基于信息熵及朴素贝叶斯公式混合模型的 DDoS攻击检测系统

◆霍一菲 陆颖颖

（陆军装甲兵学院 北京 100072）

互联网自诞生至今，经历了高速的发展，现代社会离不开网络的应用。但是与之伴随的，是不得不引起重视的网络安全问题。DDoS攻击出现已久，但至今仍无法做到完全的防控。DDoS攻击一旦发生，将会为被攻击者带来重大损失。本文提出的基于信息熵及朴素贝叶斯公式混合模型的DDoS攻击检测系统，是在实时监控网络数据包的基础上，先运用信息熵的理论初步分析网络状况，若分析结果显示网络状态稳定，则跳过监控模型的第二层——即运用朴素贝叶斯公式进行网络状态分析；若结果显示此刻有遭受DDoS攻击的可能，则运用模型第二层准确分析网络状态。通过这样的方式使系统能够兼顾实时性和准确性。

1 技术基础

1.1 DDoS攻击

DDoS攻击是由DoS攻击发展而来的一种攻击形式，可以认为是DoS攻击的一种复杂形式。从本质上来讲DDoS攻击和DoS攻击是一种攻击。图1为DoS攻击的原理示意图。攻击者通过对僵尸计算机植入木马等形式取得僵尸计算机的控制权，然后通过操作僵尸计算机向目标计算机发送大量的消息，目标计算机资源因此遭到了严重占用甚至耗尽从而无法工作。现有的最主要的DDoS攻击类型例如SYN Flood攻击、UDP Flood攻击、ICMP Flood攻击、land攻击等。本文主要通过模拟发起SYN Flood攻击来验证模型的可行性。

图1 DoS攻击原理示意图

1.2 信息熵

“熵”是一种热力学概念，是一种用来表示分子状态混乱程度的物理量。“熵”值增加表示分子状态更加混乱，与此相对的，“熵”值减小表示分子状态趋于稳定。……