高速网络的迅猛发展和网络技术的日新月异,使人们的生产和生活得以极大改善。但随之出现的网络安全问题,却成为日益严重的社会问题。DDoS(Distributed Denial of Service,分布式拒绝服务)攻击是一种常见而又难以防范的网络攻击模式,它能够在短时间内产生海量的数据包耗尽主机或网络的资源,对高速网络的稳定运行带来了巨大威胁。经过研究发现傀儡机端所伪造的数据包都是由攻击软件控制生成的,因此这些伪造的数据包在某一特定的时间段内有着合法数据包所不具备的特点。本文结合信息论的相关知识提出了行为分布的概念,检测DDoS攻击的方法为：一旦有可疑流流入服务器,我们就开始计算这些可疑流的行为分布差异,并提交给汇聚路由,如果多个可疑流的行为分布差异小于汇聚路由所设定的阈值,则判断有DDoS攻击发生,反之则为合法的数据访问。根据算法分析和初步的NS-3模拟实验,该算法能够高效且有效的从合法访问中检测出DDoS攻击流,有效的防止了DDoS攻击的进一步危害。