基于Bloom Filter的SYN Flood檢測(cè)方法的研究.pdf

1、隨著網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展，網(wǎng)絡(luò)逐漸深入到生活和工作的各個(gè)方面，隨之而來(lái)的網(wǎng)絡(luò)安全問(wèn)題日益嚴(yán)峻。黑客攻擊屢見(jiàn)不鮮，分布式拒絕服務(wù)攻擊DDoS是黑客慣用的一種方便有效的攻擊手段，是互聯(lián)網(wǎng)中最具破壞力的攻擊方式之一。據(jù)統(tǒng)計(jì)，90％以上的DDoS攻擊使用TCP協(xié)議，而其中的SYNFlood正是利用TCP協(xié)議的漏洞對(duì)目標(biāo)服務(wù)器進(jìn)行攻擊，消耗服務(wù)器資源，是最為常見(jiàn)的一種DDoS攻擊方式。因此討論如何有效檢測(cè)出SYNFlood的發(fā)生，降低SYNFloo

2、d攻擊帶來(lái)的破壞，對(duì)保護(hù)互聯(lián)網(wǎng)安全具有現(xiàn)實(shí)意義。
　　 本文首先對(duì)現(xiàn)有的SYNFlood檢測(cè)和防御方法進(jìn)行深入研究，并對(duì)攻擊原理進(jìn)行分析。通過(guò)分析得知，網(wǎng)絡(luò)擁塞和SYNFlood攻擊發(fā)生時(shí)最主要的區(qū)別就是源ip地址是否曾經(jīng)出現(xiàn)過(guò)，并結(jié)合當(dāng)前攻擊包的特點(diǎn)，提出了基于BloomFilter的SYNFlood檢測(cè)方法。
　　 本文主要使用兩個(gè)結(jié)構(gòu)完全一致的計(jì)數(shù)式Bloom Filter數(shù)據(jù)結(jié)構(gòu)，分別統(tǒng)計(jì)進(jìn)入網(wǎng)絡(luò)端口的偽造源ip

3、地址出現(xiàn)的總次數(shù)，以及已成功建立TCP連接的真實(shí)源ip的歷史信息，因此能很好的區(qū)分網(wǎng)絡(luò)擁塞和攻擊流量。首先通過(guò)基于BloomFilter的信息提取算法得到初始統(tǒng)計(jì)序列；經(jīng)由平滑處理之后結(jié)合自適應(yīng)的偏移常數(shù)，獲得合法的統(tǒng)計(jì)序列作為非參數(shù)CUSUM的輸入；由非參數(shù)CUSUM算法判斷輸入的統(tǒng)計(jì)序列是否保持一致，而CUSUM判斷閾值是根據(jù)網(wǎng)絡(luò)正常流量自適應(yīng)的變化，這樣能更好的減少漏判和誤判發(fā)生的概率，提高檢測(cè)效率；MULTOPS能在發(fā)現(xiàn)攻擊的同