基于流量控制及流重組技術(shù)的應(yīng)用層DDoS攻擊的檢測與防御.pdf

1、隨著互聯(lián)網(wǎng)的迅猛發(fā)展，大規(guī)模網(wǎng)絡(luò)入侵正在以前所未有的態(tài)勢威脅著整個網(wǎng)絡(luò)安全。在所有的網(wǎng)絡(luò)攻擊中，分布式拒絕服務(wù)（DDoS）攻擊由于其潛在的破壞性強，而且難于防止和追查，成為一種常見的攻擊方式。傳統(tǒng)DDoS攻擊是利用低層協(xié)議（TCP層或IP層）的漏洞，使傀儡主機向目標主機發(fā)送大量無用分組或建立半開放TCP連接，造成目標主機CPU資源或者網(wǎng)絡(luò)帶寬的耗盡，典型的攻擊有SYN/ACK Flooding（泛洪）、UDP Flooding、ICMP

2、 Flooding。由于DDoS攻擊的嚴重性，研究人員提出了多種防御方案，如：利用概率包標記（probabilisticpacketmarking，PPM）來進行攻擊源追蹤[1]和用統(tǒng)計方法來防御網(wǎng)絡(luò)層DDoS攻擊[2-3]。然而，從近幾年來看，隨著網(wǎng)絡(luò)協(xié)議棧低層防御技術(shù)的不斷完善，網(wǎng)絡(luò)攻擊不再局限于協(xié)議棧低層，出現(xiàn)了向高層發(fā)展的趨勢。使用高層協(xié)議進行的攻擊我們稱之為應(yīng)用層攻擊。此攻擊的特點是利用高層的應(yīng)用層協(xié)議的協(xié)議特點針對特定服務(wù)展

3、開攻擊，例如針對TCP/IP協(xié)議創(chuàng)建連接而不會主動斷開連接的特點進行的Connection Flood攻擊，針對DNS協(xié)議本身的缺陷，攻擊者慣用的DNS Flood攻擊，以及以消耗Http服務(wù)器資源為目的的Http Get攻擊。 本文根據(jù)當前應(yīng)用層攻擊的特點提出了針對兩種應(yīng)用層攻擊的檢測手段和防御方法，其分別為：基于統(tǒng)計分析和流量控制的DNS Flood拒絕服務(wù)攻擊檢測和防御及基于流重組和重定向技術(shù)的Http Get Flood

4、拒絕服務(wù)攻擊檢測和防御。 本文所提出的針對DNS Flood的檢測防御方式，其優(yōu)勢在于：一，檢測部分使用數(shù)據(jù)挖掘的方式，針對最近一段時間的數(shù)據(jù)流量，統(tǒng)計得出流量的特征，特征數(shù)據(jù)會隨攻擊發(fā)生的情況而改變，更具有針對性，使得防御效率更高；二，過濾部分具有路由功能，將客戶端發(fā)往DNS服務(wù)器的流量分流到過濾器，實現(xiàn)定向分流，有效避免單點阻塞，增加系統(tǒng)的抗攻擊能力；三，整個防御體系結(jié)構(gòu)清晰明了，使用靈活，便于實現(xiàn)；四，通過限制攻擊地址進行