一种基于多维度状态转移矩阵特征的DDos识别方法和系统技术方案

本发明专利技术涉及一种基于多维度状态转移矩阵特征的DDos识别方法和系统。该方法包括：1)采集网络流元数据，并标注DDos流量与正常流量；2)利用采集并标注的网络流元数据，基于状态转移矩阵提取DDos的多维度特征；3)利用提取的多维度特征，采用机器学习算法训练分类模型；4)将待测的网络流数据按照步骤2)提取多维度特征，输入到步骤3)训练得到的分类模型中，获得DDos识别结果。本发明专利技术提取出可以有效刻画不同DDos攻击手法的网络行为特征，结合机器学习算法训练学习，在对场景先验知识较少的情况下，能够既准又全的识别DDos攻击。

【技术实现步骤摘要】
一种基于多维度状态转移矩阵特征的DDos识别方法和系统
本专利技术属于信息
，具体涉及一种基于多维度状态转移矩阵特征的DDos识别方法和系统。
技术介绍
随着互联网与信息技术的不断发展，网络攻击手段也层出不穷，但分布式拒绝服务攻击(DistributedDenialofService,DDoS)仍是其中的佼佼者，其方式简单、破坏力极强，被攻击者广泛使用，且形式也越来越多样。互联网目前正在朝着“物物互联”发展，这意味着有成百上千的设备会接入互联网；除此之外，云计算等技术的发展使得互联网应用及服务迅速增长，使得骨干网流量已达到Tbps的数量级。以上原因导致基于流量数据检测攻击变得越来越困难。因此，通过流量识别DDos攻击仍是一个巨大的挑战，也受到了工业界和学术界的广泛关注。使用数据流的采样元信息进行DDos检测是必然的趋势。目前使用采样元信息进行DDos识别的方法主要存在两类：a.基于阈值的识别方法。b.基于机器学习的识别方法。基于阈值的方法主要是通过DDos的某一或某些属性，抽象出可以表征DDos行为的特征，例如访问频率、访问量、信息熵等。基于机器学习的方法通过提取数据流或数据包本文档来自技高网...

【技术保护点】
1.一种基于多维度状态转移矩阵特征的DDos识别方法，其特征在于，包括以下步骤：1)采集网络流元数据，并标注DDos流量与正常流量；2)利用采集并标注的网络流元数据，基于状态转移矩阵提取DDos的多维度特征；3)利用提取的多维度特征，采用机器学习算法训练分类模型；4)将待测的网络流数据按照步骤2)提取多维度特征，输入到步骤3)训练得到的分类模型中，获得DDos识别结果。

【技术特征摘要】
1.一种基于多维度状态转移矩阵特征的DDos识别方法，其特征在于，包括以下步骤：1)采集网络流元数据，并标注DDos流量与正常流量；2)利用采集并标注的网络流元数据，基于状态转移矩阵提取DDos的多维度特征；3)利用提取的多维度特征，采用机器学习算法训练分类模型；4)将待测的网络流数据按照步骤2)提取多维度特征，输入到步骤3)训练得到的分类模型中，获得DDos识别结果。2.根据权利要求1所述的方法，其特征在于，步骤1)通过部署多种DDos攻击工具，对目标网络进行攻击，在路由器端收集流量的Netflow数据，利用源IP标注DDos流量与正常流量。3.根据权利要求1所述的方法，其特征在于，步骤2)首先将Netflow原始属性按设定的时间窗口，以IP地址为key进行聚合，然后对每个时间窗口内的Netflow属性提取多维度特征。4.根据权利要求1所述的方法，其特征在于，步骤2)所述多维度特征包括：基于流的特征、基于模式的特征和基于频率的特征；所述基于流的特征对DDos流量与正常流量在统计量上的不同表征进行刻画；所述基于模式的特征是通过对观测数据的分析找到上下行包数及字节数的代表序列，构建上下行包数及字节数的累加值转移矩阵，用以刻画DDos的模式特征；所述基于频率的特征体现DDos流量与正常流量在对目标主机的访问频率上存在的差异。5.根据权利要求4所述的方法，其特征在于，所述基于流的特征包括：上行总包数、上行总字节数、上行持续时间、下行总包数、下行总字节数、下行持续时间。6.根据权利要求4所述的方法，其特征在于，按照以下方式提取...

【专利技术属性】
技术研发人员：曹自刚，扶佩佩，管洋洋，侯江畔，
申请(专利权)人：中国科学院信息工程研究所，
类型：发明
国别省市：北京,11