如今人们的工作生活都已经离不开互联网,作为一种信息共享平台,互联网的开放性以及共享性在为人们的生活提供便利的同时,也因难以对其进行监管而导致安全风险不断增加。分布式拒绝服务(Distributed Denial of Service,下简称DDoS)攻击是指攻击者通过控制网络中大量僵尸主机向目标主机发送大量无效请求,使目标主机的系统或网络资源被耗尽,最终导致其无法为合法用户提供有效服务的攻击方式。由于其攻击方式直接且简单,对任何类型的网络基础设施均能奏效的特点,这种攻击方式在很长一段时间内都将是网络安全的主要威胁之一。在网络安全领域研究者们针对DDoS已经进行了许多研究工作,但仍存在一些问题,如检测准确率和检测的实时性不能很好地兼顾。鉴于此本文旨在提出一种基于当今流行的统计分析和聚类分析技术相结合的检测方法,以求对DDoS攻击进行实时准确的检测。本文针对DDoS攻击检测的实时性问题,提出了一种基于优化后的CUSUM(Cumulative Sum:累积和,下简称CUSUM)算法的早期攻击检测方案。CUSUM控制图的理论基础是序贯分析原理中的序贯概率比检验,在不改变原本CUSUM算法特性的前提下,对算法进行简化从而提高算法计算效率。对于像网络流量这种实时变化的动态模型,很难对阈值等参数作出预先估算,另一方面长时间维护大量网络流量的特征值所带来的开销也是很大的,因此本文提出了基于时间窗口自适应调节阈值的优化方案,更好的适应实际的网络情况。本文采用双侧检验的CUSUM算法,可以更有效地应对不同攻击速率的攻击行为。最终的检测结果通过多维特征相结合来判定,在一定程度上提高了初步检测阶段的准确性。CUSUM算法具有高效快速的优势,但在面对复杂的网络流量时较难保证检测结果的高准确率,对此本文进一步提出了基于邻近传播(Affinity Propagation,下简称AP)聚类算法的深度检测模型。与其他经典聚类算法相比,AP聚类算法有诸多优势,但面对大规模样本集时其训练时间复杂度过高,甚至无法实施。针对这一问题,本文首先基于最小包围球(Minimum Enclosing Ball,下简称MEB)算法对训练集数据量进行压缩,在初步确定类簇中心后,将剩余的数据点采取与临时聚类中心距离直接比较的方式进行直接关联,并根据关联后的结果对类簇不断进行自适应调整,优化聚类的结果,在保证聚类最终训练结果的准确度的前提下,大幅提升了训练效率。综上所述,本文提出了一种由初步检测框架和深度检测框架两部分组成的DDoS攻击联合检测方案。将基于统计分析的粗粒度检测算法与基于聚类算法的细粒度检测模型相结合,扬长避短,使得检测效率及最终的检测结果准确度都得到了提高。