基于節(jié)奏矩陣的AL-DDoS攻擊檢測(cè)技術(shù)研究.pdf

1、近二十年來，分布式拒絕服務(wù)攻擊(DDoS)一直是網(wǎng)絡(luò)安全的一個(gè)關(guān)鍵威脅。第一次DDoS攻擊出現(xiàn)于1995到1996年間，它通過SYN標(biāo)識(shí)的TCP包洪泛來淹沒網(wǎng)絡(luò)設(shè)備和服務(wù)器的網(wǎng)絡(luò)通信并嚴(yán)重影響正常網(wǎng)絡(luò)服務(wù)。拒絕服務(wù)攻擊的樣式和種類在近幾年發(fā)生了很大的變化。在SYN洪泛、ICMP和UDP洪流等許多傳統(tǒng)攻擊方式依然盛行的同時(shí)，越來越多的應(yīng)用層的DDoS攻擊流量被發(fā)現(xiàn)，如HTTP、HTTPS和DNS等服務(wù)的請(qǐng)求指令洪泛模式。本文中，統(tǒng)稱這類D

2、DoS攻擊為應(yīng)用層拒絕服務(wù)攻擊，并采用了與文獻(xiàn)相同的縮寫AL-DDoS。
　　當(dāng)前現(xiàn)狀是黑客發(fā)起攻擊的門檻越來越低，各種應(yīng)用層的DDoS攻擊工具都可以從網(wǎng)絡(luò)上下載使用，用于發(fā)動(dòng)攻擊的代理可以免費(fèi)獲取，僵尸網(wǎng)絡(luò)像商品一樣被出租，有不良企圖的人能夠?qū)θ我庖粋€(gè)網(wǎng)站發(fā)起攻擊。兩份最近的DDoS攻擊安全分析報(bào)告揭示了一個(gè)現(xiàn)象:近年來網(wǎng)絡(luò)中的大部分DDoS攻擊的連續(xù)攻擊時(shí)間在縮短（如，超過90％的DDoS攻擊持續(xù)不到30分鐘），然而攻擊的重復(fù)

3、頻率在增加，同時(shí)向高容量和高速率的趨勢(shì)發(fā)展。因此，要阻止一次分布式拒絕服務(wù)攻擊，檢測(cè)必須在攻擊的表現(xiàn)階段內(nèi)完成，即攻擊發(fā)起至其達(dá)到某個(gè)足以對(duì)正常的網(wǎng)絡(luò)服務(wù)造成影響的閾值之前的時(shí)間段。同時(shí)攻擊響應(yīng)也必須快速實(shí)施才能真正達(dá)到有效預(yù)防DDoS攻擊的效果。
　　為了實(shí)現(xiàn)DDoS攻擊的快速檢測(cè)方法，借鑒了這兩篇文章的思路，他們通過提取節(jié)奏模式來表達(dá)音樂短片段的各類特性。從網(wǎng)絡(luò)層選擇數(shù)據(jù)特征（即，IP包大小和流中連續(xù)包的到達(dá)時(shí)間間隔），而沒有

4、使用IP地址以及其他一些可能表露用戶信息的特征。通過對(duì)兩個(gè)特征進(jìn)行線性變換，可以構(gòu)建節(jié)奏矩陣以準(zhǔn)確表達(dá)網(wǎng)絡(luò)流量片段的統(tǒng)計(jì)特征。得益于數(shù)據(jù)特征都是來自網(wǎng)絡(luò)層，節(jié)奏矩陣不會(huì)泄露用戶敏感信息，而且，它不僅能通過IP包的大小信息來描繪一定時(shí)間內(nèi)用戶訪問熱點(diǎn)內(nèi)容的相對(duì)分布，也能根據(jù)包的時(shí)間間隔來統(tǒng)計(jì)用戶訪問服務(wù)器的方式。此外，觀察發(fā)現(xiàn):基于同一服務(wù)的相同類型流量構(gòu)建的節(jié)奏矩陣之間具有高相似度，而不同類型流量構(gòu)建的節(jié)奏矩陣間則保持較低的相似度。因此

5、，結(jié)合在線學(xué)習(xí)方法——直推式置信機(jī)k-近鄰算法(Transductive Confidence Machinesfor K-Nearest Neighbors TCM-KNN)，可以在邊界路由器設(shè)備上動(dòng)態(tài)檢測(cè)出經(jīng)過的惡意流量。實(shí)驗(yàn)結(jié)果表明，當(dāng)流量中的大部分?jǐn)?shù)據(jù)由DDoS攻擊產(chǎn)生時(shí)，的方法能以很高的精度檢測(cè)出來。
　　本研究論文的主要貢獻(xiàn)有:
　　基于網(wǎng)絡(luò)層特征定義了一個(gè)組合特征（本文稱之為節(jié)奏矩陣），能精準(zhǔn)描述網(wǎng)絡(luò)流量的統(tǒng)計(jì)

6、特征，能有效地區(qū)分DDoS攻擊流量和正常流量。
　　改進(jìn)了一款在線學(xué)習(xí)方法，使其結(jié)合節(jié)奏矩陣以達(dá)到對(duì)應(yīng)用層拒絕服務(wù)攻擊的實(shí)時(shí)檢測(cè)。改進(jìn)后的方法使得的系統(tǒng)適應(yīng)性更強(qiáng)，也顯著降低了檢測(cè)系統(tǒng)的誤報(bào)率且沒有造成檢測(cè)時(shí)間的顯著延長(zhǎng)。
　　基于真實(shí)的網(wǎng)絡(luò)數(shù)據(jù)集設(shè)計(jì)了一系列實(shí)驗(yàn)，通過檢測(cè)三種模式的AL-DDoS攻擊來評(píng)估所提出的方法的有效性。
　　兩個(gè)著名的公開數(shù)據(jù)集被改造，并用于驗(yàn)證的檢測(cè)方法在網(wǎng)絡(luò)合法流量瞬間擁塞(本文稱之為Fl