DDoS攻击恶意行为知识库构建

刘飞扬，李坤，宋飞，周华春

DDoS攻击恶意行为知识库构建

刘飞扬，李坤，宋飞，周华春

（北京交通大学电子信息工程学院，北京 100044）

针对分布式拒绝服务（distributed denial of service，DDoS）网络攻击知识库研究不足的问题，提出了DDoS攻击恶意行为知识库的构建方法。该知识库基于知识图谱构建，包含恶意流量检测库和网络安全知识库两部分：恶意流量检测库对DDoS攻击引发的恶意流量进行检测并分类；网络安全知识库从流量特征和攻击框架对DDoS攻击恶意行为建模，并对恶意行为进行推理、溯源和反馈。在此基础上基于DDoS开放威胁信号（DDoS open threat signaling，DOTS）协议搭建分布式知识库，实现分布式节点间的数据传输、DDoS攻击防御与恶意流量缓解功能。实验结果表明，DDoS攻击恶意行为知识库能在多个网关处有效检测和缓解DDoS攻击引发的恶意流量，并具备分布式知识库间的知识更新和推理功能，表现出良好的可扩展性。

DDoS；分布式；知识图谱；恶意行为知识库

1 引言

分布式拒绝服务（distributed denial of service，DDoS）是目前针对网络应用程序最具破坏力的攻击之一[1]。5G支持的海量终端设备接入使其受到的安全威胁进一步提升。为了应对不断发展的网络攻击，设计了一系列的网络安全数据集，如KDDCup99、NSL-KDD、UNSW-NB15、CICDDoS2019等，这些数据集为了反映现实网络的复杂性，都设计成包含正常数据和异常数据的综合数据集，但仍存在不足之处：这些数据集都以流量数据的形式存储，淡化了网络实体间的关系，难以描述网络攻击者的攻击行为和特征。因此，如何将网络现有的海量数据与知识进行规范化和集成化，设计出一个针对DDoS网络攻击的知识库成为了亟待解决的问题。……