防SYNFLOOD狀態(tài)防火墻模型的研究.pdf

1、由于TCP/IP協(xié)議本身不足以保障計算機網(wǎng)絡(luò)信息安全,因此在網(wǎng)絡(luò)工程實踐中普遍采用附加措施,進而達到一定程度上的自我保護。防火墻是目前重要且關(guān)鍵的技術(shù)之一。DOS和DDOS攻擊是大型網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)器的安全威脅之一,作為DOS/DDOS攻擊的典型,SYN FLOOD利用TCP/IP協(xié)議的漏洞,在短時間內(nèi)發(fā)送大量的SYN數(shù)據(jù)包。如果匹配防火墻規(guī)則,防火墻就會建立狀態(tài)表跟蹤這些鏈接。大量此類通信將造成狀態(tài)防火墻的狀態(tài)表溢出,使得防火墻無法響應(yīng)

2、合法請求,從而導(dǎo)致整個網(wǎng)絡(luò)的系統(tǒng)性能下降。傳統(tǒng)的解決方案通常只能保護主機的安全,并不能確保防火墻不受侵害。本文深入研究和分析了目前能夠防御SYN FLOOD攻擊的狀態(tài)防火墻模型。并在此基礎(chǔ)上,結(jié)合這些模型的優(yōu)點,設(shè)計并實現(xiàn)了采用哈希查詢和預(yù)處理方式的HAS(Hash-Adaptive threshold-Stateful inspection)防御SYN FLOOD狀態(tài)防火墻模型。此模型具有較好的有效性、實時性、自身安全性和通信穩(wěn)定性。

3、首先,本文介紹了課題研究背景,總結(jié)了防御DOS攻擊的必要性。同時,針對DOS的典型攻擊手段SYN FLOOD,概述國外防御SYN FLOOD攻擊的狀態(tài)防火墻模型的研究現(xiàn)狀。此外,還分析了狀態(tài)防火墻的工作流程和工作機制,闡述SYN FLOOD的攻擊原理,其中,著重探討了Check Point公司防御SYN FLOOD攻擊的狀態(tài)防火墻模型。這些為HAS防御SYN FLOOD狀態(tài)防火墻模型的設(shè)計和實現(xiàn)打下了堅實的理論基礎(chǔ)。其次,本文從功能角度

4、詳細描述了HAS模型各模塊的設(shè)計、具體實現(xiàn)過程和方法,包括具體算法、模塊架構(gòu)、規(guī)則設(shè)定、內(nèi)核修改及所用的Linux狀態(tài)檢測功能等,還附加了主要模塊具體實現(xiàn)代碼。其中模塊的實現(xiàn)是基于Linux 2.6內(nèi)核自帶的Netfilter/ Iptables防火墻構(gòu)架。HAS模型主要包括預(yù)處理模塊、狀態(tài)信息管理模塊和狀態(tài)檢測模塊。預(yù)處理模塊作為處理數(shù)據(jù)的第一道屏障,利用自適應(yīng)閾值算法來檢測是否存在SYN FLOOD攻擊和擬定相應(yīng)的響應(yīng)策略。針對自適

5、應(yīng)閾值算法在低強度攻擊下誤報率高的問題提出了一個簡單的改進機制,確保了模型在高強度攻擊下的有效性。如果存在攻擊,狀態(tài)信息管理模型根據(jù)接收到的控制信息添加阻斷規(guī)則以實現(xiàn)動態(tài)響應(yīng)。優(yōu)化防火墻的數(shù)據(jù)包處理流程,使用哈希查詢的方式來加快規(guī)則查詢的速度。在實現(xiàn)方面,本文利用Iptables對防火墻規(guī)則進行了動態(tài)的配置與管理。通過模塊編程向Netfilter相應(yīng)的鉤子點注冊模塊處理函數(shù),實現(xiàn)預(yù)處理模塊功能,并修改內(nèi)核源代碼以實現(xiàn)對防火墻處理數(shù)據(jù)流程