CN112804248B - 一种基于频域特征融合的LDoS攻击检测方法 - Google Patents

Abstract

本发明公开了一种基于频域特征融合的LDoS攻击检测方法，属于计算机网络安全领域。其中所述方法包括：首先，获取路由器中的网络数据报文，得到样本序列；然后，基于离散傅里叶变换和离散小波变换将样本序列从时间域变换到频率域，充分地提取样本序列的频域特征；接着，采用线性判别分析将提取的频域特征进行特征融合得到判定特征，从而能够显著提高特征的分类性能；最后，将判定特征输入到事先训练好的单类分类异常检测模型，并根据异常检测模型的输出，对该单位时间内的网络数据报文进行判定检测，若异常检测模型的输出为‑1，则判定该单位时间内网络中发生了LDoS攻击。本发明提出的基于频域特征融合的检测方法能高效、快速、准确地检测LDoS攻击。

Description

一种基于频域特征融合的LDoS攻击检测方法

技术领域

本发明属于计算机网络安全领域，具体涉及一种基于频域特征融合的LDoS攻击检测方法。

背景技术

拒绝服务(Denial of Service,DoS)攻击是一种损害服务可用性的攻击，该攻击尝试耗尽一些与服务相关的重要资源，从而阻碍受害系统所提供的一些正常服务来破坏服务的可用性。DoS攻击对网络危害巨大。随着DoS攻击相关技术的发展，攻击方式和手段也越来越多样和智能。而慢速拒绝服务(Low-rate Denial of Service,LDoS)攻击，是近年来出现的一种DoS攻击变体。相较于传统的DoS攻击，LDoS攻击不仅仍具有较强的破坏性，还有着更强的隐蔽性。

目前LDoS攻击检测存在两个方面的问题：其一是由于LDoS攻击的低速率性和强隐蔽性，基于统计特性的传统DoS攻击检测方法难以有效检测LDoS攻击；其二是现有的LDoS攻击检测方法普遍存在检测准确度不高、资源消耗大等缺点。

本发明针对现有LDoS攻击检测方法普遍存在检测准确度不高、资源消耗大等缺点。基于时频域分析方法和单类分类异常检测模型，提出了一种基于频域特征融合的LDoS攻击检测方法。该方法首先采用离散傅里叶变换和离散小波变换提取样本序列的频域特征；然后，采用线性判别分析融合提取的频域特征，得到判定特征，从而能够提高频域特征的分类性能；最后，将判定特征输入到单类分类异常检测模型中，根据异常检测模型的输出，从而达到检测LDoS攻击的目的。该LDoS攻击检测方法在复杂网络环境中有较好的鲁棒性，误报率和漏报率低，对LDoS攻击的检测准确度较高，并且资源消耗较小。因此该检测方法可普适于准确检测LDoS攻击。

发明内容

针对现有LDoS攻击检测方法普遍存在检测准确度不高、资源消耗大等缺点，提出了一种基于频域特征融合的LDoS攻击检测方法。该LDoS攻击检测方法在复杂网络环境中有较好的鲁棒性，误报率和漏报率低，对LDoS攻击的检测准确度较高，同时资源消耗小，可普适于准确检测LDoS攻击。

本发明为实现上述目标所采用的技术方案为：一种基于频域特征融合的LDoS攻击检测方法主要包括四个步骤：采样数据、特征提取、特征融合以及判定检测。

1.采样数据。获取路由器中的网络数据报文，对单位时间内所有网络数据报文进行采样，得到包含N个采样点的样本序列{x(t),t＝nΔt,n∈Z⁺}，其中，Δt为采样时间，n的取值范围是[0,N)，该样本序列的另一种形式是{x(0),x(1),...,x(N-1)}。

2.特征提取。基于离散傅里叶变换和离散小波变换，对样本序列进行频域分析，提取样本序列的频域特征，包括两个操作：其一是基于离散傅里叶变换，将样本序列从时间域变换到频率域，提取样本序列的振幅谱；其二是基于离散小波变换，对样本序列进行时频域分析，提取样本序列的近似系数。LDoS攻击能够针对网络自适应机制的漏洞进行灵活的调整，有着低速率性和强隐蔽性，因此，仅对网络流量进行时域分析无法准确地检测LDoS攻击。离散傅里叶变换是频域分析的经典方法，能够有效提取样本序列的频域特征，而离散小波变换更是能对样本序列进行时频域分析，通过离散傅里叶变换和离散小波变换，能够充分地提取样本序列的频域特征。相较于时域分析提取的时域特征，频域分析提取的频域特征能够有效地提高LDoS攻击的检测准确度。

对于包含N个采样点的样本序列{x(0),x(1),...,x(N-1)}，其离散傅里叶变换的公式可表示为：

其中，k＝0,1,2,...,N-1。DFT(x(n),k)代表的是频率为

的频率分量，其中，f_s为原始信号的采样频率。

对于包含N个采样点的样本序列{x(t),t＝nΔt,n∈Z⁺}，其离散小波变换的公式可表示为：

其中，ψ_j,k(t)是小波函数，

是尺度函数，d_j,k是小波系数，a_J,k是近似系数。d_j,k表示信号在尺度j下的细节信息，反映了信号的高频信息；a_J,k表示信号在尺度J下的概貌信息，反映了信号的低频信息。d_j,k和a_J,k由Mallat金字塔算法计算，d_j,k和a_J,k的计算公式可表示为：

其中,h₀和h₁分别是低通滤波器和高通滤波器的系数。

3.特征融合。基于线性判别分析，将提取的振幅谱和近似系数分别进行特征融合，得到判定特征1和判定特征2。线性判别分析是一种有监督的线性学习方法，其基本思想是通过投影变换w，使得同类样例在投影后的投影点尽可能接近，异类样例在投影后的投影点尽可能远离。线性判别分析的最大化目标函数为：

其中，S_b是类间散度矩阵，S_w是类内散度矩阵。由于实际网络中存在多种偶然因素的影响，直接使用提取的振幅谱和近似系数检测LDoS攻击，无法获得较高的检测准确度。为了实现准确检测LDoS攻击，使用线性判别分析，分别将提取的振幅谱和近似系数融合为判定特征1和判定特征2。通过线性判别分析对提取的频域特征进行特征融合，能够提高特征的分类性能，进而能够有效地提高LDoS攻击的检测准确度。

4.判定检测。基于单类分类异常检测模型，将判定特征1和判定特征2输入到训练好的支持向量数据描述模型中。根据异常检测模型的输出，对该单位时间内的网络数据报文进行判定检测，若异常检测模型的输出为-1，则判定该单位时间内网络中发生了LDoS攻击。支持向量数据描述的基本思想是通过非线性映射将原始训练样本映射到高维特征空间，在高维特征空间中寻找一个包含全部或大部分训练样本且体积最小的超球体，即最优超球体，通过非线性映射，如果新样本在特征空间中的像落入最优超球体内，则该样本被视为一个正常点，否则被视为一个异常点，最优超球体由其球心和半径决定，设超球体的球心为a，半径为r，则支持向量数据描述的目标函数为：

其中，ξ_i是松弛变量，通过在目标函数中引入该变量，可以避免模型过拟合，C是正则化因子，用于控制松弛变量ξ_i影响大小。引入拉格朗日乘子求解目标函数，得到如下拉格朗日函数表达式：

其中，α_i和β_i(α_i,β_i≥0)为拉格朗日乘子。令L对r，a，ξ_i，求偏导数，令其为0，得到如下表达式：

引入核函数，得到目标函数的对偶问题：

其中，

支持向量数据描述的决策函数为：

若检测结果显示该单位时间内的网络数据报文正常，则将该单位时间内网络数据报文加入预先存储的对应数据内，用以训练更新单类分类异常检测模型。通过不断地对单类分类异常检测模型进行训练更新，能够有效提高该单类分类异常检测模型在复杂网络环境下的自适应性和鲁棒性。

有益效果

该LDoS攻击检测方法在复杂网络环境中有较好的鲁棒性，误报率和漏报率低，对LDoS攻击的检测准确度较高，且检测方法资源消耗较小。因此，该检测方法可普适于准确检测LDoS攻击。

附图说明

图1为线性判别分析的二维示意图。

图2为支持向量数据描述模型的示意图。

图3为一种基于频域特征融合的LDoS攻击检测方法的流程图。

具体实施方式

下面结合附图对本发明进一步说明。

如图3所示，该LDoS攻击检测方法主要包括四个步骤：采样数据、特征提取、特征融合以及判定检测。

图1为线性判别分析的二维示意图。圆形点和方形点分别表示两类数据，椭圆表示数据簇的外轮廓，虚线表示投影，实心圆形点和实心方形点分别表示两类数据在投影后的中心点。线性判别分析是一种有监督的线性学习方法，其基本思想是通过投影变换w，使得同类样例在投影后的投影点尽可能接近，异类样例在投影后的投影点尽可能远离，从而能够提高特征的分类性能。因此，频域特征融合能够有效提高LDoS攻击的检测准确度。

图2为支持向量数据描述模型的示意图。圆形点和方形点分别表示正常类样本和异常类样本，圆形表示决策边界。通过对目标数据集进行超球形描述，从而实现异类点检测或分类。对于一个新样本，其在特征空间中的像如果落入最优超球体内，则被视为一个正常点，否则被视为一个异常点。

Claims (5)

1.一种基于频域特征融合的LDoS攻击检测方法，其特征在于，所述LDoS攻击检测方法包括以下几个步骤：

步骤1、采样数据：获取路由器中的网络数据报文，对单位时间内所有网络数据报文进行采样，得到包含N个采样点的样本序列{x(t),t＝nΔt,n∈Z⁺}，其中，Δt为采样时间；

步骤2、特征提取：基于离散傅里叶变换和离散小波变换，提取样本序列的频域特征，包括两个步骤：

步骤2.1、基于离散傅里叶变换，将样本序列从时间域变换到频率域，进而提取样本序列的振幅谱；

步骤2.2、基于离散小波变换，对样本序列进行时频域分析，进而提取样本序列的近似系数；

步骤3、特征融合：基于线性判别分析，将提取的振幅谱和近似系数分别进行特征融合，从而能够提高特征的分类性能，包括两个步骤：

步骤3.1、基于线性判别分析，将提取的振幅谱融合为判定特征1；

步骤3.2、基于线性判别分析，将提取的近似系数融合为判定特征2；

步骤4、判定检测：将判定特征1和判定特征2输入到单类分类异常检测模型中，根据异常检测模型的输出，对该单位时间内的网络数据报文进行判定检测，若异常检测模型的输出为-1，则判定该单位时间内网络中发生了LDoS攻击。

2.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤2.1中样本序列的离散傅里叶变换定义为：

其中，k＝0,1,2,...,N-1。

3.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤2.2中样本序列的离散小波变换定义为：

其中，ψ_j,k(t)是小波函数，

是尺度函数，d_j,k是小波系数，a_J,k是近似系数。

4.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤3中线性判别分析的基本思想是通过投影变换w，使得同类样例在投影后的投影点尽可能接近，异类样例在投影后的投影点尽可能远离，因此，其最大化的目标函数为：

其中，S_b是类间散度矩阵，S_w是类内散度矩阵。

5.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤4中单类分类异常检测模型是支持向量数据描述模型，其基本思想是通过非线性映射将原始训练样本映射到高维特征空间，在高维特征空间中寻找一个包含全部或大部分训练样本且体积最小的超球体，即最优超球体，通过非线性映射，如果新样本在特征空间中的像落入最优超球体内，则该样本被视为一个正常点，否则被视为一个异常点，最优超球体由其球心和半径决定，设超球体的球心为a，半径为r，则支持向量数据描述的目标函数为：

其中，ξ_i是松弛变量，通过在目标函数中引入该变量，可以避免模型过拟合，C是正则化因子，用于控制松弛变量ξ_i影响大小。

Images