Abstract-Diskriminerande DDoS översvämningar attacker från flash folkmassor utgör en tuff utmaning för nätverkssäkerhet gemenskapen. På grund av sårbarheten i den ursprungliga utformningen av Internet, kan angripare lätt efterlikna mönster av legitima nätverkstrafik att flyga under radarn. De befintliga fingeravtrycken eller funktionsbaserade algoritmerna är oförmögna att upptäcka nya attackstrategier. I den här artikeln siktar vi på att skilja DDoS-angrepp från blixtmassor. Vi motiveras av följande faktum: attackflöden genereras av samma förbyggda program (attack verktyg), men flash publik kommer från slumpmässigt distribuerade användare över hela Internet. Därför är flödet likheten mellan DDoS attackflöden mycket starkare än den bland blixtpubliker. Vi använder abstrakta avståndsmått, Jeffrey-avståndet, Sibson-avståndet och Hellinger-avståndet för att mäta likheten mellan flödena för att uppnå vårt mål. Vi jämförde de tre mätvärdena och fann att Sibson-avståndet är det lämpligaste för vårt ändamål. Vi tillämpar vår algoritm på de verkliga dataseten och resultaten indikerar att den föreslagna algoritmen kan differentiera dem med en noggrannhet runt 65%.
Yu m.fl. använda avståndsmått för att differentiera DDoS attackflöden från flash publik, genom att analysera flöde likhet REF.
Discriminating DDoS Flows from Flash Crowds Using Information Distance
{'venue': '2009 Third International Conference on Network and System Security', 'journal': '2009 Third International Conference on Network and System Security', 'mag_field_of_study': ['Computer Science']}