55、评估用于检测DDoS攻击的机器学习算法

评估用于检测DDoS攻击的机器学习算法

1. 引言

分布式拒绝服务（DDoS）是一种相对简单但非常强大的攻击技术，可针对互联网资源和系统资源。多个分布式代理在短时间内消耗目标的关键资源，使合法客户端无法使用服务。同时，它还会在源到目标的路径上造成网络拥塞，干扰正常的互联网运行，导致许多合法用户无法使用服务。

DDoS是一种大规模、有组织的攻击，通过互联网上许多被攻陷的计算机（僵尸网络）间接发起，针对受害者系统或网络资源的可用性。攻击者利用客户端/服务器技术，借助众多不知情的僵尸网络资源，显著增强攻击效果。僵尸网络通过大幅增加受害者机器的流量来实施实际攻击，导致受害者机器失去所有计算和通信资源。

目前，研究人员提出了一些防御机制，常用的防御技术包括检测、过滤和追踪。然而，这些现有机制大多效果有限。检测技术难以有效区分正常流量和异常流量；过滤技术在高流量时会堵塞；追踪技术通常只能在攻击结束后，在流量较小时才有效。此外，现有检测机制面临两大挑战：一是攻击常使用合法请求淹没目标，难以区分攻击流量和合法流量；二是由于当前计算机网络涉及大量数据，实时快速检测困难。

统计方法可检测DDoS攻击导致的资源使用异常变化，但难以确定正常网络数据包的分布，只能模拟为均匀分布。一些应用数据挖掘技术的方法在检测攻击时准确率较高，但通常无法用于实时计算。部分研究建议使用聚类方法来构建正常模式，聚类方法的优势在于不依赖任何已知的数据分布。从大量网络数据中提取重要和相关的属性，对于建模网络行为、区分攻击行为和正常行为至关重要。

下面将综合分析当前DDoS研究面临的挑战，评估用于检测DDoS的机器学习算法，包括特征提取、分类和比较。通过在公共基准数据集上的实验，评估一些最新