基于数据包标记的拒绝服务攻击防御技术研究

论文摘要

拒绝服务攻击被认为是目前影响网络尤其是因特网安全的主要威胁之一,造成拒绝服务攻击的原因主要是TCP/IP协议设计之初的缺陷和因特网的开放性本质。防御拒绝服务攻击具有重要的技术和社会意义,是较为活跃的研究领域之一。近年来研究者们提出了众多的防御技术方案,尽管各有所长,但仍存在一定不足,尚难以达到有效防御的目的。本文从对数据包进行标记的角度出发,针对在数据包一级实现对攻击路径追溯、攻击包的有效识别和过滤等展开深入研究,分别立足现有因特网和下一代安全因特网架构,提出了多个相应的具体防御技术方案。本文内容分别涉及计算机科学、网络通信、组合数学、密码学等多个技术领域,主要研究工作体现在以下几个方面:1.在深入研究攻击路径追溯技术的基础上,提出了基于冗余分解的确定性数据包标记方案。利用IP数据包首部的有限空间携带目标辖区的边界入口路由器的地址信息,受害主机可从到达的攻击包中提取该信息来重构攻击边界入口。和国际上的同类方案相比,该方案的效率和复杂度性能具有明显优势。在此基础上,本文进一步提出了跨辖区追溯的确定性包标记方案,可以拓展追溯范围到远程的攻击源自治系统辖区和源入口路由器。2.在深入研究基于静态路径标识的攻击包识别和过滤技术的基础上,提出了自适应的最优路径标识方案。路由器根据到达包的TTL值进行推算,生成和插入动态长度的标识,更有效地利用了标记域空间,最大程度降低了攻击者伪造标记域初值对该防御技术的不利影响。和国际上的同类方案相比,对攻击包的识别和过滤效果有显著提高。3.针对记录静态路径信息的标记防御方案需要受害主机参与,无法防御间接泛滥链路攻击的不足,在深入分析攻击流对网络状态影响的基础上,研究了记录网络状态信息以区分攻击包的动态数据包标识技术。具体提出了记录包不对称性的动态状态标记方案,标记和过滤均由路由器完成。和静态数据包标记方案相比,可以更有效地防御间接泛滥链路攻击。4.在下一代安全因特网架构领域,针对有可能被采用的权证技术进行了深入的分析研究。着重针对权证申请环节的安全性缺陷和权证机制对传输效率的影响等方面,提出了有效的改进方案,包括保护权证请求包的通知机制、两级权证、动态的权证分配等。这些改进措施可以有效消除拒绝权证攻击,并减轻权证本身对网络正常数据传输效率的影响。本文旨在推进拒绝服务攻击防御技术领域的研究,着重探索在攻击路径追溯、识别和过滤攻击包等技术环节的新思路,为积极有效地遏制拒绝服务攻击,维护网络安全,促进因特网健康有序地发展作出贡献。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 研究背景
• 1.1.1 网络安全概述
• 1.1.2 拒绝服务攻击简介
• 1.2 研究现状
• 1.3 研究内容和创新
• 1.4 论文结构
• 第2章 DoS攻击防御和数据包标记技术
• 2.1 DoS攻击手段和分析
• 2.2 DoS攻击防御技术分类和评述
• 2.2.1 从攻击可能性分类
• 2.2.2 从改进程度性质分类
• 2.2.3 从防御措施所处的位置分类
• 2.2.4 从防御措施所处的网络层次分类
• 2.2.5 从攻击环节中的不同阶段分类
• 2.3 基于数据包标记的DoS攻击防御技术
• 2.3.1 基于数据包标记的攻击路径追溯技术
• 2.3.2 基于数据包标记的攻击包区分和消除技术
• 2.3.3 下一代安全因特网和权证技术
• 2.4 本章小结
• 第3章 基于数据包标记的攻击路径追溯
• 3.1 引言
• 3.2 基于冗余分解的确定包标记追溯模型DPM-RD
• 3.2.1 DPM-RD理论模型和分析
• 3.2.2 DPM-RD标记操作方案
• 3.2.3 DPM-RD仿真试验和结果分析
• 3.2.4 DPM-RD性能讨论
• 3.3 跨辖区追溯的确定包标记模型ADDPM
• 3.3.1 ADDPM方案的标记模型
• 3.3.2 ADDPM方案的数据包标记过程
• 3.3.3 ADDPM方案的标记变换和还原算法
• 3.3.4 ADDPM方案的数据包限流过滤
• 3.3.5 ADDPM仿真试验和结果
• 3.3.6 ADDPM分析和讨论
• 3.4 本章小结
• 第4章 基于最优路径标识的攻击包识别和过滤
• 4.1 引言
• 4.1.1 已有Pi方案的不足
• 4.1.2 改进方案的设想
• 4.2 自适应的最优路径标识模型OPi
• 4.2.1 OPi方案的基本思想
• 4.2.2 OPi方案的理论模型
• 4.2.3 OPi方案的性能分析
• 4.2.4 OPi方案的安全性分析
• 4.2.5 OPi方案的部署可扩展性分析
• 4.3 OPi方案仿真试验结果和分析
• 4.4 本章小结
• 第5章 基于动态网络状态的攻击包区分和过滤
• 5.1 引言
• 5.2 完全基于路由器的攻击包消除技术
• 5.3 包流量不对称性的数据包标记模型PAPM
• 5.3.1 间接泛滥攻击
• 5.3.2 PAPM方案的基本思想和可用网络状态
• 5.3.3 PAPM方案的网络状态量化和计算机制
• 5.3.4 PAPM方案的标记域设置
• 5.3.5 PAPM方案的操作步骤
• 5.4 PAPM方案仿真试验和讨论分析
• 5.5 本章小结
• 第6章 基于增强权证的无状态过滤
• 6.1 引言
• 6.2 权证技术和TVA
• 6.3 用通知机制保护权证申请
• 6.4 动态的权证分配策略
• 6.4.1 多级的权证
• 6.4.2 有效期和通信量限制的动态策略
• 6.5 ETVA方案的仿真试验和分析
• 6.6 本章小结
• 第7章 总结和展望
• 7.1 工作总结
• 7.2 研究展望
• 参考文献
• 攻读博士学位期间主要的研究成果
• 1 攻读博士期间主持参与的主要科研项目
• 2 攻读博士期间主要论文成果
• 致谢
• 作者简历