随着计算机网络和机群合作的发展,拒绝服务(denial-of-service, Dos)攻击逐渐成为网络上最难应对和最普遍的攻击之一:它通过大量的恶意连接,达到耗尽网络或系统资源,使正常服务请求无法得到响应的目的。由于多数的拒绝服务攻击实现机制比较简单,却很难及时被发现,因此对其的研究已经成为入侵检测领域中的一个重点。本文对拒绝服务攻击的特征进行了详细的分析,并调研了现有的检测算法和系统。其中基于异常的检测算法具有明显的优势,它不仅可以发现已知的攻击,而且对未知的攻击方式也具有一定的检测能力。对进一步提到检测效率,这种方法面临着两个难点:一是特征的提取,由于网络数据流的特性,特征空间表现为无组织性,很难将有用的信息从背景噪音中分离出来;二是检测时阈值的设定,过低的阈值会导致将正常网络上的报文误判为攻击,而设置了高的阈值,漏报率则会上升。本文提出了一种新的检测方法。在训练阶段,根据不同协议的特定数据包的到达时间建立统计模型,利用混合高斯分布对正常的网络行为进行描述,避免了特征空间的爆炸。在检测阶段,我们构造一个虚拟的排队服务处理流经网络的数据包,其中的服务时间由训练得到的混合高斯模型推导而出。当模型中队列长度较短时,认为属于正常行为,反之,当队列长度过长时,则可能存在攻击。将无攻击的训练数据输入检测系统,可以自动获得合理的阈值。算法保证只要攻击者试图在短时间内向网络中发出大量数据包就可以被系统检测到,从而发现拒绝服务攻击。我们引入 DARPA 1999 入侵检测评估数据集作为研究和检验的重要手段。通过实验验证了本文的方法对拒绝服务攻击具有很高的检测率,并保持合理的误报数。