康松林，樊晓平, ，刘楚楚，李宏，安隆熙

(1. 中南大学 信息科学与工程学院，湖南 长沙，410083；2. 湖南财政经济学院 网络化系统研究所，湖南 长沙，410205)

随着网络技术日新月异的发展，网络安全遭受着越来越大的威胁。其中，分布式拒绝服务攻击(DDoS)是当今网络安全的最大威胁之一。DDoS 攻击分为网络层DDoS 攻击和应用层DDoS 攻击。应用层DDoS攻击具有低速率、合法报文和标记样本获取难等特点，因此，比传统的网络层DDoS 攻击更具隐蔽性和破坏力。应用层DDoS 攻击主要针对Web，DNS 以及SMTP 3 类服务，其中针对Web 应用的攻击占据应用层DDoS攻击的61%，Web 网站服务器是应用层DDoS 的首要攻击目标。近年来，对于Web DDoS 攻击的检测技术不断涌现，从总体上分为2 种：第1 种是根据用户浏览行为的统计特征来区分攻击流和正常流。如Giralte等[1]提出了对Web 服务器的请求路径和访问时间等特征，Devi 等[2]提出了平均访问时间、网页请求序列等特征，他们都通过比较正常用户与异常用户的上述特征统计量来达到检测攻击目的。类似地，王风宇等[3]提出的Web 群体外联行为以及Jeyanthi 等[4]提出的网络流量信息熵等都属于这一种。这种基于用户浏览行为统计特征的方法取得了很好的效果，但这种单一的统计特征很难应付现今复杂多变的攻击形式。第2 种是基于机器学习的异常检测方法。如Kumar 等[5]用神经网络方法对日志记录进行有监督的分类；Stevanovic等[6]分别用2 种无监督学习算法SOM 以及modified ART2 对网络日志记录进行分类。因为机器学习具有很好的智能性，使得基于有监督学习和无监督学习算法应用于应用层DDoS 攻击检测格外引人关注。……