第２７卷第３期 ２０１０年６月 贵州大学学报（自然科学版） Ｊｏｕｒｎａｌ ｏｆ Ｇｕｉｚｈｏｕ Ｕｎｉｖｅｒｓｉｔｙ（Ｎａｔｕｒａｌ Ｓｃｉｅｎｃｅｓ） 、ｒ０１．２７ Ｎ０．３ Ｊｕｎ．２０１０ 文章编号１０００—５２６９（２０１０）０３—００８４—０４ 改进贝叶斯分类算法在ＤＤｏＳ攻击 检测系统中的研究 胡 滨 ，代昆玉，王 翔 （贵州大学计算机科学与信息学院，贵州贵阳５５００２５） 摘要：本文在朴素贝叶斯分类算法的基础上，提出了一种利用未标记数据提高贝叶斯分类器性 能的方法。该方法从被监控网络采集的数据中提取网络流量特征设计检测系统，较好的解决了 网络流量分析中数值属性特征的分类问题。实验表明，该方法能够提高攻击检测系统准确率和 效率。 关键词：贝叶斯分类；ＤＤｏＳ攻击检测；网络安全 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ ＤＤｏＳ（分布式拒绝服务）攻击通过在很短时间 段内，多个傀儡主机向被攻击目标发送很多的数据 包，阻塞网络带宽，耗尽其系统资源，迫使其中断服 务。研究表明，ＤＤｏＳ攻击已成为当前计算机网络 安全中最难解决的问题ｕ儿 。ＤＤｏＳ攻击检测系统 用于监控网络中进出数据、识别ＤＤｏＳ攻击行为、 为后期防御ＤＤｏＳ攻击提供参考信息。在数据量 庞大而又复杂的网络流量中，正确识别其中含有的 ＤＤｏＳ攻击行为特征，并有效的提高检测精度都是 当前急需解决的问题。 在ＤＤｏＳ攻击检测系统中，为了提高系统的性 能，包括降低误报率和漏报率，缩短反应时间等，学 者们引入了许多方法，如专家系统、神经网络、遗传 算法和数据挖掘中的聚类、分类等各种算法ｌ３］。 其中，朴素贝叶斯分类算法由于简单实用、计算高 效，在攻击检测中可以建立良好的用户模型，并具 １ ＤＤｏＳ攻击检测系统设计 当前多数攻击检测系统是基于Ｄｏｒｏｔｈｙ Ｄｅｎ— ｎｉｎｇ的攻击检测模型，这种模型分为误用检测和异 常检测 Ｊ。与误用检测方法相比，异常检测的明 显优点是能够检测出新的攻击类型。 实际应用时，基于误用ＤＤｏＳ攻击检测必须和 基于异常ＤＤｏＳ攻击检测联合使用才能达到理想 效果，这就产生了基于混合模式ＤＤｏＳ攻击检测。 它是将误用检测和异常检测两种方式混合一起使 用。在基于混合模式的攻击检测系统中，可以使用 数据挖掘技术，由异常检测发现攻击，从发现的攻 击中摘录特征放入误用模式特征库中，再利用误用 检测的方法检测ＤＤｏＳ攻击。 本文的ＤＤｏＳ攻击检测系统采用了基于混合 有坚实的数学理论基础和丰富的概率表达能 力 ］，被广泛地应用到攻击检测系统中 ］。但是 由于该算法比较简单，所以它不可避免地有一些限 模式的检测方法。系统采用流量监控获得网络的 相关数据，并将采集到的数据存储到数据库中。利 用贝叶斯分类器获取对该网络的访问规律，将相应 的规律放人到ＤＤｏＳ攻击检测系统中，实时监控网 络中相关数据量的变化，一旦发现ＤＤｏＳ攻击就迅 制和不足。文中首先介绍朴素贝叶斯分类算法，分 析了它存在的主要和不足，提出利用未标记数 据来弥补它的不足之处。对算法实现过程进行了 细致描述，并通过算法分析来说明该策略的可行 性。该策略全面提高了朴素贝叶斯分类算法的性 能。 速做出相应处理。系统分为数据获取模块、数据预 处理模块、标记模块、数据挖掘模块、攻击检测模块 ５个部分，如图１所示。 上图中，数据获取模块包括监控网络和ＳＮＭＰ 收稿日期：２０１０—０４—０７ 基金项目：贵大白青基合字（２００９）０２８号 作者简介：胡滨（１９７７一），男，贵州安顺人，讲师，硕士，研究方向：计算机网络安全，Ｅｍａｉｌ：ｃｓｕｈｕｂｉｎ＠ｙａｈｏｏ．ｃｏｎｒ．ｃｒｌ ・通讯作者：胡滨，Ｅｍａｉｌ：ｃｓｕｈｕｂｉｎ＠ｙａｈｏｏ．ｔｏｍ．ｃｒ１． 第３期 胡滨等：改进贝叶斯分类算法在ＤＤｏＳ攻击检测系统中的研究 ‘８５・ 图１基于贝叶斯分类ＤＤｏＳ攻击检测系统体系结构 网络管理系统两个部分；数据预处理模块负责对数 据获取模块采集的数据进行预处理，以便把它们转 换为连接记录的形式。标记模块的作用是对训练 数据进行标记，以便区分出正常记录和攻击记录。 一般来说，标记都是通过手工来完成的。数据挖掘 模块中包括自适应模型，该模型通过数据的积累， 运用自学习的方法产生自动更新的新检测模型；攻 击检测模块由攻击检查和知识库组成。 ２朴素贝叶斯分类算法 ２．１算法描述 每个数据样本用ｎ维向量Ｘ＝｛Ｘ１，Ｘ２，…， Ｘｎ｝表示，分别描述对ｎ个属性Ａ１，Ａ２，…，Ａｎ的 样本的ｎ个度量 。在ＤＤｏＳ攻击检测系统中，是 从审计记录或网络数据流中提取的参数，包括登录 频度、会话时间、ＣＰＵ和Ｉ／０的利用量等等 。 先假定有ｍ个类别Ｃ＝｛ｃ１，Ｃ２，…，Ｃｍ｝，在 攻击检测系统中一般令ｍ＝２，即Ｃ１＝异常，Ｃ２＝ 正常。现给定一个未知的数据样本ｘ（即没有类标 号），通过当前已有类别标签的样本集，预测出Ｘ属 于具有最高后验概率（条件ｘ下）的类 ．９］。即＜，ｘ ＝｛ｘ１，ｘ２，…，ｘｎ｝，ｃｉ）（１≤ｉ≤ｍ），当且仅当类型 支持概率 Ｊ： Ｐ（ｃｉ Ｉｘ）＞Ｐ（ｃｊＩｘ），１≤ｊ≤ｍ，ｊ≠ｉ 其中甘 ｎ，ｌ、Ｐ（ｃｉ）×Ｐ（，尸（ｃ Ｉ ）＝ ｛ 』 Ｊ＾ Ｉ ｃｉ） Ｐ（ｃｉ）×毋Ｐ（ Ｉ Ｃ ） —．．．．．．．．．．．．． ．．．．． ．．．．．．．． ．．．． ． ！：． ．．．．．．．．．．．．．．．：．．．．．．．．．．．一 一 Ｐ（ ） ２．２朴素贝叶斯分类算法的缺陷 朴素贝叶斯分类算法由于简单实用、计算高 效，在攻击检测中可以建立良好的用户模型，并具 有坚实的数学理论基础和丰富的概率表达能力，所 以被广泛地应用到攻击检测系统中，但朴素贝叶斯 分类算法存在一个比较明显的缺陷，数据训练集问 题。 样本集ｓ分为已有类别标签的训练集Ｄ和没 有类别标签的测试集Ｔ．朴素贝叶斯分类算法就是 根据先验概率（从训练集Ｄ中得到）来预测后验概 率，得出测试集Ｔ中的实例类别标签。如果训练 集Ｄ没有良好的数据完备性，那么预测的测试集Ｔ 中实例类别标签就可能不准确。在正常情况下，有 限大小的训练集Ｄ不可能具有完备的数据，因此 可通过扩大训练集来提高分类器的检测率。但是 该方法并没有我们想象的那样容易。训练集中的 连接记录必须事先经过标记，而这种标记必须由人 手工完成，这是一项费时费力的工作。因此，应该 寻求一种解决方法，使得通过训练少量带标记的连 接记录数据就可以获得较好的检测率。 ３算法改进 ３．１利用未标记数据提高贝叶斯分类器性能的基 本思想 本文提出的基本思想是：设有两类数据ＣＮ （正常类）和ＣＡ（入侵类），首先用少量的带标记的 训练数据（数据集Ｄ１）对贝叶斯分类器进行训练， 得到分类器ｃ，然后依次将大量的未带标记的数据 （数据集Ｄ２）输入给Ｃ，由Ｃ对每条未带标记的连 接记录ｒ进行分类，因为贝叶斯分类的原理是计算 ｒ分别属于ＣＮ和ＣＡ的概率，设ｒ属于ＣＮ的概率 为ＰＮ，属于ＣＡ的概率为ＰＡ，如果ＰＮ大于ＰＡ，则 认为ｒ属于ＣＮ，否则认为ｒ属于ＣＡ．为此，我们的 思路是，设定一个阈值，对于连接记录ｒ，如果ＰＮ／ ＰＡ＞ｅ，即ｒ属于类ＣＮ的概率远大于ｒ属于类ＣＡ 的概率，则将ｒ归为类ＣＮ；如果ＰＡ／ＰＮ＞ｅ，即ｒ属 于类ＣＡ的概率远大于ｒ属于类ＣＮ的概率，则将ｒ 归为类ＣＡ；如果ＰＮ和ＰＡ不符合上面两个条件， 即不能判断ｒ明确属于哪个类，这时通过人工干预 进行判断，确定ｒ的明确归属。通过这种方式给大 量未带标记的数据进行自动标记，然后继续对贝叶 斯分类器进行训练，以得到检测性能更好的分类 器。 ３．２利用未标记数据提高贝叶斯分类器性能的算法 根据上述利用未标记数据提高贝叶斯分类器 性能的基本思想，本文设计利用未标记数据提高贝 叶斯分类器性能的算法是： ・８６・ 贵州大学学报（自然科学版） 第２７卷 利用未标记数据提高贝叶斯分类器性能的算 法。 条连接记录ｒ，用Ｃ对其进行分类（也可能需要人 工干预），然后根据分类结果训练分类器Ｃ，得到新 的Ｃ和Ｋ． 输入：未训练的贝叶斯分类器Ｃ；判断概率差 的阈值；带标记的训练数据集Ｄ１；未带标记的训练 数据集Ｄ２； 输出：训练好的贝叶斯分类器Ｃ；知识库Ｋ． 算法： （１）用带标记的数据集Ｄ１对贝叶斯分类器进 行训练，得到分类器ｃ和知识库Ｋ； （２）ｆｏｒ（Ｄ２中的每一条连接记录ｒ） （３）用Ｃ和Ｋ对ｒ进行分类，计算ＰＮ和ＰＡ； （４）如果ＰＮ／ＰＡ＞ｅ，则ｒ为正常数据，ＴＣ中相 应计数器加１； ４实验及结果分析 为了验证该ＤＤｏＳ攻击检测系统的有效性，使 用ＳＮＭＰ不同时段和不同网络环境从真实的网络 环境下采集背景数据。使用ＤＤｏＳ攻击软件 ＴＮＦ２Ｋ ＬＡＮＤ—ＢＡＳＥＤ、ＳＹＮＦＬＯＯＤ、ＰＩＮＧＦＬＯＯＤ、 ＳＭＵＲＦ产生了５种不同的ＤＤｏＳ攻击数据样本，通 过数据预处理后形成数据集Ｄ。在实验中，首先选 取训练数据集Ｔ１对朴素贝叶斯分类器ｃ１进行训 练，然后用训练好的Ｃ１对测试数据集Ｅ进行分 类。然后根据改进算法选取训练数据集Ｄ１，Ｄ２对 贝叶斯分类器ｃ进行训练，同时确定阀值ｅ＝２．４， 然后用训练好的分类器Ｃ对测试数据集进行分 类。其中Ｔ１、Ｄ１、Ｄ２、Ｅ和Ｄ之间满足以下关系： Ｔ１ ＣＤ，ＩＴ１ ｌ＝１０，０００ Ｄ１＝Ｔ１ （５）否则，如果ＰＡ／ＰＮ＞ｅ，则ｒ为人侵数据， ＴＣ中相应计数器加１； （６）否则，ｒ需人工判断，将ｒ保存于人工判断 数据集Ｄ３，转（７）计算新的ｃ和Ｋ； （８）ｅｎｄ ｆｏｒ； （９）ｆｏｒ（Ｄ３中的每一条连接记录ｒ） （１０）人工判断ｒ属于何种类型数据； Ｄ２ＣＤ，ＩＤ２Ｉ＝１００，０００ Ｄ１ ＣＤ２ （１１）计算新的Ｃ和Ｋ； （１２）ｅｎｄ ｆｏｒ； （１３）ｒｅｔｕｒｎ Ｃ和Ｋ． ＥＣＤ，ＩＥＩ＝１００，０００ 其中Ｄ２中每条记录都是未标记的记录。 实验的最后的输出为贝叶斯分类器Ｃ１和Ｃ 该算法首先用带标记的数据集Ｄ１对贝叶斯 分类器进行训练，得到分类器Ｃ，然后将分类器Ｃ 的检测准确率、遗漏率和误报率。具体实验结果如 表１所示。 作用于未带标记的训练数据集Ｄ２，对Ｄ２中的每一 表１不同ＤＤｏＳ攻击类型的检测结果 从表１中可以看出，改进后的分类器Ｃ的检 测率要好于未改进的ｃ１．以上的实验表明：利用未 标记数据提高贝叶斯分类器性能的方法是有效的， 检测系统中的性能，仍然是目前一个比较重要的课 题。本文在朴素贝叶斯分类器的基础上提出了一 在使用少量带标记的训练数据对贝叶斯分类器进 行训练的基础上，通过对大量未带标记的训练数据 进行自动标记从而继续对其进行训练，可以提高贝 叶斯分类器的分类性能，从而较好地解决了训练数 据集问题。 种利用未标记数据提高贝叶斯分类器性能的方法， 较好地解决了训练数据集问题，实验表明，这种方 法取得了很好的效果。 参考文献： ［１］薛静锋，曹元大．基于贝叶斯分类的分组入侵检测技术研究 ［Ｊ］．计算机科学，２００５，３２（８）：６０—６３． ［２］Ａｂ嘶Ｈ．ＩＰ Ｔｒａｃｅｂａｃｋ：Ａ Ｎｅｗ Ｄｅｎｉａｌ一０ｆ—ｓｅｒｖｉｃｅ Ｄｅｔｅｒｒｅｎｔ ５结束语 如何改善朴素贝叶斯分类算法，提高其在入侵 ［Ｊ］．Ｓｅｃｕｒｉｔｙ＆ＰｒｉｖａｃｙＭａｇａｚｉｎｅ，２００３，ｌ（２）：２４－３１． 第３期 胡 滨等：改进贝叶斯分类算法在ＤＤｏＳ攻击检测系统中的研究 ・８７・ ［３］Ｌｅｅ Ｗｅｎｋｅ，Ｓｔｏｌｆｏ Ｓ Ｊ，Ｍｏｋ Ｋ Ｗ．Ａ Ｄａｔａ Ｍｉｎｉｎｇ Ｆｒａｍｅｗｏｒｋ ｆｏｒ ［６］高能，冯登国．一种基于数据挖掘的拒绝服务攻击检测技术 Ｂｕｉｌｄｉｎｇ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｏｄｅｌｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １９９９ ［Ｊ］．计算机学报，２００６，２９（６）：９４４—９５１． ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ．Ｌｏｓ Ａｌａｍｏｓ，ＣＡ：ＩＥＥＥ ［７］Ｈａｒｔ Ｊｉａｗｅｉ，Ｋ￣ｌｌｂｅｒ Ｍ．数据挖掘概念与技术［Ｍ］．范明，孟小 Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔ Ｙ Ｐｒｅｓｓ，１９９９：１２０—１３２． 峰，等译．北京：机械工业出版社，２００５． ［４］Ｆｉｒｅｄｍａｎ Ｎ，Ｇｅｉｇｅｒ Ｄ．Ｂａｙｅｓｉａｎ ｎｅｔｗｏｒｋ ｃｌａｓｓｉｆｉｅｒ［Ｊ］．Ｍａｃｈｉｎｅ ［８］张琨，徐永红，王珩，等．用于入侵检测的贝叶斯网络［Ｊ］．小型 Ｌｅａｒｎｉｎｇ，１９９７（２９）：１０３—１３０． 微型计算机系统，２００３，２４（５）：９１３－９１５． ［５］张王番．多种策略改进朴素贝叶斯分类器［Ｊ］．微机发展，２００５， ［９］ＹａｇｅｒＲＲ．Ａｎ ｅｘｔｅｎｓｉｏｎ ｏｆｔ ｈｅ ｎａｉｖｅＢａｙｅｓｉａｎ ｃｌａｓｓｉｉｆｅｒ［Ｊ］．Ｉｎｆｏ￣ １５（４）：３５—３７． ｍａｔｉｏｎ Ｓｃｉｅｎｃｅｓ，２００６（１７６）：５７７—５８８． Ｒｅｓｅａｒｃｈ ｏｆ Ｉｍｐｒｏｖｅｄ Ｂａｙｅｓｉａｎ Ａｒｉｔｈｍｅｔｉｃ ｉｎ ＤＤｏＳ Ａｔｔａｃｋ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ ＨＵ Ｂｉｎ‘，ＤＡＩ Ｋｕｎ－ｙｕ，ＷＡＮＧ Ｘｉａｎｇ （Ｃｏｌｌｅｇｅ ｏｆ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ，Ｇｕｉｚｈｏｕ Ｕｎｉｖｅｒｓｉｔｙ，Ｇｕｉｙａｎｇ ５５００２５，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ａｎ ａｌｇｏｒｉｔｈｍ ｕｓｉｎｇ ｕｎｌａｂｅｌｅｄ ｄａｔａ ｔｏ ｉｍｐｒｏｖｅ ｔｈｅ ｃａｐａｂｉｌｉｔｙ ｏｆ ｔｈｅ ｃｌａｓｓｉｆｉｅｒ ｉｓ ｐｒｏｐｏｓｅｄ ｂａｓｅｄ ｏｎ ｔｈｅ ｎａｉｖｅ Ｂａｙｅｓｉａｎ ｃｌａｓｓｉｉｆｅｒ．Ｉｔ ｅｘｔｒａｃｔｓ ｔｒａｆｉｆｃ ｐａｔｔｅｒｎｓ ｆｒｏｍ ｎｅｔｗｏｒｋ ｄａｔａ ｔｏ ｇｅｎｅｒａｔｅ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｈ ａｎｄ ｉｓ ｕｓｅｄ ｔｏ ｇｒｏｕｐ ｔｈｅ ｑｕａｎｔｉｔａｔｉｖｅ ａｔｔｒｉｂｕｔｅｓ ｉｎ ｎｅｔｗｏｒｋ ｔｒａｆｆｉｃ．Ｕｓｉｎｇ ｔｈｉｓ ｍｅｔｈｏｄ，ｔｈｅ ａｃｃｕｒａｃｙ ａｎｄ ｅｆｆｉｃｉｅｎｃｙ ｏｆ ｔｈｅ ａｔｔａｃｋ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ ａｒｅ ｉｍｐｒｏｖｅｄ． Ｋｅｙ ｗｏｒｄｓ：Ｂａｙｅｓ ｃｌｓａｓｉｉｆｃａｔｉｏｎ；ＤＤｏＳ Ａｔｔａｃｋ ｄｅｔｅｃｔｉｏｎ；ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ （上接第８３页） Ｇａｉｔ Ｒｅｃｏｇｎｉｔｉｏｎ Ｖｉａ Ｓｔａｔｉｃ ａｎｄ Ｄｙｎａｍｉｃ Ｆｅａｔｕｒｅ Ｆｕｓｉｏｎ ＵＮ Ｍｉｎ’．ＺＨＥＮＧ Ｊｉ－ｓｈａｏ （Ｐｕｔｉａｎ Ｕｎｉｖｅｒｓｉｙｔ Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｅｎｓｉｎｅｅｒｉｎｇ，Ｐｕｔｉａｎ ３５ １ １００，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ａ ｇａｉｔ ｒｅｃｏｇｎｉｔｉｏｎ ａｌｇｏｒｉｔｈｍ Ｗｉｌｌｓ ｐｒｏｐｏｓｅｄ ｂａｓｅｄ ｏｎ ｔｈｅ ｆｕｓｉｏｎ ｏｆ ｓｔａｔｉｃ ｓｈａｐｅ ｆｅａｔｕｒｅ ａｎｄ ｄｙｎａｍｉｃ ｆｅａ－ ｔｕｒｅ．Ｆｉｒｅｆｌｙ，ｍｏｄｉｉｆｅｄ Ｈｕ ｍｏｍｅｎｔｓ Ｗａｓ ｕｓｅｄ ｔｏ ｄｅｓｃｒｉｂｅ ｂｏｄｙ ｃｏｎｔｏｕｒ ａｓ ｔｈｅ ｓｔａｔｉｃ ｆｅａｔｕｒｅ ｏｆ ｇａｉｔ ｓｅｑｕｅｎｃｅ ｉｍａ－ ｇｅｓ．Ｓｅｃｏｎｄｌｙ，ａｃｃｏｒｄｉｎｇ ｔｏ ｔｈｅ ｋｎｏｗｌｅｄｇｅ ｉｎ ｂｏｄｙ ａｎａｔｏｍｙ，ｔｈｅ ｃｏｏｒｄｉｎａｔｅｓ ｏｆ ｊｏｉｎｔｓ ｏｆ ｌｏｗｅｒ ｌｉｍｂｓ ｗａｓ ｃｏｍｐｕ— ｔｅｄ ｔｈｅｎ ｔｈｅ ｓｔｒｉｄｅ ｏｆ ｆｅｅｔ Ｗａｓ ｏｂｔａｉｎｅｄ ａｓ ｔｈｅ ｄｙｎａｍｉｃ ｆｅａｔｕｒｅ ｏｆ ｇａｉｔ ｓｅｑｕｅｎｃｅ ｉｍａｇｅｓ．Ｆｉｎａｌｌｙ ｔｈｅｓｅ ｆｅａｔｕｒｅｓ ｗｅｒｅ ｆｕｓｅｄ．Ｅｘｐｅｒｉｍｅｎｔａｌ ｒｅｓｕｌｔｓ ｄｅｍｏｎｓｔｒａｔｅ ｔｈａｔ ｔｈｅ ａｌｇｏｒｉｔｈｍ ｈａｓ ｅｆｆｉｃｉｅｎｔ ｒｅｃｏｇｎｉｔｉｏｎ ｐｅｒｆｏｒｍａｎｃｅ． Ｋｅｙ ｗｏｒｄｓ：ｇａｉｔ ｒｅｃｏｇｎｉｔｉｏｎ；Ｈｕ ｍｏｍｅｎｔｓ；ｓｔｒｉｄｅ；ｆｅａｔｕｒｅ ｆｕｓｉｏｎ
