基于TCP时频域特征的低速率拒绝服务攻击检测方法

摘要

低速率拒绝服务（LDoS）攻击是DoS攻击的特殊变体，其可以利用TCP协议中的自适应机制来降低客户端和服务器的连接质量.由于攻击速率低且隐蔽，使用传统的DoS防御机制不能有效识别LDoS.本文提出了一种基于TCP流量的时频域特征和改进Stacking算法的LDoS攻击检测方法（TF-Stacking），分析了正常流量和包含LDoS攻击的流量在时域和频域上表现出的差异，构建网络流量特征集，用于流量数据的特征计算，以从网络流量数据中提取最有用的信息，减少网络数据规模.同时，改进Stacking算法来缓解元模型样本权重的不平衡问题，用于流量分类.本文在NS3仿真平台上进行了实验来评估TF-Stacking方法的性能，实验结果表明，TF-Stacking检测准确率达到了98.07%，且仅有1.55%的漏报率，可以有效检测LDoS攻击.

关键词

统计特征 / 集成学习 / Stacking / 攻击检测

基金资助

国家重点研发计划(2019QY1400); 国家自然科学基金(U2133208); 四川省青年科技创新研究团队(2022JDTD0014)