抗拒绝服务攻击的主动队列管理算法研究

论文摘要

在近几十年,为了避免网络拥塞和提高TCP协议的性能,人们提出了相当多的主动队列管理（Active Queue Management, AQM）算法,其中就包括随机早期检测（Random Early Detection, RED）算法以及其各种变体。虽然这些主动队列管理算法能适用于多样的网络条件,但是,绝大部分现有主动队列管理算法在设计时都没有考虑到自己应对网络攻击时的鲁棒性。它们对于现今公认的Internet服务最主要威胁之一的拒绝服务（Denial-of-Service, DoS）攻击就存在明显的性能漏洞,特别是对低速率拒绝服务（Low-rate DoS, LDoS）攻击和地址欺骗拒绝服务（Spoofing DoS, SDoS）攻击更存在明显的不足。在这种情况下,本文研究了抗拒绝服务攻击的主动队列管理算法以及相关技术,主要包括低速率拒绝服务攻击检测过滤技术、抗低速率拒绝服务攻击主动队列管理技术和抗地址欺骗拒绝服务攻击主动队列管理技术,最后实现了一个主动队列管理算法抗攻击性能评价平台。本文工作的主要贡献和创新总结如下:（1）深入分析了低速率拒绝服务攻击,提出了一种对分布式低速率拒绝服务（Dsitributed LDoS, DLDoS）攻击进行建模与形式化的方法。并成功运用提出的方法对DLDoS攻击进行了分类,在分类的基础上又对DLDoS攻击未来可能出现的变种进行了预先研究。（2）在对低速率拒绝服务攻击建模和形式化的基础上,提出了拥塞参与度（Congestion Participation Rate, CPR）的概念和与之对应的低速率拒绝服务攻击检测过滤算法。拥塞参与度着重刻画一个数据流对于网络拥塞的参与程度。LDoS攻击数据流由于主动造成网络拥塞,其拥塞参与度就必然会很高。而正常数据流由于TCP协议拥塞控制机制的作用会拥有低的拥塞参与度。本文提出的CPR算法正是基于LDoS攻击数据流和正常数据流在拥塞参与度上的显著不同来检测和过滤LDoS攻击数据流。理论分析和实验结果表明CPR算法能够在低误报率的基础上有效检测大规模DLDoS攻击。（3）考虑到网络处理的实时性要求,提出了可疑攻击数据包（Attack Suspect Packet, ASP）的概念和与之对应的低速率拒绝服务攻击检测过滤算法。到达路由器的数据包可以分为可疑攻击数据包（ASP）和正常数据包两类。如果一个数据流的大部分数据包都是可疑攻击数据包（ASP）它就被检测为LDoS攻击数据流。（4）通过改进随机早检测（Random Early Detection, RED）算法,提出了一个应对低速率拒绝服务攻击的健壮随机早检测（Robust RED, RRED）算法。RRED算法将基于可疑攻击数据包（ASP）的LDoS攻击检测过滤算法集成到RED算法中,并采用布鲁姆过滤器（Bloom Filter, BF）来高效地（高效利用空间）更新和记录数据流的状态信息。实验结果表明RRED算法具有很好的健壮性,它在发生LDoS攻击的情况下仍然能基本上完全保全正常TCP数据流的吞吐率。（5）通过改进随机公平蓝色（Stochastic Fair Blue, SFB）算法,提出了一个抗地址欺骗拒绝服务（SDoS）攻击的弹性随机公平蓝色（Resilient SFB, RSFB）算法。RSFB算法在SFB算法的基础上增加了一个良性数据流队列（Benign Flow Queue, BFQ）来记录良性数据流信息。在SDoS攻击发生时,RSFB算法能根据BFQ中的记录来识别良性数据流并保障它们的通信速率。实验结果表明RSFB算法具有高度的健壮性并且能够在发生SDoS攻击的情况下有效保全TCP数据流的吞吐率。（6）为了深入开展抗攻击主动队列管理算法的研究,本文研制了一个主动队列管理算法抗攻击性能评价平台。该平台包括基于NS2的仿真实验平台和真实网络实验平台两部分。这个评价平台为本文涉及的所有实验与分析工作奠定了基础。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.1.1 拒绝服务攻击是网络安全面临的最主要威胁之一
• 1.1.2 已有主动队列管理算法对拒绝服务攻击存在漏洞
• 1.2 研究现状
• 1.2.1 主动队列管理算法的基本模型
• 1.2.2 低速率拒绝服务攻击检测
• 1.2.3 地址欺骗拒绝服务攻击预防
• 1.2.4 抗拒绝服务攻击的主动队列管理
• 1.2.5 研究现状总结
• 1.3 研究内容
• 1.3.1 低速率拒绝服务攻击检测的研究
• 1.3.2 抗低速率拒绝服务攻击主动队列管理算法的研究
• 1.3.3 抗地址欺骗拒绝服务攻击主动队列管理算法的研究
• 1.3.4 主动队列管理算法抗攻击性能评价平台的研究
• 1.4 研究成果
• 1.5 论文结构
• 第二章 基于拥塞参与度的低速率拒绝服务攻击检测过滤算法
• 2.1 引言
• 2.1.1 TCP 协议超时重传（RTO）机制
• 2.1.2 低速率拒绝服务攻击原理
• 2.2 攻击建模与形式化
• 2.2.1 低速率拒绝服务攻击的建模与形式化
• 2.2.2 分布式低速率拒绝服务攻击的建模与形式化
• 2.3 基于拥塞参与度的攻击检测过滤算法
• 2.3.1 拥塞参与度
• 2.3.2 攻击检测过滤算法
• 2.3.3 算法实现需求
• 2.4 正常流与攻击流拥塞参与度上下界分析
• 2.4.1 正常TCP 数据流的拥塞参与度取值范围
• 2.4.2 低速率拒绝服务攻击数据流的拥塞参与度取值范围
• 2.5 仿真实验结果与分析
• 2.5.1 拥塞参与度的合理性实验
• 2.5.2 引入随机早检测（RED）算法的效果实验
• 2.5.3 三种分布式低速率拒绝服务攻击检测实验
• 2.5.4 以超文本传输协议（HTTP）数据流作为背景流的检测实验
• 2.5.5 接受者操作特性（ROC）评测实验
• 2.6 真实网络上的验证实验和基于Internet 数据集的验证实验
• 2.6.1 真实网络上的验证实验
• 2.6.2 基于Internet 数据集的验证实验
• 2.7 小结
• 第三章 应对低速率拒绝服务攻击的主动队列管理算法
• 3.1 引言
• 3.2 基于可疑攻击数据包的低速率拒绝服务攻击检测过滤算法
• 3.2.1 可疑攻击数据包
• 3.2.2 攻击检测过滤算法
• 3.3 健壮随机早检测主动队列管理算法
• 3.3.1 算法基本思想
• 3.3.2 算法实现
• 3.4 实验结果与分析
• 3.4.1 算法抗攻击性能评价实验
• 3.4.2 算法误报率评价实验
• 3.5 小结
• 第四章 抗地址欺骗拒绝服务攻击的主动队列管理算法
• 4.1 引言
• 4.2 随机公平蓝色（SFB）算法
• 4.3 弹性随机公平蓝色（RSFB）算法
• 4.3.1 算法基本思想
• 4.3.2 算法流程
• 4.4 实验结果与分析
• 4.4.1 算法在单个瓶颈链路下的性能实验
• 4.4.2 算法在多个瓶颈链路下的性能实验
• 4.5 小结
• 第五章 主动队列管理算法抗攻击性能评价平台
• 5.1 平台模块结构设计
• 5.2 基于NS2 的仿真实验平台
• 5.3 真实网络实验平台
• 5.4 实验数据分析展现工具集
• 5.4.1 基于AWK 的实验数据分析工具
• 5.4.2 基于Winpcap 的网络报文标记与分析工具
• 5.4.3 基于Matlab 的分析结果展现工具
• 5.5 小结
• 第六章 结束语
• 6.1 工作总结
• 6.2 工作展望
• 致谢
• 参考文献
• 作者在学期间取得的学术成果