基于深度信念網(wǎng)絡的SDN的DDoS攻擊檢測模型*

張 萍唐新梅

(1.廣西二輕高級技工學校，廣西 南寧 530003;2.廣西經貿職業(yè)技術學院，廣西 南寧 530021)

0 引言

隨著時代的發(fā)展，Internet已成為日常生活中的不可缺少的一部分，計算機網(wǎng)絡安全也因此成為一個廣受關注的重大問題.

傳統(tǒng)網(wǎng)絡的架構是分布式控制的，由于其靈活性太差，軟件定義網(wǎng)絡SDN應運而生.其新技術轉控分離使網(wǎng)絡開放且靈活，實現(xiàn)了網(wǎng)絡的可編程性，非常便捷.Openflow交換機的使用者可以用開源的，簡單的協(xié)議與管理它，所以Openflow交換機的出現(xiàn)推動了SDN的發(fā)展.[1]SDN的出現(xiàn)為網(wǎng)絡帶來了便利性，但是在SDN環(huán)境下，針對網(wǎng)絡入侵的檢測機制并沒有完善，依舊存在很多問題.在此環(huán)境下現(xiàn)有的DDos檢測方式，有著針對性不強，識別率較差的嚴重問題.本文提出基于深度信念網(wǎng)絡的DDoS攻擊檢測方法，具有比傳統(tǒng)機器學習方法檢測精度更高的優(yōu)勢.

1 攻擊模式

1.1 分布式拒絕服務攻擊

一般DDoS攻擊首先得借助于多臺計算機，將其聯(lián)合成一個攻擊平臺，利用客戶/服務器技術對目標主機進行攻擊;其次利用多臺計算機同時對目標主機發(fā)送數(shù)據(jù)或者請求，導致大量失效信息的出現(xiàn);這時，目標主機如果不能有效分辨攻擊類型，則會耗盡資源處理這些信息，導致控制器無法運轉，而且嚴重波及鄰接交換機，逐漸出現(xiàn)不同程度的網(wǎng)絡癱瘓.[2]

1.2 DDoS攻擊方法

DDoS的攻擊方法主要分為攻擊網(wǎng)絡帶寬資源、攻擊系統(tǒng)資源和攻擊應用資源.攻擊網(wǎng)絡帶寬資源包括直接攻擊、發(fā)射和放大攻擊、反射攻擊和攻擊鏈路.攻擊系統(tǒng)資源包括TCP、SYN、PSH+ACK等洪水攻擊.攻擊應用資源時有DNS洪水攻擊，Web服務攻擊，HTTP洪水攻擊等.我們可以看出DDoS的攻擊方式多種多樣，難以防范，如何做好SDN網(wǎng)絡入侵檢測非常重要.

2 基于深度信念網(wǎng)絡的SDN的DDoS攻擊檢測模型

2.1 深度信念網(wǎng)絡工作原理

深度信念網(wǎng)絡的架構在計算時，高一層的輸入通常都是第一層的輸入結果，每一層都是非線性計算單元.深度信念網(wǎng)絡可以從大量輸入數(shù)據(jù)中進行特征提取，明辨輸入數(shù)據(jù)的結構信息，常用于特征提取及分類識別.

2.2 模型構建

2.2.1 受限玻爾茲曼機

如圖1所示，受限玻爾茲曼機(RBM，Restricted Boltzmann machine)每一個顯元和所有隱單元之間都存在連接，每一個隱元也與所有顯元之間存在連接，但每一層的隱元與隱元、顯元與顯元是互不連接的，這是RBM最顯著的特征.其中，每一個節(jié)點被使用時處于激活狀態(tài)，節(jié)點未被使用時處于未激活狀態(tài)，也只有激活與未激活這兩種狀態(tài).

圖1 RBM模型Fig.1 RBM model

RBM本質是非監(jiān)督學習.每一個隱元的取值決定于顯元的值，它與其他任何一個內部的隱元互不相關.

我們使用RBM的目的是用RBM提取數(shù)據(jù)的特征，那么相應訓練的目的就是使RBM表示的數(shù)據(jù)分布與原數(shù)據(jù)相同.

2.2.2 深度信念網(wǎng)絡

深度信念網(wǎng)絡模型如圖2所示.本文中將其作為判別模型.途中深度信念網(wǎng)絡有4個層，可視為3個RBM.如圖所示，可將任意相領兩層視為一個RBM，其實每兩層都是用RBM的計算方式進行計算的.

可以用如下概率分布描述v和h之間的關系：

由式(1)我們可以看出DBN的參數(shù)訓練過程利用誤差重建的方法是非監(jiān)督的.深度信念網(wǎng)絡的信念二字就體現(xiàn)在：整個網(wǎng)絡計算出概率最大的結果，并將概率最大的結果視為正確答案.這種方式適合訓練大量樣本，精確找出所要的結果.數(shù)據(jù)運算到頂層后會反向傳播，然后進行全局微調，改變權重的取值，使模型越來越適用于當前應用的情況.

圖2 DBN模型Fig.2 DBN model

3 仿真與試驗

3.1 特征提取

識別依據(jù)的特征是手動設計的還是機器自己歸納提取這一點很重要，它是傳統(tǒng)的機器學習方法一般是手動設計特征比如SVM，深度學習是通過學習進行特征提取，特征好壞對分類準確率影響非常大.在深度信念網(wǎng)絡中，模型自動從底層向頂層的進行特征提取，經過繁雜的運算保證特征的質量.放進深度信念網(wǎng)絡的原始數(shù)據(jù)我們從交換機的流表中提取.主要注意幾個參數(shù)：[3]

1)單流增長速率(growth rate of single flow).

2)不同端口增長速率(growth rate of different port).

3)流表平均數(shù)據(jù)分組量(average packets per flow).

4)流表平均比特數(shù)(average bytes per flow).

5)流量平均持續(xù)時間(average durations per flow).

3.2 基于深度信念網(wǎng)絡的攻擊檢測

網(wǎng)絡入侵檢測系統(tǒng)現(xiàn)有的檢測思路一般是兩種：[4]第一種，將新的數(shù)據(jù)與正常的行為模式數(shù)據(jù)進行對比，看是否存在顯著偏差，如果有，則判定為入侵;第二種，將新數(shù)據(jù)與已知的攻擊方式進行對比，看是否是入侵，這也是最常用的方式.第一種方法可以用于新型攻擊的檢測，我們可以通過深度信念網(wǎng)絡提取新數(shù)據(jù)的特征與正常行為模式的特征，然后進行對比，看差異是否大，從而進行入侵檢測.

訓練流程如圖3所示：

圖3 DBN訓練流程Fig.3 training process of DBN

本文使用的DBN模型有三層受限玻爾茲曼機和一層BP層，易訓練且檢測精度更高.深度信念網(wǎng)絡模型部署在SDN控制平面中，深度信念網(wǎng)絡的最下面兩層作為RBM，將輸入的數(shù)據(jù)特征訓練，之后將第二層和第三層視為RBM訓練，以此類推，逐步讓模型學習到數(shù)據(jù)的分布特征，三層訓練完之后進入BP，然后進行全局的微調，反復多次得到訓練結果，[5]并可在頂層的輸出端加入分類器進行分類.

3.3 模型評估

基于深度信念網(wǎng)絡模型的DDoS攻擊檢測方法，優(yōu)勢在于深度信念網(wǎng)絡對數(shù)據(jù)的特征提取，與傳統(tǒng)的機器學習中的支持向量機模型相比，深度信念網(wǎng)路提取的特征大大優(yōu)于手動設計的特征，在入侵檢測時結果當然更加準確.這種檢測方法屬于輕量級的檢測方法，SDN控制器中就可以直接部署.本文使用Sigmoid函數(shù)進行歸一化處理.為避免超擬合的出現(xiàn)并提高模型的訓練速度，可以對前進傳遞沒有貢獻神經元丟棄，不再參與反向傳播.[6]

4 結論

用深度信念網(wǎng)絡對P300腦電信號進行過特征提取，提取出來的特征幾乎與標準P300腦電信號一致.本文的入侵檢測方法使是將新數(shù)據(jù)特征與正常用戶行為模式特征進行對比，這個方法是DDos入侵檢測的常用方法，用深度信念網(wǎng)絡進行特征提取便是想利用其作為判別模型的優(yōu)異性.正常情況下，我們手動設計的特征，并不足以應付千變萬化的攻擊數(shù)據(jù)，精確度不能一直保持較高水準.基于深度信念網(wǎng)絡的DDoS攻擊檢測解決了這個問題，SDN環(huán)境中輕量級的部署也是極其友好的.