近年来，DDOS[1]拒绝服务攻击泛滥成灾，大量消耗了网络及服务器的资源，使得合法用户无法得到正常服务甚至得不到服务，严重影响了网络性能。随着互联网网络带宽的增加和各种DDOS攻击工具的不断发布，DDOS拒绝服务攻击的实施越来越容易，DDOS攻击事件正在成上升趋势。 大型网站的峰值业务量巨大，在峰值时段容易遭受洪水式攻击[2]，DDOS攻击在峰值时段非常有效。大型网站的业务量还具有突发性的特点，相比于一般网站的业务量，它更容易与洪水式攻击相混淆。通常的为一般网站建立的抵御入侵的统计异常检测方法[3]，有可能会把正常的、突如其来的流误判为攻击流，因而变得不适用。 本论文的目的在于克服现有技术的不足，提供一种大型网站数据流的检测与防御方法，以便很好区分到达大型网站的攻击流与突如其来的大量正常数据流，并屏蔽攻击流。 本论文采用隐半马尔可夫模型[4-5]建立检测模型，利用大型网站的正常数据流离线训练所述检测模型，再利用所述检测模型在网络处理器上实时检测到达大型网站的数据流。 本论文根据中大web服务器6天半32400个观测序列建立了中大web服务器的隐半马尔可夫模型，并根据模型在网络处理器IXP2400上检测了数据流的正常程度。