近年来,随着基于网络层DDOS攻击的防御系统和检测方法越来越完善,攻击者已经很难从网络层隐蔽地对用户发起攻击,基于包括HTTP协议在内的应用层DDOS攻击顺应而生。与传统DDOS攻击相比,耗费的流量少,而且可以伪装成合法的流量从而逃避检测,因而成为了DDOS攻击的主流形式。目前,已知的攻击检测方法按照检测方式可以分为三类:基于统计分析的方法、基于机器学习的方法、基于防御系统架构的方法。这些方法基本上都是针对某一种应用层DDOS攻击进行检测,无法检测到多种攻击形式。对于应用层DDOS攻击,本文提出了一种名为SV-DB(将SVM和DBSCAN算法相结合)的方法来检测多种应用层DDOS攻击,检测流程分为4个阶段:数据分析和特征选择阶段、流量验证阶段、攻击检测阶段和模型验证阶段。流量验证阶段使用SVM(Support Vector Machine)分类器基于时序特征来对网络流量进行分类验证,过滤出异常的流量。攻击检测阶段使用DBSCAN(Density-Based Spatial Clustering of Applications with Noise)算法基于应用层DDOS攻击特征来对过滤出的异常流量再做进一步的检测。模型验证阶段则通过交叉验证来计算评估指标并评估模型的效果,并通过网格搜索来进行参数调优,最终选取最为合适的参数构建出理想的模型。本文使用CIC DoS dataset(2017)模拟数据集来进行模型的训练和测试,通过实验表明,该方法能够对数据集中出现的异常流量数据包和多种应用层DDOS攻击进行有效的检测。