基于網(wǎng)絡(luò)流量相關(guān)性的DDoS攻擊檢測.pdf

1、分布式拒絕服務(wù)攻擊(DDoS)利用現(xiàn)有IPV4網(wǎng)絡(luò)體系下TCP/IP協(xié)議設(shè)計上的漏洞(例如IP地址易于偽造，攻擊源頭追溯困難等)實施攻擊。DDoS攻擊采用分布式攻擊方式使得數(shù)據(jù)流呈無規(guī)律狀態(tài)，而且難于區(qū)分正常連接與惡意請求等特點進一步增加了DDoS攻擊的防范難度。研究表明，除非對整個TCP/IP協(xié)議進行修改，否則在現(xiàn)行的無連接、無狀態(tài)的分組交換網(wǎng)絡(luò)中無法徹底地根除DDoS攻擊。當前只能通過一些宏觀技術(shù)手段來檢測和防御DDoS攻擊，降低攻

2、擊的危害。 本文在系統(tǒng)地介紹了DDoS攻擊的基本原理、攻擊類型和攻擊特點，詳細研究了DDoS攻擊的發(fā)生對于網(wǎng)絡(luò)流量的相關(guān)性的影響后，提出了一種基于網(wǎng)絡(luò)流量相關(guān)性的DDoS攻擊檢測方法，分別對網(wǎng)絡(luò)流量中流量大小和IP地址屬性進行相關(guān)性分析，并通過實驗驗證方法的有效性。 第一類相關(guān)性分析是研究了DDoS攻擊的發(fā)生對網(wǎng)絡(luò)流量的大小值的相關(guān)性(自相似性)的影響，考察了自相似參數(shù)(Hurst指數(shù))的變化規(guī)律，定義了Hurst指數(shù)方

3、差變化率為測度，通過MIT林肯實驗室DARPA數(shù)據(jù)進行大量試驗，確定了DDoS攻擊的判決條件，在此基礎(chǔ)上提出了基于Hurst指數(shù)方差分析方法。實驗結(jié)果表明，該方法能很好地區(qū)分正常流量與引起流量顯著增大的DDoS攻擊流量，但存在誤報率過高的缺點。研究發(fā)現(xiàn)，具有突發(fā)特性的網(wǎng)絡(luò)突發(fā)業(yè)務(wù)流和DDoS攻擊在流量統(tǒng)計上表現(xiàn)出的相似特性會對自相似性檢測造成很大干擾。 第二類相關(guān)性分析研究的是網(wǎng)絡(luò)流量中IP地址的相關(guān)性，定義了IP地址相似度的概