随着社会的发展,计算机和互联网技术也在迅速普及,伴随而来的是信息和网络安全问题的层出不穷。分布式拒绝服务攻击（Distributed Denial of Service简称DDoS攻击）起源于原始的DoS攻击,是一种大范围、协作式的攻击方式,是当前对Internel最主要的恶意攻击之一。DDoS攻击者利用网络协议中的TCP/IP协议的自身缺陷,通过大量恶意的访问产生的数掘流来耗尽受害者的服务资源和计算能力,使之不能正常为合法用户提供正常的服务^[1]。DDoS攻击者旨在试图通过破坏目的服务器的可访问性,使服务器无法提供正常服务,从而达到限制用户正常的访问和链接的目的,无论是针对网络带宽,或者针对服务器的CPU计算资源、或是服务器的内存资源、还是针对目端口的连接性,DDoS攻击都要通过向目标短时间内发送大量的连接请求,消耗目的服务器资源,从而导致目标主机无法正常对外提供服务。根据国际通信网络安全委员会所属的Gibson研究团体统计结果显示^[2],近十年来,全球范围内“僵尸网络”的规模不断扩大,遍布于全球一百多个国家和地区。同时,DDoS攻击也呈现大幅度增加状态,据Gibson估计全球范围内DDoS攻击频率达到每星期4000次以上,互联网因DDos攻击造成的直接和间接经济损失每年高达数以万亿元人民币。然而现阶段针对DDoS攻击防御的困难之处在于攻击者首先控制傀儡机,再由傀儡机间接控制“僵尸网络”对目标主机或服务器进行攻击。由于攻击者并不直接参与攻击,而是通过操控傀儡机在控制“僵尸网络”的方式进行攻击,因此相对于其他入侵方式不同,DDoS攻击的逆向追踪和对攻击者的溯源十分困难,因此针对于DDoS攻击的检测技术大都是基于末端的检测技术。然而现在已有的防火墙、IDS、IPS以及对DDoS攻击的追踪技术等组成的网络安全系统,在检测功能上孤立单一,只能对抗已知攻击。而且,不能准确、及时的区分合法用户和恶意的攻击用户,是外在的,被动的防御手段。而新的DDoS攻击方式往往具有随机性、隐蔽性等特点,很难做到精确检测^[3]。而现阶段,针对于DDoS入侵检测方式大都基于网络流量中某一属性的异常,建立模型来进行检测,这些方法针对某种特定的DDoS攻击可能有良好的检测效果,然而在现实中,DDoS攻击者往往采用多种DDoS攻击软件,混合式的攻击,而并不会单一的采用某种攻击方式,甚至会采用小流量,IP欺骗的方式绕过防火墙和入侵检测系统。本文在对以上分析基础上,首次提出了一种基于多维熵的DDoS检测方法,该方法通过对DDoS网络攻击的概念和特点并结合网络流量属性进行分析,再结合常见DDoS网络攻击方式及检测技术的基础上,提出了一种综合网络各个网络属性的DDoS入侵检测方法,该方法选取网络中流量、IP地址、数据包三个特征建立模型,构建了具有良好区分度的DDoS入侵检测模型。针对不同特征采用不同的检测手段,综合分析检测网络流量中三个个维度属性,并采用多窗口连续假设检验的方法对最终结果进行分析,最后采用MIT林肯实验室于1999年公布DARPA 99数据集^[4]和2000年公布的DARPA2000数据集对本方法进行试验。并设计对比试验,通过验证证明该方法对DDoS攻击有良好的检测效果,能够满足对DDoS检测攻击检测的需要。而且,该方法还具有很好的可扩展性,针对新的DDoS攻击都具有一定的检测效果。