分布式拒絕服務(wù)攻擊檢測和防御若干技術(shù)問題研究.pdf

1、分布式拒絕服務(wù)攻擊(DDoS)是影響Internet安全的主要威脅之一，DDoS的檢測和防御一直是網(wǎng)絡(luò)安全研究的熱點問題。DDoS檢測和防御系統(tǒng)多存在誤報率高、執(zhí)行效率低、檢測與防御缺乏聯(lián)動性等缺點，因此，消除誤報、提高執(zhí)行效率、增強檢測和防御過程的聯(lián)動性等，一直是研究的重點和難點。此外，以往對DDoS的研究，大多是為了防止單臺服務(wù)器或與服務(wù)器相關(guān)的網(wǎng)絡(luò)設(shè)備遭到攻擊，而如今越來越多的網(wǎng)絡(luò)站點基于內(nèi)容分發(fā)網(wǎng)絡(luò)(CDN)，這對DDoS防御提

2、出了新的要求。
　　本文對DDoS的檢測和防御問題進行了深入的分析和探討，結(jié)合DDoS攻擊的原理和特點，對DDoS的檢測和防御問題進行了系統(tǒng)的分析和歸類，分別指出了各個環(huán)節(jié)、方法的重點、優(yōu)缺點，總結(jié)了DDoS檢測和防御面臨的挑戰(zhàn)。本文的創(chuàng)新點如下:
　　1)提出一種基于IP流特性的DDoS檢測方法。此方法把IP流統(tǒng)計屬性應(yīng)用于DDoS檢測，將IP流分為宏觀流和微觀流兩種，有助于解決如何選擇可用于檢測DDoS的統(tǒng)計屬性的問題;

3、總結(jié)出可用于判定是否存在DDoS攻擊的以下5種特性:數(shù)據(jù)包異常性(PAP)、相異包產(chǎn)生速率(ANPPF)、偽造包存在的可能性(PCF)、攻擊流量激增速率(ODGS)、端口產(chǎn)生速率(PGS);最后，依據(jù)這5種特性，使用神經(jīng)網(wǎng)絡(luò)分類器實現(xiàn)DDoS的自動檢測。本方法對如何判定DDoS的存在提供了理論分析依據(jù)，是一種有效的DDoS檢測手段。
　　2)在嚴格過濾DDoS攻擊流量的基礎(chǔ)上，提出了一種基于離群數(shù)據(jù)挖掘的誤過濾消減方法。該方法首先

4、對疑似攻擊流量進行嚴格過濾，然后利用離群數(shù)據(jù)挖掘算法處理被過濾掉的數(shù)據(jù)集以獲得離群的準合法數(shù)據(jù)，這些離線生成的準合法數(shù)據(jù)被用以更新優(yōu)先服務(wù)列表，從而恢復對被誤過濾用戶的服務(wù)。實驗表明，本方法在保證服務(wù)器上絕大多數(shù)應(yīng)用正常運行的同時，可使得受攻擊應(yīng)用逐步恢復對外服務(wù)。本方法從新的角度出發(fā)降低了誤過濾的影響，是一種新的攻擊防御策略。
　　3)在研究了DDoS檢測和防御的一般過程的基礎(chǔ)上，針對DDoS檢測和防御程序與其他應(yīng)用共享硬件資源

5、的情況，提出了一個通用的基于多核的DDoS檢測和防御架構(gòu)(M3D)。在DDoS攻擊發(fā)生時，M3D會給DDoS檢測和防御程序分配獨立的計算資源，這減輕了執(zhí)行DDoS防御對其他安全應(yīng)用的影響，從而解決了如何在UTM等在線防御設(shè)備上實現(xiàn)DDoS防御的難題;通過分析DDoS檢測和防御方法的數(shù)據(jù)處理方式，M3D給出了二者的并行化實現(xiàn)模式，這一實現(xiàn)模式可供大部分DDoS檢測和防御方法參考;將M3D架構(gòu)應(yīng)用于基于離群分析的誤過濾消減方法的實驗表明，M

6、3D有效的提升了現(xiàn)有DDoS檢測防御系統(tǒng)的執(zhí)行效率，增強了防御系統(tǒng)實時響應(yīng)DDoS攻擊的能力，DDoS檢測和防御工作獨立運行給DDoS防御之外的應(yīng)用提供了更多的運行空間。
　　4)對CDN環(huán)境下的DDoS攻擊進行了研究，設(shè)計并實現(xiàn)了一個典型的CDN實驗網(wǎng)絡(luò)，并以其為核心構(gòu)建了用以研究CDN環(huán)境下DDoS攻擊的模擬環(huán)境。針對同一個CDN服務(wù)提供商，在同一ISP網(wǎng)絡(luò)的多個緩存服務(wù)器上部署不同網(wǎng)站鏡像的問題，提出了兼顧安全性和負載均衡性

7、的站點部署算法，并通過實驗證明了算法的有效性。此外，針對CDN的智能DNS和默認服務(wù)器進行了單獨的實驗研究，分析了二者遭到攻擊對CDN的影響，為CDN自身抗DDoS攻擊提供了新的研究思路。
　　以上研究工作，對DDoS攻擊檢測和防御研究中的若干技術(shù)問題進行了有益的探索，就如何提高現(xiàn)有DDoS檢測和防御方法的能力以及內(nèi)容分發(fā)網(wǎng)絡(luò)抗DDoS等問題進行了深入的研究。設(shè)計了一個基于多核的通用DDoS檢測和防御架構(gòu)，并將此架構(gòu)應(yīng)用于提出的基