一种基于BiLSTM的低速率DDoS攻击检测方法

发布时间：2021-04-01 12:31

　　低速率分布式拒绝服务（Low-rate Distributed Denial of Service,LDDoS）攻击是一种新型的DDoS攻击方式,因其具有低速率、周期性和隐蔽性等特点,可躲避传统的DDoS攻击检测技术,更加难于检测和防御。本文提出一种基于特征选择和双向长短期记忆（Bidirectional Long Short Term Memory,BiLSTM）神经网络结合的LDDoS攻击检测方法。该方法使用分层交叉验证的递归特征消除（Recursive Feature Elimination CV,REFCV）特征选择算法挖掘双向流中最优的11个特征集合作为神经网络的输入,建立基于BiLSTM神经网络模型的LDDoS攻击检测分类器进行分类,达到LDDoS攻击检测的目的。实验结果表明该方法比卡尔曼滤波和NCAS算法有较高的检测率,误报率和漏报率都很低。 

【文章来源】：计算机与现代化. 2020,(05)

【文章页数】：7 页

【部分图文】：

基于Bi LSTM的攻击检测框架图

其中σ是sigmoid激活函数，xt是输入序列，i、f、o和c分别是输入门、遗忘门、输出门和细胞状态。Wf、Wi、Wc和Wo分别是从输入序列连接到遗忘门、输入门、候选细胞状态和输出门的权重矩阵;Uf、Ui、Uc和Uo分别是连接LSTM单元和遗忘门的权重矩阵、连接LSTM单元和输入门的权重矩阵、连接LSTM单元和细胞状态的权重矩阵、连接LSTM单元和输出门的权值矩阵;bf、bi、bc和bo为偏置向量。LSTM网络在处理序列数据时，只能访问过去的上下文信息，忽略了将来的上下文信息。因此为了有助于发现重复的LDDoS攻击序列，使用BiLSTM神经网络序列数据的学习能力，设计一种基于BiLSTM神经网络模型的分类器。BiLSTM神经网络由前向LSTM和后向LSTM循环网络组成，它们的输入相同，信息传递的方向不同。BiLSTM使用LSTM单元对输入的序列分别计算，得到前向和后向不同隐含层的结果。BiLSTM的基本模型结构如图3所示。

LSTM网络在处理序列数据时，只能访问过去的上下文信息，忽略了将来的上下文信息。因此为了有助于发现重复的LDDoS攻击序列，使用BiLSTM神经网络序列数据的学习能力，设计一种基于BiLSTM神经网络模型的分类器。BiLSTM神经网络由前向LSTM和后向LSTM循环网络组成，它们的输入相同，信息传递的方向不同。BiLSTM使用LSTM单元对输入的序列分别计算，得到前向和后向不同隐含层的结果。BiLSTM的基本模型结构如图3所示。从图3可知，BiLSTM模型分类器接受REFCV提取的特征向量序列，作为时间t步长的输入，将前向LSTM输出的特征向量序列与后向LSTM的特征向量序列在t时刻进行向量拼接得到完整的特征向量序列:

【参考文献】：
期刊论文
[1]基于CNN和BiLSTM网络特征融合的文本情感分析[J]. 李洋,董红斌.  计算机应用. 2018(11)
[2]低速率拒绝服务攻击研究与进展综述[J]. 文坤,杨家海,张宾.  软件学报. 2014(03)
[3]基于拥塞参与度的分布式低速率DoS攻击检测过滤方法[J]. 张长旺,殷建平,蔡志平,祝恩,程杰仁.  计算机工程与科学. 2010(07)
[4]一种基于小波特征提取的低速率DoS检测方法[J]. 何炎祥,曹强,刘陶,韩奕,熊琦.  软件学报. 2009(04)
[5]基于卡尔曼滤波的LDDoS攻击检测方法[J]. 吴志军,岳猛.  电子学报. 2008(08)



本文编号：3113339