分布式拒绝服务(Distributed Denial of Service,DDoS)攻击对网络造成巨大的破坏。DDoS攻击是一种易实施、难溯源、破坏力大的网络攻击手段。现有基于统计学方法的DDoS特征提取方法存在原始信息利用率低、经验观察依赖度大、无法反映网络流空间分布关系等问题。基于统计学方法所提取到的特征不能较好地描述网络流特点,导致现有的DDoS检测方法存在误报率高、漏报率高等特点。本文针对DDoS攻击检测的现存问题,针对SYN Flood(Synchronize Sequence Numbers Flood)和ICMP Flood两种攻击,根据攻击流和正常流不同的网络流量特点展开分析和研究,提出了基于卷积神经网络(Convolutional Neural Network,CNN)的DDoS多分类方法,具体工作如下:1.结合ICMP Flood攻击的高流量、地址分布性及交互性提出一种基于卷积神经网络的ICMP Flood攻击检测方法。将ICMP包的地址、包长度和响应请求标志位进行二进制转码,转换为灰度网络流矩阵(Gray-scale Network flow Matrix,GNM)。将地址数据进行通道合并得到双通道网络流量矩阵(Dual channel Gray-scale Network flow Matrix,DGNM)以提高源/目的数据的对称性。该方法采用卷积神经网络模型进行特征提取,提高了对矩阵数据特征提取的性能。该方法将不同的网络流矩阵使用相应的卷积神经网络进行特征提取,将提取到的子特征进行特征融合,得到的多视图网络流量特征(Multi View Network flow Feature,MVNFF)。实验结果表明,与同类方法相比,该方法有较高的检测率、低误报率和漏报率,有着较好的ICMP Flood攻击检测性能。2.针对SYN Flood攻击复杂的攻击手段,根据攻击的地址分布性和服务响应关系提出了一种SYN Flood攻击检测方法。该方法将原始数据中的网络地址、包长度和请求/响应关系提出一种基于卷积神经网络的SYN Flood攻击检测方法。本方法将原始的TCP包数据进行二进制转码,并使用相应的卷积神经网络对矩阵进行特征提取,并进行特征融合,得到了针对SYN Flood的多视图网络流量特征。实验结果表明,该方法提取到的网络特征能够更好地反映SYN Flood攻击的攻击特点,有较低的误报率和漏报率。3.本文对SYN Flood和ICMP Flood两种不同的攻击方法进行研究,该方法将基于卷积神经网络提取到的网络流特征进行建模,得到基于卷积网络的DDoS攻击多分类器,该方法提出的DDoS多分类器有着高准确率,针对不同的DDoS攻击原理,更好地采取应对措施。4.本文设计了基于CNN的DDoS攻击多分类检测系统。详细阐述了检测系统的需求。根据需求,设计了总体框架和各子模块及其数据库。并基于此框架对系统进行了实现和测试,测试结果表明本文所提方法的可行性和实用性。