高一为,赖英旭,吴 欢,陈伟桐

（北京工业大学 计算机学院，北京 100124）

现有的基于网络流量的DDoS攻击检测方法可以按照对时间尺度的敏感程度进行划分,通常将小于100 ms的网络模型称为小尺度网络模型，将以小时(hour)或天(day)作为时间单位的网络模型称为大尺度网络模型。基于大尺度网络模型的检测方法主要有方差分析法(ANVOA)[1]、泛化似然比检验法(Generalized Likelihood Ratio Test)[2]、自适应残差比较法[3]等，这些方法虽然有较好的检测率和较低的误报率，但是因其以hour或day为统计单位而不具备实时检测的能力。相比之下小尺度网络模型更适合于实时检测，但因其表现出多分形性[4]而难以观测。参考文献[5]提出的Holder指数检测法虽然检测延时短，但是受到短相关性质对网络流量整体观测能力不足的影响，误报率过高。针对这一问题，参考文献[6]提出了一种基于传统Hurst指数和Holder指数的分形检测法，通过判断网络流量的实时分形特性,分别采用两种不同方法进行检测，虽然提高了分形模型中长相关部分的检测准确率，但是当流量数据表现出短相关时，误报问题仍没有解决。参考文献[7]提出了一种基于Hurst指数的方差-时间图法VTP(Variance-Time Plots)，试图利用多分形模型中包含的长相关特性进行检测。受多分形模型中长相关特性并不明显的影响，误报率虽然有所下降，但是检测率上还存在不足。

现有小尺度网络模型通常采用Holder、Hurst等指数进行检测，Holder指数观测尺度狭窄、误报率高；Hurst指数能够在整体上对流量的自相似性进行刻画，具有较高的检测精度，但要求观测的时间尺度宽，不利于实时检测。……