大規(guī)模網(wǎng)絡(luò)資源消耗型攻擊的檢測(cè)和防范方法研究.pdf

1、隨著互聯(lián)網(wǎng)應(yīng)用的深入，人們對(duì)網(wǎng)絡(luò)的依賴(lài)越來(lái)越大，網(wǎng)絡(luò)已經(jīng)徹底改變了人們的生活方式。Internet逐漸成為人們?nèi)粘Ｉ钪胁豢扇鄙俚墓ぞ?。但是隨著互聯(lián)網(wǎng)應(yīng)用的深入，一旦網(wǎng)絡(luò)癱瘓，將會(huì)造成巨大的經(jīng)濟(jì)損失。而互聯(lián)網(wǎng)又是個(gè)一個(gè)巨大的開(kāi)放式系統(tǒng)，它本身在協(xié)議的設(shè)計(jì)和實(shí)現(xiàn)上存在著許多的缺陷，再加上上層應(yīng)用軟件自身漏洞，互聯(lián)網(wǎng)的安全問(wèn)題越來(lái)越成為焦點(diǎn)問(wèn)題。與其它網(wǎng)絡(luò)安全威脅如網(wǎng)絡(luò)入侵、病毒等相比較，網(wǎng)絡(luò)資源消耗型攻擊（AbuseAttack）影響范圍

2、更廣，攻擊速度更快，破壞力更大。根據(jù)網(wǎng)絡(luò)資源消耗型攻擊（AbuseAttack）的目標(biāo)類(lèi)型，可以把網(wǎng)絡(luò)資源消耗型攻擊分成兩大類(lèi)：1）無(wú)目的性的資源消耗型攻擊；此類(lèi)攻擊對(duì)中間路由器的影響大，在本為被稱(chēng)之為I類(lèi)網(wǎng)絡(luò)資源消耗型攻擊。2）有目的性的資源消耗型攻擊，此類(lèi)攻擊主要針對(duì)終端服務(wù)器，在本文被稱(chēng)之為II類(lèi)網(wǎng)絡(luò)資源消耗型攻擊；由于蠕蟲(chóng)是現(xiàn)在I類(lèi)攻擊的典型代表，所以本文針對(duì)這蠕蟲(chóng)攻擊和II類(lèi)網(wǎng)絡(luò)資源消耗型攻擊檢測(cè)和防范技術(shù)做了深入的研究。

3、r>　　為了有效地遏制蠕蟲(chóng)的傳播，防范蠕蟲(chóng)的攻擊，在設(shè)計(jì)有效的蠕蟲(chóng)遏制系統(tǒng)或者算法之前，必須非常清楚的了解蠕蟲(chóng)的攻擊機(jī)理、行為模型和它的傳播方式。只有在充分的了解蠕蟲(chóng)的各項(xiàng)原理之后，才能設(shè)計(jì)一個(gè)有效的遏制和防范系統(tǒng)。并且當(dāng)設(shè)計(jì)一個(gè)蠕蟲(chóng)的遏制和防范系統(tǒng)或者算法的時(shí)候，也只有在了解蠕蟲(chóng)內(nèi)部工作機(jī)理，才能有效地評(píng)估此防范系統(tǒng)或者算法的有效性。所以本文首先分析了蠕蟲(chóng)的工作機(jī)理，針對(duì)不同的掃描方法，描述了它們各自的傳播模型。并且對(duì)蠕蟲(chóng)數(shù)據(jù)流的擁塞

4、控制的非響應(yīng)性以及高帶寬性等特點(diǎn)進(jìn)行了深入研究。分析了在蠕蟲(chóng)爆發(fā)的情況下，網(wǎng)絡(luò)資源分配不公平的問(wèn)題。
　　其次，本文提出了一種基于小波預(yù)處理的蠕蟲(chóng)早期預(yù)警算法。當(dāng)用戶(hù)使用計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)一段時(shí)間以后，各種約束會(huì)讓用戶(hù)產(chǎn)生一定的用戶(hù)習(xí)慣。但是，被感染蠕蟲(chóng)的主機(jī)的用戶(hù)訪(fǎng)問(wèn)習(xí)慣會(huì)被大大的坡壞。所以蠕蟲(chóng)早期預(yù)警算法首先利用基于用戶(hù)訪(fǎng)問(wèn)習(xí)慣來(lái)檢測(cè)網(wǎng)絡(luò)上是否存在異常的主機(jī)。然后蠕蟲(chóng)早期預(yù)警算法利用最小二乘濾波來(lái)驗(yàn)證是否符合的蠕蟲(chóng)傳播模型以此來(lái)

5、判斷是否真的存在蠕蟲(chóng)攻擊。同時(shí)由于一些不確定性的因素影響，主機(jī)異常數(shù)目變換的過(guò)程會(huì)存在著大量的高頻噪聲，如果直接利用最小二乘濾波方法去分析主機(jī)異常數(shù)目的變換過(guò)程，則會(huì)影響早期預(yù)警的時(shí)間。所以，本文利用小波變化對(duì)數(shù)據(jù)進(jìn)行預(yù)處理，濾除掉高頻噪聲，盡可能的保證數(shù)據(jù)的核心信息。
　　再次，根據(jù)蠕蟲(chóng)的攻擊機(jī)理，提出了一個(gè)基于連接度的蠕蟲(chóng)防范方法。該方法首先監(jiān)測(cè)網(wǎng)絡(luò)上的主機(jī)連接度，檢測(cè)網(wǎng)絡(luò)是否有異常的主機(jī)存在。如果有，則認(rèn)為網(wǎng)絡(luò)上有蠕蟲(chóng)存在。

6、遏制算法就會(huì)記錄蠕蟲(chóng)的攻擊狀態(tài)，根據(jù)攻擊狀態(tài)的不同，對(duì)于疑似蠕蟲(chóng)的攻擊數(shù)據(jù)包以概率大小丟棄。由于遏制算法是根據(jù)檢測(cè)結(jié)果自適應(yīng)的調(diào)節(jié)丟包的概率，所以此方法在非常高的誤報(bào)率情況下，仍然保證了對(duì)正常主機(jī)的低的干擾率。最后，實(shí)驗(yàn)結(jié)果證明了該方法能夠有效的遏制蠕蟲(chóng)的傳播。
　　最后，針對(duì)II類(lèi)網(wǎng)絡(luò)資源消耗型攻擊，本文提出了基于差分濾包的的防范方法。通過(guò)將網(wǎng)絡(luò)用戶(hù)分成兩大類(lèi)：1）惡意攻擊用戶(hù)；2）正常服務(wù)索取用戶(hù)。并且對(duì)惡意攻擊用戶(hù)報(bào)文提出了