DDoS攻击防御技术的研究与实现

论文摘要

分布式拒绝服务攻击（DDoS）被称为“黑客的终极武器”,因为其攻击手法简单而攻击效果好。攻击者通过控制大量的傀儡机同时发送无用数据以消耗受害者的主机和网络资源来达到攻击的目的。而且,攻击者为了逃避入侵检测IDS和防火墙,采用了IP欺骗和仿造合法流量等手段,使得对DDoS的防范显得越来越困难。本文首先介绍了DDoS攻击的原理和现状,以及经典的DDoS工具和相应的防范措施等。重点剖析了基于路由器的DDoS的检测和防御方法。防御方面,着重分析目前的DDoS防御体系结构和PushBack回推机制;检测方面,主要分析基于统计学的检测方法,包括基于熵和基于BloomFilter的检测方法。其次针对单一源端防御、中间网络防御和受害端防御的不足,提出了一种分布式的防御体系DDS（Distributed Defending System）。将功能相同的防御节点多点部署到不同的路由器上,用一个管理节点来实现对整个体系中所有防御节点的统一管理,实现一种分布式协同防御的效果。该防御体系可总结为“全局检测、本地回溯、远端防御”十二个字。这样一是可以绕开受害端的网络瓶颈进行攻击回溯,二是可以将攻击流扼杀在接近源端的地方从而减小攻击流占用网络带宽而对网络造成的危害。然后,通过分析采用IP欺骗技术的DDoS攻击包源信息的突变性质,借鉴并改进HIF（History-based IP Filtering）机制,结合统计学思想,提出一种新的基于源目的聚集检测和识别算法。在检测方面,按一定数量的数据包中新出现的源IP地址的比例值构造序列,采用序列变化点的检测方法检测到攻击发生的时间点。识别方面,根据攻击的目的IP地址都相似甚至相同,采取DBSCAN密度聚类方法,在众多可疑数据包目的地址中找到极大目的地址聚集,该聚集中对应的数据包源地址认为是攻击包的源地址。再将这些攻击数据包的源地址集合再次映射成BloomFilter表,即攻击特征信息表。其他防御节点收到该表后就可以根据源IP地址匹配判断是否有攻击包流过。最后,对该策略进行模块和功能实现,并进行了一定的实验证明其正确性。

论文目录

• 中文摘要
• 英文摘要
• 1 绪论
• 1.1 研究的目的和意义
• 1.2 论文研究的主要内容
• 1.3 文章的组织结构
• 2 DDoS 攻击的现状与防范策略研究
• 2.1 DDoS 攻击概述
• 2.1.1 DDoS 原理及过程
• 2.1.2 DDoS 攻击的分类
• 2.1.3 常用DDoS 攻击工具
• 2.1.4 IP 欺骗
• 2.1.5 DDoS 攻击小结
• 2.2 传统的DDoS 防御策略介绍
• 2.2.1 边界过滤法（Ingress Filtering）
• 2.2.2 丢弃策略（Packet Dropping）
• 2.2.3 SYNCookie 和SYNCache
• 2.2.4 速率控制法（Rate Limiting）
• 2.3 基于路由器的DDoS 防御方法的分析
• 2.3.1 DDoS 防御体系结构分析
• 2.3.2 基于ACC 的PushBack 回推算法
• 2.3.3 对现有防御策略的小结
• 2.4 基于统计学的DDoS 检测方法的分析
• 2.4.1 基于信息熵（Entropy）的检测方法
• 2.4.2 基于IP 地址映射的BloomFilter 检测方法
• 2.4.3 现有检测方法的不足
• 2.5 本章小结
• 3 基于分布式的DDoS 防御体系
• 3.1 DDS 防御体系的的提出
• 3.1.1 设计思想
• 3.1.2 防御目标
• 3.1.3 部署原则
• 3.2 DDS 防御体系的系统结构
• 3.2.1 网络拓扑抽象和部署方案
• 3.2.2 DDS 的逻辑结构
• 3.2.3 DDS 的防御体系结构
• 3.3 DDS 防御体系的设计
• 3.3.1 防御节点
• 3.3.2 拓扑数据库
• 3.3.3 管理节点
• 3.3.4 节点的注册
• 3.3.5 节点间的通信
• 3.4 DDS 防御体系的响应过程
• 3.5 DDS 防御体系的技术分析
• 3.5.1 全局检测
• 3.5.2 本地回溯
• 3.5.3 远端防御
• 3.5.4 响应中过滤
• 3.6 本章小结
• 4 基于源目的聚集的检测和识别算法的设计
• 4.1 攻击发生时源IP 统计性异常现象分析
• 4.2 检测识别算法的基本思想
• 4.3 如何检测源IP 地址数量的突然增多
• 4.3.1 利用改进的BloomFilter 探测新出现的源IP 地址
• 4.3.2 哈希映射函数的设计
• 4.3.3 序列化的检测思想
• 4.3.4 基于序列化的检测算法设计
• 4.3.5 攻击检测及攻击时间点
• 4.3.6 IP 地址数据库（IAD）的维护
• 4.4 识别攻击流的特征
• 4.4.1 反向BloomFilter 识别的思想
• 4.4.2 聚类和聚类分析
• 4.4.3 极大目的地址聚类算法
• 4.4.4 攻击特征信息表及其单位化
• 4.4.5 识别结果的处理
• 4.5 防御节点对特征信息的匹配
• 4.6 本章小结
• 5 系统设计及实验测评
• 5.1 DDS 防御系统的功能设计
• 5.1.1 防御节点的设计
• 5.1.2 管理节点的设计
• 5.2 检测识别机制实验的总体目标
• 5.3 BloomFilter 的性能测试
• 5.3.1 实验设计
• 5.3.2 实验过程及结果
• 5.4 伪IP 淹没攻击实验
• 5.4.1 NS2 简介及仿真步骤
• 5.4.2 建立仿真拓扑结构
• 5.4.3 DDoS 攻击的模拟
• 5.4.4 模拟检测及相关分析
• 5.5 本章小结
• 6 总结和展望
• 6.1 论文主要完成的工作
• 6.2 论文存在的不足之处
• 6.3 下一步要做的工作
• 致谢
• 参考文献
• 附录