DWT和AKD自動編碼器的DDoS攻擊檢測方法研究

摘要針對DDoS網絡流量攻擊檢測效率低及誤報率高的問題，本文提出一種基于離散小波變換（Discrete Wavelet Transform，DWT）和自適應知識蒸餾（Adaptive Knowledge Distillation，AKD）自動編碼器神經網絡的DDoS攻擊檢測方法．該方法利用離散小波變換提取頻率特征，由自動編碼器神經網絡進行特征編碼并實現分類，通過自適應知識蒸餾壓縮模型，以實現高效檢測DDoS攻擊流量．研究結果表明，該方法對代理服務器攻擊、數據庫漏洞和TCP洪水攻擊、UDP洪水攻擊具有較高的檢測效率，并且具有較低的誤報率．

關鍵詞DDoS攻擊;離散小波變換;自適應;知識蒸餾;自動編碼器

中圖分類號TP393 文獻標志碼A

0 引言

在當前網絡環境下，DDoS（Distributed Denial of Service）攻擊仍然是極具威脅的網絡攻擊［1］．DDoS攻擊者可以利用網絡中可用的多臺受損設備，向受害者服務器發送大量隨機源IP地址的虛假報文，以中斷用戶服務［2］．

DDoS攻擊檢測一般基于統計學習和機器學習方法．統計學習［3］方法通過定義閾值來區分DDoS攻擊流量和正常流量．雖然統計學習方法簡單實用，但考慮到網絡流量的動態特性［4］，定義閾值具有一定的挑戰性，并且統計學習方法通常比基于機器學習的方法有著更高的誤報率．基于機器學習［5］的技術是DDoS攻擊檢測最有效的方法之一，這些技術通常被分為有監督學習和無監督學習．有監督學習需要一些帶標簽的數據來訓練模型，而無監督學習［6］在訓練過程中不需要任何帶標簽的數據．自動編碼器［7］神經網絡就是利用了無監督學習技術，這類神經網絡能夠在模型執行結束時重新生成輸入數據．

在DDoS攻擊檢測過程中為模型訓練提取特征是與機器學習有關的一個重要問題．網絡流量具有各種周期性的組成部分［8］，例如TCP協議的擁塞控制機制以及往返延遲時間．此外，很多研究證明DDoS攻擊流量具有周期性特征［9］，這種周期性特征可以用來區分DDoS攻擊流量和正常流量．分析周期性最佳的方法是頻域分析［10］，雖然當前DDoS攻擊檢測有著不同的研究，但所采用的特征大多基于時域分析［11］．然而，在利用時域分析對突增的正常流量與DDoS攻擊流量進行分析時，結果是相似的，正常的突增流量作為一種合法的網絡流量，是由成千上萬的合法用戶同時訪問一個Web服務器構成的，因為DDoS攻擊流量與正常流量之間相似度很高，可能會產生很高的誤報率．此外，DDoS攻擊流量生成工具可以使DDoS攻擊流量盡可能與正常流量相似，從而降低檢測精度．但是，這些因素并不影響流量的周期性，因為突增的正常流量隨著客戶端數量動態變化，產生的流量會不斷波動，而DDoS攻擊流量則相對穩定．因此，分析流量的周期性，利用頻域分析得到的特征，可以考慮為解決誤報率過高的問題提供依據．

從網絡流量表中收集統計特征來訓練模型已經是一種通用的方法，文獻［12］通過從交換機中應用ANOVA（Analysis of Variance）方法提取統計特征，并使用不同分類器對選擇的特征進行性能評估，最終確定了檢測DDoS攻擊的最佳特征集，得到很好的效果．傳統的利用統計學習的方法，大多還會用到熵．結合熵的使用，令大多數基于統計學習的方法檢測實現高準確率．因此，利用熵的DDoS攻擊檢測方法也被擴展到當前的網絡環境當中．文獻［13］提出一種基于DDoS攻擊和正常流量之間熵值變化的防御機制，并且通過該機制可以有效減少特征維度和計算開銷，實現了高效的防御．

雖然通過統計特征和信息熵的使用，已經提出了很多成功的方法，但是，在某些情況下可能會出現誤報率過高的情況［14］．因此，通過將信息熵和機器學習結合的方法，可以很好地緩解誤報率過高的問題．文獻［15］提出PSO-BP神經網絡結合熵的DDoS攻擊檢測方法，通過在交換機上對流量計算熵值進行預檢測，并提取異常交換機的統計特征，檢測DDoS攻擊是否發生．該方法不僅提高了檢測效率，而且減少了誤報率．

現有的DDoS攻擊檢測模型大多能實現高準確率［16-19］，但是在實際檢測過程中，檢測速度往往無法與攻擊速度持平甚至小于攻擊速度，導致無效檢測．因此，將模型壓縮的方法被研究并使用［20］．現在研究者大多從特征降維方面減少模型的參數來增加檢測效率，例如文獻［21］提出一種正方形草圖的特征構造方法，通過設計多維網絡流草圖結構和網絡流測量方法，結合一種新的低速率DDoS攻擊檢測方法（LDDM）對DDoS攻擊進行檢測．該方法不需要提取大量的統計特征，通過K-L散度來對比異常草圖和正常草圖之間的區別，并取得良好的檢測效率以及較低的誤報率，但是檢測精度不高．

針對當前DDoS攻擊模型結合統計特征的方法導致誤報率高，以及模型檢測效率低的問題，本文提出一種基于離散小波變換（Discrete Wavelet Transform，DWT）和自適應知識蒸餾（Adaptive Knowledge Distillation，AKD）自動編碼器的DDoS攻擊檢測方法．按照時間序列對網絡流量應用離散小波變換獲得頻域特征，有效區分攻擊流量和正常流量，達到降低誤報率的目的．結合自動編碼器神經網絡模型，在保證對DDoS攻擊檢測準確性的同時，有效實現非線性表達降維特征．通過自適應知識蒸餾將模型壓縮，提高模型的擬合速度，并實現增加檢測效率的目的．

1 研究方法

1.1 頻域分析和離散小波變換

在頻域分析中，傅里葉變換（FT）［22］是分析信號最常用的變換技術之一，但當信號具有非平穩頻率時，傅里葉變換不適合進行頻域分析．為了解決這個問題，對信號進行短期傅里葉變換（STFT），它將原始信號劃分為一些平穩的子窗口，然后對每一子窗口進行傅里葉變換．短期傅里葉變換的主要困難是窗口大小的選擇，它需要在時間和頻率之間進行權衡．當選擇較窄的窗寬時，在時間段上獲得了更多的頻率，但失去了頻率與時間的對應關系．離散小波變換（DWT）［23］被認為是短期傅里葉變換的替代方法，因為這種方法提供了讓信號和時間、頻率相互對應的方法．此外，由DWT在時間和頻率上以不同的分辨率分析序列時，可以通過增加粒度來獲得攻擊流量和正常流量的近似分量和細節分量．因此本文采用DWT作為特征提取技術．離散小波為機器學習提供了更合適的特征．

DWT分為濾波和采樣兩個步驟．濾波是通過對輸入信號應用低通濾波器和高通濾波器來實現的．采樣是通過對兩個濾波器的輸出進行降采樣來實現的．當濾波器改變信號的長度時，下采樣過程會控制信號的尺度．當采用低通濾波器和高通濾波器對低頻和高頻信號進行分析時，該過程首先將信號X引入一個脈沖響應為M=｛m1，m2，…，mq｝的低通濾波器，在保持信號規模不變的情況下去除信號中最大頻率一半（即最大頻率的1／2）以上的所有頻率．同時，信號X通過一個脈沖響應為G=｛g1，g2，…，gq｝的高通濾波器，輸出的一半被丟棄．上述過程可以表示為

其中：ylow為通過低通濾波器的濾波結果，yhigh為通過高通濾波器的濾波結果，ylow和yhigh的長度之和與信號X總長度相同;m和g分別是低通濾波器和高通濾波器的脈沖響應信號;x為信號X中的離散子信號．

上述過程也被稱為子帶編碼，可以通過將低通濾波器的輸出引入到下一層濾波器中來重復進行進一步分解．子帶級別的最大數目取決于信號中的數據點數目和濾波器的長度．直到信號比給定小波的濾波器長度q短，說明DWT計算結束．最大長度定義為

其中，q為濾波器長度，N為信號X長度．

由于DWT得到的高通濾波（詳細分量cD）和低通濾波（近似分量cA）所表達的含義不同，而低通濾波得到的近似分量更能表達信號的整體，所以本文使用近似分量作為統計特征提取的離散信號．

1.2 統計特征

對于離散信號X，為了區分攻擊樣本和正常樣本，可以分析兩者之間的概率分布差異．首先，通過DWT得到信號的近似分量cA，通過統計cA中信號的平均數、方差、百分位數、偏度、峰度和熵來決定最后的統計特征．因此，本文考慮了均值，方差，10％、20％、30％、45％和80％位數，偏度，峰度和熵作為統計特征，并利用這些特征生成區別于正常樣本的判別模型．對于一個給定的離散信號X=｛x1，x2，…，xN｝，式（4）—（7）分別定義均值（μ）、方差（σ）、偏度（S）和峰度（K）．百分位數表示位于某一特定百分比位數的值．例如，20％位數是指在當前信號分布中位于20％位置的最小值.文獻［24］證明了該方法的有效性．熵是一種計算某一屬性對于當前類別的不確定性的方法，定義如式（8）所示．分布離散的屬性熵值高，而集中分布的熵值低．

其中，p為不同屬性的概率分布．

1.3 自動編碼器神經網絡

自動編碼器是一種無監督的神經網絡，它重構出一個和輸入向量維數相同的輸出向量，結構如圖1所示．

自動編碼器的基本操作如下：首先，將統計特征整合成輸入向量輸入到編碼器，其次，從中間層重構出與輸入相同維數的輸出．自動編碼器的主要目標是通過應用三個子模塊，即編碼器、中間層、解碼器，來構造一個盡可能接近輸入向量的輸出向量．編碼器將數據編碼成低維的特征表達，最中間層表示特征的最低維度，解碼器將低維特征重構成高維表達．

自動編碼器的結構可以分為兩部分：1）編碼器f=RD→RM;2）解碼器g=RM→RD，其中D為輸入數據與重構數據的維度，M為中間層的維度．對于信號樣本x∈X，自動編碼器的中間層可表示為

其中，λ為正則化系數，通過最小化重構誤差來訓練模型并學習網絡參數．

1.4 自適應知識蒸餾 （AKD）

知識蒸餾技術是一種模型壓縮技術，它使用了一種“教師-學生”的訓練方法．采用AKD的原因在于：線下訓練的網絡模型需要大量數據去擬合復雜的模型，會出現模型規模大、模型推理速度慢的問題，而實際線上部署的模型對模型推理速度和部署資源有著嚴格的要求限制．隨著DDoS攻擊的發生，攻擊流量會迅速增加，大模型會出現推理不及時的情況，導致網絡擁堵．

知識蒸餾基本方法：通過訓練出最優的自動編碼器模型作為教師模型T-Net，再通過減少模型規模設計學生模型S-Net，利用T-Net模型訓練S-Net模型，可以讓S-Net模型學習到T-Net模型的泛化能力．

知識蒸餾基本步驟：第一步是訓練T-Net模型，第二步是在設置溫度t條件下，蒸餾T-Net的知識到S-Net．

蒸餾過程的Loss如式（12）所示：

表示學習率，且α和β會隨著損失值L的變化而變化，規則如下：

步驟1，變化α的值;

步驟2，當L增加，反向變化α的值，并變化β的值;

步驟3，當L增加，反向變化β的值，然后反向變化α的值;

步驟4，當L減少，返回步驟1;

步驟5，當所有情況都會導致L增加時，停止．

2 基于DWT和AKD的DDoS攻擊檢測

本節介紹基于離散小波和自適應知識蒸餾的DDoS攻擊檢測方案，具體步驟如圖2所示．

2.1 特征提取

特征提取模塊用于從網絡流量數據包中提取統計特征，如圖3所示．

特征提取步驟如下：

步驟1，將流量數據包統計數量按照相同時間間隔分成Z個子集;

步驟2，對每個子集進行DWT，得到每一子集的近似分量和詳細分量;

步驟3，計算每個子集近似分量的均值，方差，10％、20％、30％、45％和80％位數，偏度，峰值和熵的統計特征;

步驟4，將計算結果和DWT計算的近似分量拼接形成特征向量，最終得到特征向量fi∈R1×n．

算法過程如下：

1） 初始化特征列表F;

2） 初始化當前特征向量f;

3） 初始化特征長度w;

4） 輸入數據Z;

5） FOR i in Z;

6） 對i進行離散小波變換得到近似分量cA;

7） 計算cA的均值μ、方差σ、百分位數、偏度K、峰度S、熵值H;

8） IF cA的長度小于w;

9） 將長度補充0到w;

10） END IF;

11） f‖cA‖μ、百分位數、K、S、H，其中‖為拼接操作;

12） F‖f，其中‖為拼接操作;

13） END FOR.

2.2 模型訓練

模型訓練模塊用于描寫DDoS攻擊檢測模型訓練框架，如圖4所示，該DDoS攻擊模型訓練框架具體過程如下：

1） 獲取特征集F作為自動編碼器的輸入;

2） 預訓練，逐層訓練自動編碼器神經網絡T;

3） 獲得當前數據集訓練出的最優模型T;

4） 構建模型S;

5） 通過T模型蒸餾訓練S模型;

6） 模型調優．

2.3 檢測模型

檢測模型模塊用于使用學生模型S的編碼器部分進行DDoS攻擊檢測，當S的參數訓練確定后，取出編碼器部分．通過訓練集進行微調后，為測試數據編碼．利用分類器對編碼結果進行DDoS攻擊類別鑒定，驗證模型S的檢測能力級泛化能力，如圖5所示．

檢測過程如下：

1） 獲得模型S的編碼器部分;

2） 利用訓練集微調S模型;

3） 獲取測試數據;

4） 通過S模型編碼器部分將測試數據編碼;

5） 通過分類器得到攻擊類別．

3 實驗

3.1 實驗環境

本文使用Keras框架進行實驗模擬，并選擇Python作為編程語言．硬件：intel（R）Core（TM）i7-10700F處理器、8 GB內存、500 GB固態硬盤、64位Windows11操作系統．

3.2 實驗數據

本文大部分實驗是基于CIC-DDoS2019數據集（https：／／www.unb.ca／cic／datasets／ddos-2019.html）進行的，該數據集由Lashkari在New Brunswick University（UNB）網絡上收集．CICDDoS2019數據集分2天采集，本實驗使用的是第1天采集的攻擊，類型包括：數據庫漏洞攻擊MSSQL、UDP協議洪水攻擊、TCP協議三次握手確認攻擊SYN．

為了驗證本文提出方法的通用性，本文還采用Iot-23數據集（https：／／www.stratosphereips.org／datasets-overview）進行了實驗．Iot-23數據集模擬利用感染的物聯網設備實施DDoS攻擊并獲取攻擊流量數據．以上數據集均來自于真實的網絡環境．

3.3 評價指標

在對比實驗中，本文采用了準確率（Accuracy，A）、精確度（P）、F1評價指標（F1_Score，F1）、誤報率（False Positive Rate，FPR）、召回率（Recall，R）、均方誤差（Mean Square Error，MSE）等作為本文的評價優劣的標準.

式（24）中，N為樣本個數，ytrue為真實值，ypred為預測值.式（19）—（23）參數定義如表1所示.

3.4 參數設置

通過反復調優，并吸取前人的經驗進行大量實驗，對比各項參數的優劣．通過反復實驗，最終確定的參數如表2所示．

3.5 結構分析

3.5.1 T-Net層數分析

網絡層數以及每層所使用的激活單元的個數對于模型編碼來說具有重要作用．隨著網絡層數和激活單元的增加，編碼出的抽象特征能更深層次表達原始數據．因此，為了得到比較優秀的網絡模型結構，通過設置不同深度的編碼器結構進行對比試驗，測試不同結構編碼器的性能，對比結果如圖6所示，橫縱坐標分別為維度1和維度2，表示二維坐標點．通過使用不同模型結構的編碼器部分對測試集進行分類預測結果如表3所示．通過實驗結果可以得到，當網絡層數達到一定程度時，模型各項指標將不再增加．所以選擇5層結構作為T-Net編碼結構．

3.5.2 T-Net知識蒸餾S-Net

通過已確定的T-Net結構，S-Net相對于T-Net來說擁有更少的層數和激活單元，找到最優的S-Net結構是一項挑戰．現設置3種不同結構的S-Net，通過對比試驗分析T-Net對不同S-Net的蒸餾效果，訓練過程如圖7所示．可以發現當中間層越小蒸餾過程越不穩定且準確率最終會總體呈現降低趨勢，說明在模型擬合過程中尋找不到最優解．通過對比不同T-Net蒸餾S-Net前后誤差，最終確定S-Net結構為256-64-256三層結構，其中不同數值代表不同層激活單元個數，如表4所示．

3.5.3 壓縮效果分析

將T-Net和S-Net以及知識蒸餾后的S-Net的分類效果進行對比，三種網絡模型同時對測試數據集進行數據編碼，對比不同結構模型的編碼部分對測試集的分類能力、誤報率以及檢測時間，來驗證該方法的有效性，結果對比如圖8所示．

3.6 DDoS攻擊檢測效果分析

通過分析在不同數據集中S-Net的效果來驗證本文檢測方法的有效性，結果如圖9所示．

為了驗證本文方法的有效性，通過對比不同模型在兩組數據集的準確率、召回率、F1評價指標、檢測時間、誤報率的不同表現來驗證，對比結果如表5所示，通過實驗結果可以得出，本文方法要優于對比方法．

4 結論

1）利用離散小波變換作為頻率分析的主要工具，保證了頻率和時間的對應關系，很好地區分DDoS攻擊流量與正常流量的頻率變化，并通過離散信號提取平均數、方差、百分位數、偏度、峰度和熵的統計量作為輔助特征，為降低檢測誤報率提供可能性．

2） 采用自動編碼器作為非線性特征降維的神經網絡，對高維特征向量進行低維的非線性映射，通過自動編碼器將高維特征降維，以及不同層數自動

編碼器對數據聚類實驗結果對比，驗證了該方法的有效性，并利用編碼器部分實現有效分類．

3） 結合知識蒸餾方法將模型進行壓縮處理，并采用自適應的方法使其快速擬合，通過實驗證明，壓縮后的模型對單條數據的檢測時間相對于原模型平均減少了2.83 ms，并且誤報率和檢測精度與原模型平均誤差均保持在1％內，證明了該方法的有效性．

4） 結合兩種數據集驗證表明，本文方法在檢測準確率及檢測效率上具有較大提升，而誤報率大幅降低．

參考文獻

References

［1］ 國家互聯網應急中心.我國DDoS攻擊資源分析報告［R］.北京：國家互聯網應急中心，2022

National Internet Emergency Response Center.China DDoS attack resources analysis report［R］.Beijing：National Internet Emergency Response Center，2022

［2］ Awan M J，Farooq U，Babar H M A，et al.Real-time DDoS attack detection system using big data approach［J］.Sustainability，2021，13（19）：10743

［3］ Ahuja N，Singal G.DDoS attack detection ＆ prevention in SDN using OpenFlow statistics［C］／／2019 IEEE 9th International Conference on Advanced Computing.Tiruchirappalli，India.IEEE，2019：147-152

［4］ Wang M，Lu Y Q，Qin J C.A dynamic MLP-based DDoS attack detection method using feature selection and feedback［J］.Computers ＆ Security，2020，88：101645

［5］ Doshi R，Apthorpe N，Feamster N.Machine learning DDoS detection for consumer Internet of Things devices［C］／／2018 IEEE Security and Privacy Workshops.San Francisco，CA，USA.IEEE，2018：29-35

［6］ Odumuyiwa V，Alabi R.DDoS detection on Internet of Things using unsupervised algorithms［J］.Journal of Cyber Security and Mobility，2021：569-592

［7］ Yang K，Zhang J J，Xu Y，et al.DDoS attacks detection with autoencoder［C］／／2020 IEEE／IFIP Network Operations and Management Symposium.Budapest，Hungary.IEEE，2020：1-9

［8］ Huang C，Yi P，Zou F T，et al.CCID：cross-correlation identity distinction method for detecting shrew DDoS［J］.Wireless Communications and Mobile Computing，2019，2019：6705347

［9］ Agrawal N，Tapaswi S.Defense mechanisms against DDoS attacks in a cloud computing environment：state-of-the-art and research challenges［J］.IEEE Communications Surveys ＆ Tutorials，2019，21（4）：3769-3795

［10］ Zhou L Y，Guo H Q，Deng G L.A fog computing based approach to DDoS mitigation in IIoT systems［J］.Computers ＆ Security，2019，85：51-62

［11］ Agrawal N，Tapaswi S.Low rate cloud DDoS attack defense method based on power spectral density analysis［J］.Information Processing Letters，2018，138：44-50

［12］ Jose A S，Nair L R，Paul V.Towards detecting flooding DDoS attacks over software defined networks using machine learning techniques［J］.Revista Gesto Inovao e Tecnologias，2021，11（4）：3837-3865

［13］ Mishra A，Gupta N，Gupta B B.Defense mechanisms against DDoS attack based on entropy in SDN-cloud using POX controller［J］.Telecommunication Systems，2021，77（1）：47-62

［14］ Idhammad M，Afdel K，Belouch M.Semi-supervised machine learning approach for DDoS detection［J］.Applied Intelligence，2018，48（10）：3193-3208

［15］ Liu Z P，He Y P，Wang W S，et al.DDoS attack detection scheme based on entropy and PSO-BP neural network in SDN［J］.China Communications，2019，16（7）：144-155

［16］ 周奕濤，張斌，劉自豪.基于多模態深度神經網絡的應用層DDoS攻擊檢測模型［J］.電子學報，2022，50（2）：508-512

ZHOU Yitao，ZHANG Bin，LIU Zihao.Application layer DDoS detection model based on multimodal deep learning neural network［J］.Acta Electronica Sinica，2022，50（2）：508-512

［17］ Li Y，Lu Y F.LSTM-BA：DDoS detection approach combining LSTM and Bayes［C］／／2019 Seventh International Conference on Advanced Cloud and Big Data （CBD）.Suzhou，China.IEEE，2019：180-185

［18］ 張安琳，張啟坤，黃道穎，等.基于CNN與BiGRU融合神經網絡的入侵檢測模型［J］.鄭州大學學報（工學版），2022，43（3）：37-43

ZHANG Anlin，ZHANG Qikun，HUANG Daoying，et al.Intrusion detection model based on CNN and BiGRU fused neural network［J］.Journal of Zhengzhou University （Engineering Science），2022，43（3）：37-43

［19］ 趙志強，易秀雙，李婕，等.基于GR-AD-KNN算法的IPv6網絡DoS入侵檢測技術研究［J］.計算機科學，2021，48（增刊1）：524-528

ZHAO Zhiqiang，YI Xiushuang，LI Jie，et al.Research on DoS intrusion detection technology of IPv6 network based on GR-AD-KNN algorithm［J］.Computer Science，2021，48（sup1）：524-528

［20］ Wang Z D，Li Z Y，He D J，et al.A lightweight approach for network intrusion detection in industrial cyber-physical systems based on knowledge distillation and deep metric learning［J］.Expert Systems with Applications，2022，206：117671

［21］ Liu X Q，Ren J D，He H T，et al.Low-rate DDoS attacks detection method using data compression and behavior divergence measurement［J］.Computers ＆ Security，2021，100：102107

［22］ Liu Z，Hu C Z，Shan C.Riemannian manifold on stream data：Fourier transform and entropy-based DDoS attacks detection method［J］.Computers ＆ Security，2021，109：102392

［23］ Fouladi R F，Ermis O，Anarim E.A DDoS attack detection and countermeasure scheme based on DWT and auto-encoder neural network for SDN［J］.Computer Networks，2022，214：109140

［24］ Bornmann L.How to analyse percentile impact data meaningfully in bibliometrics：the statistical analysis of distributions，percentile rank classes and top-cited papers［J］.arXiv e-print，2012，arXiv：1206.1741

DDoS attack detection via DWT and AKD auto-encoder

WANG Bo1 WAN Liang1 LIU Mingsheng1 SUN Handi1

1College of Computer Science and Technology／State Key Laboratory of Public Big Data，Guizhou University，Guiyang 550025

Abstract To address the low efficiency and high 1 alarm rate in detection of DDoS （Distributed Denial of Service） flood attacks，this paper proposes a DWT （Discrete Wavelet Transform） and AKD （Adaptive Knowledge Distillation） self-encoder neural network based approach to detect DDoS attacks.The approach uses the DWT to extract frequency features，the auto-encoder neural network to encode and classify the features，and the AKD to compress the model in order to achieve efficient detection of DDoS attacks.The results show that the approach has high detection efficiency for proxy server attacks，database vulnerabilities ＆ TCP flood attacks，and UDP flood attacks，with low 1 alarm rate.

Key words DDoS attack;discrete wavelet transform （DWT）;adaptive;knowledge distillation;auto-encoder

收稿日期2022-09-19

資助項目國家自然科學基金 （62062020）；貴州省教育廳自然科學研究項目（黔教科（2007）015號）

作者簡介王博，男，碩士生，研究方向為網絡空間安全.gs.bowang20@gzu.edu.cn

萬良（通信作者），男，教授，研究方向為計算機理論、網絡空間安全.lwan@gzu.edu.cn