计值序列，分别计算每一个UDP样本统计值到这K个聚类中心的欧式距离，选择其中最短的欧式距离对应的聚类中心，将此UDP样本统计值划分到此聚类中心对应的簇中，将所有UDP样本统计值划分完成后形成共K个UDP簇，每一个UDP簇都由计算机生成一个聚类标签，第k个簇的聚类标签为k，k∈{1,2,…,N}；

步骤3.3、对于聚类后每个TCP簇和UDP簇，计算簇内所有点的均值，得到各TCP簇和UDP簇的均值方差；

步骤4、判定检测：根据预先计算获得的TCP均值方差阈值以及UDP均值方差阈值，对该窗口内各簇的均值方差进行判定检测，若TCP簇和UDP簇的均值方差均大于其对应的阈值，且二者拥有相同的聚类标签，则判定该窗口内的网络中发生LDoS攻击。

2.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤4中根据步骤3中计算获得的该窗口内各TCP簇和各UDP簇的均值方差，对该窗口内的TCP流量和UDP流量进行判定检测，包括三个步骤：

步骤4.1、基于预先计算获得的TCP均值方差阈值，对该窗口内各TCP簇均值方差进行判定检测，若该窗口内TCP簇均值方差大于TCP均值方差阈值，则该窗口内TCP均值方差异常，判定此窗口内TCP流量异常；

步骤4.2、基于预先计算获得的UDP均值方差阈值，对该窗口内各UDP簇均值方差进行判定检测，若该窗口内UDP簇均值方差大于UDP均值方差阈值，则该窗口内UDP均值方差异常，判定此窗口内UDP流量异常；

步骤4.3、若步骤4.1和4.2同时检测到流量异常，且此TCP簇和UDP簇的聚类标签相同，则判定该窗口内发生LDoS攻击，聚类标签的获得方式为在计算机上运行PSO-K算法程序生成整数类型的聚类标签值。

3.根据权利要求2中所述的LDoS攻击检测方法，其特征在于，步骤4.1中的TCP均值方差阈值的计算方式为：根据步骤2，对不存在LDoS攻击的TCP流量计算获得TCP样本统计值序列，计算序列的平均值，获得TCP均值方差阈值。

4.根据权利要求2中所述的LDoS攻击检测方法，其特征在于，步骤4.2中的UDP均值方差阈值的计算方式为：根据步骤2，对不存在LDoS攻击的UDP流量计算获得UDP样本统计值序列，计算序列的平均值，获得UDP均值方差阈值。

Images