分布式拒絕服務(wù)攻擊檢測和防御若干技術(shù)問題研究.pdf

1、分布式拒絕服務(wù)攻擊(DDoS)是影響Internet安全的主要威脅之一，DDoS的檢測和防御一直是網(wǎng)絡(luò)安全研究的熱點(diǎn)問題。DDoS檢測和防御系統(tǒng)多存在誤報(bào)率高、執(zhí)行效率低、檢測與防御缺乏聯(lián)動(dòng)性等缺點(diǎn)，因此，消除誤報(bào)、提高執(zhí)行效率、增強(qiáng)檢測和防御過程的聯(lián)動(dòng)性等，一直是研究的重點(diǎn)和難點(diǎn)。此外，以往對(duì)DDoS的研究，大多是為了防止單臺(tái)服務(wù)器或與服務(wù)器相關(guān)的網(wǎng)絡(luò)設(shè)備遭到攻擊，而如今越來越多的網(wǎng)絡(luò)站點(diǎn)基于內(nèi)容分發(fā)網(wǎng)絡(luò)(CDN)，這對(duì)DDoS防御提

2、出了新的要求。
　　本文對(duì)DDoS的檢測和防御問題進(jìn)行了深入的分析和探討，結(jié)合DDoS攻擊的原理和特點(diǎn)，對(duì)DDoS的檢測和防御問題進(jìn)行了系統(tǒng)的分析和歸類，分別指出了各個(gè)環(huán)節(jié)、方法的重點(diǎn)、優(yōu)缺點(diǎn)，總結(jié)了DDoS檢測和防御面臨的挑戰(zhàn)。本文的創(chuàng)新點(diǎn)如下:
　　1)提出一種基于IP流特性的DDoS檢測方法。此方法把IP流統(tǒng)計(jì)屬性應(yīng)用于DDoS檢測，將IP流分為宏觀流和微觀流兩種，有助于解決如何選擇可用于檢測DDoS的統(tǒng)計(jì)屬性的問題;

3、總結(jié)出可用于判定是否存在DDoS攻擊的以下5種特性:數(shù)據(jù)包異常性(PAP)、相異包產(chǎn)生速率(ANPPF)、偽造包存在的可能性(PCF)、攻擊流量激增速率(ODGS)、端口產(chǎn)生速率(PGS);最后，依據(jù)這5種特性，使用神經(jīng)網(wǎng)絡(luò)分類器實(shí)現(xiàn)DDoS的自動(dòng)檢測。本方法對(duì)如何判定DDoS的存在提供了理論分析依據(jù)，是一種有效的DDoS檢測手段。
　　2)在嚴(yán)格過濾DDoS攻擊流量的基礎(chǔ)上，提出了一種基于離群數(shù)據(jù)挖掘的誤過濾消減方法。該方法首先

4、對(duì)疑似攻擊流量進(jìn)行嚴(yán)格過濾，然后利用離群數(shù)據(jù)挖掘算法處理被過濾掉的數(shù)據(jù)集以獲得離群的準(zhǔn)合法數(shù)據(jù)，這些離線生成的準(zhǔn)合法數(shù)據(jù)被用以更新優(yōu)先服務(wù)列表，從而恢復(fù)對(duì)被誤過濾用戶的服務(wù)。實(shí)驗(yàn)表明，本方法在保證服務(wù)器上絕大多數(shù)應(yīng)用正常運(yùn)行的同時(shí)，可使得受攻擊應(yīng)用逐步恢復(fù)對(duì)外服務(wù)。本方法從新的角度出發(fā)降低了誤過濾的影響，是一種新的攻擊防御策略。
　　3)在研究了DDoS檢測和防御的一般過程的基礎(chǔ)上，針對(duì)DDoS檢測和防御程序與其他應(yīng)用共享硬件資源

5、的情況，提出了一個(gè)通用的基于多核的DDoS檢測和防御架構(gòu)(M3D)。在DDoS攻擊發(fā)生時(shí)，M3D會(huì)給DDoS檢測和防御程序分配獨(dú)立的計(jì)算資源，這減輕了執(zhí)行DDoS防御對(duì)其他安全應(yīng)用的影響，從而解決了如何在UTM等在線防御設(shè)備上實(shí)現(xiàn)DDoS防御的難題;通過分析DDoS檢測和防御方法的數(shù)據(jù)處理方式，M3D給出了二者的并行化實(shí)現(xiàn)模式，這一實(shí)現(xiàn)模式可供大部分DDoS檢測和防御方法參考;將M3D架構(gòu)應(yīng)用于基于離群分析的誤過濾消減方法的實(shí)驗(yàn)表明，M

6、3D有效的提升了現(xiàn)有DDoS檢測防御系統(tǒng)的執(zhí)行效率，增強(qiáng)了防御系統(tǒng)實(shí)時(shí)響應(yīng)DDoS攻擊的能力，DDoS檢測和防御工作獨(dú)立運(yùn)行給DDoS防御之外的應(yīng)用提供了更多的運(yùn)行空間。
　　4)對(duì)CDN環(huán)境下的DDoS攻擊進(jìn)行了研究，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)典型的CDN實(shí)驗(yàn)網(wǎng)絡(luò)，并以其為核心構(gòu)建了用以研究CDN環(huán)境下DDoS攻擊的模擬環(huán)境。針對(duì)同一個(gè)CDN服務(wù)提供商，在同一ISP網(wǎng)絡(luò)的多個(gè)緩存服務(wù)器上部署不同網(wǎng)站鏡像的問題，提出了兼顧安全性和負(fù)載均衡性

7、的站點(diǎn)部署算法，并通過實(shí)驗(yàn)證明了算法的有效性。此外，針對(duì)CDN的智能DNS和默認(rèn)服務(wù)器進(jìn)行了單獨(dú)的實(shí)驗(yàn)研究，分析了二者遭到攻擊對(duì)CDN的影響，為CDN自身抗DDoS攻擊提供了新的研究思路。
　　以上研究工作，對(duì)DDoS攻擊檢測和防御研究中的若干技術(shù)問題進(jìn)行了有益的探索，就如何提高現(xiàn)有DDoS檢測和防御方法的能力以及內(nèi)容分發(fā)網(wǎng)絡(luò)抗DDoS等問題進(jìn)行了深入的研究。設(shè)計(jì)了一個(gè)基于多核的通用DDoS檢測和防御架構(gòu)，并將此架構(gòu)應(yīng)用于提出的基