近年来,针对Web服务器的分布式拒绝服务(Distributed Denial of Service,DDoS)攻击的事件不断增长,导致遭受DDoS攻击的网站对用户无服务提供,并造成大量资源和金钱损失。针对WEB服务器的DDoS攻击均属于应用层DDoS攻击,即攻击者与攻击目标建立TCP连接后采用真实源IP地址发动的DDoS攻击。攻击者采用模仿正常用户访问行为的攻击方式,此种攻击方式隐蔽性强,在流量层面不会表现出异常现象,并且表现形式与突发访问(Flash Crowd)非常相似,难以区分正常用户与非法用户,这使得检测WEB服务器的DDoS攻击极为困难。因此,为了保证WEB服务器安全和服务可用,如何防御WEB服务器的DDoS攻击变得尤为重要。首先,通过分析WEB服务器DDoS攻击的原理和模式,对用户访问和攻击者攻击行为进行深入探究。因为用户访问路径走势受访问行为控制,而具有攻击行为的访问与正常用户访问之间存在较大差异性,即WEB服务器遭受DDoS攻击时,用户的异常访问行为会突显,所以通过提取用户行为异常特征因子能有效识别WEB服务器DDoS攻击。同时,为了准确判定访问过程中各个时间节点用户访问行为的异常,通过分析WEB访问路径长度和路径节点序列,综合性计算用户访问过程中的实时异常值。然后,本文提出一种基于WEB访问路径的攻击检测防御模型(WEB Access Path,WAP),由数据采集模块,异常检测模块和防御模块组成,其中核心模块为WEB访问路径异常检测。异常检测模块从五个不同的角度对用户访问过程进行异常检测,分别为请求路径异常、请求分布异常、路径循环异常、行为时隙异常和路径长度异常。通过计算正常用户访问网站时的正常值以及具有攻击行为用户的异常值偏离程度,以此为依据判定是否遭受DDoS攻击。当判定遭受DDoS攻击时,防御模块记录异常用户身份信息,并依据用户非法值大小执行相应防御策略,限制具有攻击行为用户的访问,达到防御针对WEB服务器DDoS攻击的目的。最后,实验采用真实日志数据集作为训练集,使用五种不同类型的应用层DDoS攻击向实验网站发动攻击。实验结果表明,基于WEB访问路径的攻击检测防御模型能够在短时间内识别出攻击并采取有效的防御措施抵制,减小误判的发生。