基于网络连接特征的DDoS检测系统的研究与实现

论文摘要

分布式拒绝服务(Distributed Denial of Service,DDoS)是由拒绝服务(Denial of Service,DoS)发展而来的一种攻击手段,通过耗尽网络和服务资源的方式,达到阻碍正常用户使用服务的目的。DDoS攻击具有突发流量大、攻击强度高、持续时间短等特点,这些特点要求检测方法能快速有效地检测出攻击,然而传统的入侵检测技术面对DDoS攻击显得无能为力。本文旨在寻求一种快速、高效的检测方法,以最大限度保护网络和服务器安全。首先,本文从网络传输数据包的角度出发,分析网络在遭受DDoS攻击时数据包与网络连接之间的关系。当发生DDoS攻击时,被攻击网络中存在大量与服务器无法建立正常通信的数据包——单边连接包,单边连接密度能直观地体现当前网络中单边连接包的量。论文采用更新丢弃法计算单边连接密度,提高了计算实时性,为降低检测时间奠定了基础。其次,采用非参数CUSUM算法提高检测准确性,同时改进了用于产生负均值序列的偏移参数设置方法,使该参数能随着单边连接密度序列均值的变化而自动设置,增强了非参数CUSUM算法的自适应性。在报警响应部分中,一是引入报警可信度评估,实时地评估报警可信度以供管理员参考;二是增加报警监控,根据原始单边连接密度序列值的变化决定何时解除报警,实现了减少报警资源,反馈攻击抑制的效果。最后,设计了检测系统构架,详细分析了各个模块的功能和实现技术。在Linux环境下实现该检测系统,并用实验数据验证了检测特征和检测算法的有效性,达到了实时在线检测的目标。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 研究背景和意义
• 1.2 研究现状
• 1.3 论文主要工作
• 1.4 论文组织结构
• 第二章 DDoS 攻防概述
• 2.1 DDoS 攻击
• 2.1.1 攻击原理
• 2.1.2 攻击工具
• 2.1.3 盛行原因
• 2.1.4 常见DDoS 攻击分类
• 2.1.5 发展趋势
• 2.2 DDoS 防御策略
• 2.2.1 采用防御设备
• 2.2.2 系统升级
• 2.2.3 部署方式
• 2.2.4 防御结构
• 2.3 本章小结
• 第三章 DDoS 攻击检测策略研究
• 3.1 DDoS 攻击检测面临的挑战
• 3.2 DDoS 攻击特征研究
• 3.2.1 网络流量统计特征
• 3.2.2 网络流自相似性
• 3.2.3 网络数据包特征
• 3.2.4 检测特征定义
• 3.2.5 可行性分析
• 3.3 DDoS 攻击检测算法及策略
• 3.3.1 单边连接密度计算方法
• 3.3.2 基本CUSUM 算法
• 3.3.3 非参数 CUSUM 算法
• 3.3.4 非参数CUSUM 算法自适应处理
• 3.4 本章小结
• 第四章 检测系统设计与实现
• 4.1 系统结构设计
• 4.2 原始数据处理设计与实现
• 4.2.1 数据包捕获
• 4.2.2 协议分析
• 4.3 检测算法处理
• 4.3.1 单边连接密度计算
• 4.3.2 非参数 CUSUM 算法模块
• 4.3.3 报警可信度评估
• 4.3.4 报警状态监控
• 4.4 本章小结
• 第五章 系统测试与结果分析
• 5.1 数据集回放仿真实验
• 5.1.1 数据集
• 5.1.2 实验结果分析
• 5.2 攻击检测试验
• 5.2.1 实验环境
• 5.2.2 实验结果分析
• 5.3 本章小结
• 第六章 总结与展望
• 6.1 总结
• 6.2 展望
• 参考文献
• 致谢
• 硕士期间完成的科研成果与发表的学术论文