随着大数据技术快速发展,泛洪攻击(Internet Flooding Attack,IFA)愈加频繁发生并带来严重的危害。网络流量的爆炸式增长和大数据的高复杂性,使得IFA检测和防御面临着严峻的挑战。本文提出了基于网络流异常行为融合特征值(Network Abnormal Feature Value,NAFV)的差分整合移动平均自回归(Autoregressive Integrated Moving Average,ARIMA)时间序列泛洪攻击检测模型和基于噪声的密度聚类方法(DensityBased Spatial Clustering of Applications with Noise,DBSCAN)的两阶段聚类方法(TwoStage Clustering Algorithm,TCA),在提出的算法基础上设计实现了泛洪攻击检测防御系统。本文主要研究工作如下:1.首先对泛洪攻击的检测和防御方法进行了深入调研,根据国内外研究现状归纳总结出当前泛洪攻击检测和防御方法存在的不足。针对泛洪攻击的原理并结合经典案例对泛洪攻击流量具有的特征进行了分析与总结。2.针对现有泛洪攻击检测方法在大数据环境下存在误报率高和检测时延长等不足,提出了一种基于网络流异常行为的泛洪攻击检测方法。使用连续的比特位来存取和标记IP地址的存储方法,降低了大数据环境下查询IP地址的时间复杂度。然后通过对新老IP数目变化的统计与分析,定义了网络流异常行为融合特征值(Network Abnormal Feature Value,NAFV)将网络状态划分为三类。最后建立基于网络流异常行为融合特征值的ARIMA时间序列模型来预测由泛洪攻击引发的异常。3.针对聚类输入参数和聚类噪音对现有聚类方法结果影响大的问题,提出了一种基于DBSCAN的两阶段聚簇防御方法(Two-stage Clustering Algorithm,TCA)。该方法从聚类形态和密度两个方面,利用聚类数据的相似性递进聚类。实验结果表明该方法可以识别不同密度的不规则聚类,对噪音和孤立点的影响有很好的健壮性。4.本文设计并实现了泛洪攻击检测防御系统,该系统包括异常网络流捕捉模块、流量监控模块、被攻击端分析模块和异常网络流阻断模块。经过功能测试和性能测试证明,该系统实现了对异常网络流量的实时监测和防御。该系统对异常网络流量进行了可视化,记录了攻击日志,可以对受害端受到的攻击类型和特征进行分析,这对主动防御泛洪攻击具有重要意义。本文提出的泛洪攻击检测和防御模型具有时延短和效率高的优点,对在大数据环境下应对泛洪攻击有着重要意义。本文提出的泛洪攻击检测防御系统将上述两个模型应用其中,实现了对异常网络流的实时监测与阻断,保证了被攻击端的正常通信安全,在防御泛洪攻击领域有着广泛的应用前景。