HTTP洪泛攻击是一种针对Web应用的拒绝服务攻击。攻击者通过模拟正常用户报文,利用HTTP协议产生的海量数据作为掩护,大大增加了对应用层洪泛攻击的检测难度。基于网络流量的检测,能有效检测洪泛攻击的存在,采用熵等统计学方法和基于机器学习的检测算法已经有了成功的应用。然而,主流检测方法中存在着未考虑较为完整的特征集评估过程、检测模型大都为浅层学习且较少考虑时间序列信息、检测结果缺少解释性的问题。本文针对上述问题,立足于大规模流量场景和HTTP洪泛攻击的特点,提出了可解释性的HTTP洪泛流量时序检测体系,主要从检测前特征集评估、检测中模型识别分类、检测后攻击报文行为分析三阶段对传统方法进行改进,具体工作如下:1.提出面向海量数据场景的HTTP洪泛攻击特征集提取方案和基于GBDT混合式组合算法的自适应特征工程。在检测前特征集提取阶段,对研究现状中满足海量流量场景的检测特征完成29个角度的梳理,并从频率、内容、负载、时间、序列、衍生角度提出42维检测特征;在自适应特征工程中采用过滤式单变量和基于梯度上升树的递归特征消除算法相融合的组合算法,完成特征评估,得到重要特征子集。实验证明,重要特征子集选择过程较传统方法能提高检测效果。2.提出基于时序空洞卷积的深度学习检测模型。针对检测模型的浅层学习问题和流量时序表现,在检测中模型识别分类阶段,通过对流量的时序行为分析,提出将HTTP报文源IP、目的IP、时间戳三元组聚合,构造基于重要特征子集的特征聚合流序列,输入时序空洞卷积神经网络进行攻击序列检测。在完成网络层级结构设计和参数评估实验后,检测模型能对洪泛攻击进行合理分类,在各项指标上皆优于其他模型。3.提出HTTP洪泛的序列聚类方案和行为风险评分模型。针对攻击检测可解释性问题,在检测后攻击报文行为分析阶段,提出采用动态时间规整的Kmeans聚类算法聚类,并结合Shapelets关键攻击序列提取。实验中提取到了攻击的相似攻击序列质心和关键行为序列,提高检测可解释;提出行为风险评分模型,利用攻击证据权重和信息价值,并基于逻辑斯蒂模型建模。行为风险度评分由报文在各洪泛特征得到的风险分值构成,安全人员可根据风险度评分,启发性的搜索洪泛行为分布区间,使检测结果更透明可解释。