基于流量的分布式拒絕服務(wù)攻擊檢測(cè).pdf

1、分布式拒絕服務(wù)攻擊(DDoS)因其分布區(qū)域廣、參與攻擊的機(jī)器多等已成為網(wǎng)絡(luò)安全領(lǐng)域最難解決的問題之一。目前，對(duì)DDoS攻擊的研究主要集中在檢測(cè)領(lǐng)域，而基于流量的攻擊檢測(cè)是其中的重要方向之一。在檢測(cè)DDoS攻擊研究中，還有很多困難和急待解決的問題，主要表現(xiàn)在以下三個(gè)方面：一是正常突發(fā)流量與攻擊異常流量難以區(qū)分，導(dǎo)致檢測(cè)效果不佳的問題；二是偽造攻擊包致使攻擊者難以追蹤的問題。第三，研究檢測(cè)方法的文獻(xiàn)較多，而對(duì)攻擊存在時(shí)，如何保障服務(wù)器正常運(yùn)

2、行等問題研究的較少，動(dòng)態(tài)自適應(yīng)解決方案則更難見到。
　　 本論文主要開展基于流量的攻擊檢測(cè)研究，以致力解決檢測(cè)算法中正常突變流量與異常攻擊流量難以區(qū)分的問題，并同時(shí)開展對(duì)流量自應(yīng)控制的研究，探索自動(dòng)檢測(cè)和自動(dòng)應(yīng)對(duì)DDoS攻擊的方法和途徑。
　　 論文首先介紹了開展DDoS攻擊檢測(cè)的研究背景、分類及其使用的檢測(cè)技術(shù)，為開展攻擊檢測(cè)問題的研究奠定基礎(chǔ)。
　　 為了解決檢測(cè)算法中正常突變流量與攻擊異常流量的區(qū)分問題，減

3、小其對(duì)檢測(cè)算法的干擾，論文對(duì)正常流量的特征開展了分析研究。首先利用概率論理論知識(shí)，給出了網(wǎng)絡(luò)流量的分布，并據(jù)此給出了流量具有的穩(wěn)定性和周期性特征；其次，通過流量不純度分析研究了流量的成份分布，得出流量構(gòu)成相對(duì)穩(wěn)定的結(jié)論。流量具有的這些特征為建立基于流量的攻擊檢測(cè)模型提供了前提條件。另外，論文還根據(jù)流量不純度基本穩(wěn)定的事實(shí)，分析了它與流量自相似特征可能存在的內(nèi)在聯(lián)系。
　　 通過對(duì)正常流量特征的分析研究，本文提出了可用于攻擊檢測(cè)的

4、新測(cè)度。利用流量具有的穩(wěn)定性和周期性特征，對(duì)此測(cè)度進(jìn)行了理論分析，論證了該測(cè)度與流量大小或正常用戶數(shù)量無關(guān)，而與攻擊異常流量有關(guān)，從而較好解決了正常突變流量與攻擊異常流量難以區(qū)分的問題。同時(shí)利用該測(cè)度建立了統(tǒng)計(jì)檢測(cè)模型，給出了攻擊檢測(cè)實(shí)現(xiàn)算法，通過實(shí)際數(shù)據(jù)檢驗(yàn)表明，該算法具有較好的檢測(cè)效果。
　　 為了減小流量中隨機(jī)因素對(duì)檢測(cè)模型的影響，論文將小波技術(shù)引入到檢測(cè)模型中。在檢測(cè)中，通過利用小波變換具有的分解和重構(gòu)功能，將要檢測(cè)的流

5、量數(shù)據(jù)進(jìn)行多層分解，通過對(duì)比分析發(fā)現(xiàn)，中高頻層數(shù)據(jù)更能體現(xiàn)攻擊流量的特征，并據(jù)此找出了有較小干擾、適用于檢測(cè)分析的數(shù)據(jù)層。使用該層數(shù)據(jù)并通過假設(shè)檢驗(yàn)和方差估計(jì)方法，給出了基于小波的攻擊檢測(cè)算法。通過實(shí)際數(shù)據(jù)檢測(cè)表明，該方法有較好的抗干擾性能和良好的識(shí)別率。
　　 在研究檢測(cè)模型的同時(shí)，為了提高算法的實(shí)時(shí)檢測(cè)能力，對(duì)一些重要數(shù)據(jù)的計(jì)算和存儲(chǔ)給出了遞推算法和存放建議。
　　 檢測(cè)攻擊只是預(yù)防攻擊的第一步，要達(dá)到阻止攻擊，并保

6、護(hù)服務(wù)器在受到攻擊時(shí)仍能為合法用戶提供良好服務(wù)，還需要對(duì)檢測(cè)結(jié)果做出響應(yīng)，從而形成即有檢測(cè)又有應(yīng)對(duì)的檢測(cè)防御系統(tǒng)，即建立自適應(yīng)的流量控制系統(tǒng)。本文從自適應(yīng)控制系統(tǒng)的分類入手，提出了可用于流量檢測(cè)和控制的自適應(yīng)控制模型。該模型有兩部分組成，一是檢測(cè)部分，二是控制部分。為達(dá)到自適應(yīng)控制的目的，論文提出一個(gè)可用于自適應(yīng)控制的非線性方程，通過分析此方程的穩(wěn)定性和控制策略，給出了流量自適應(yīng)控制應(yīng)遵循的原則。為了解決路由器處理能力不足，同時(shí)避免受害

7、者在遭受嚴(yán)重攻擊時(shí)難以向上層路由器提出報(bào)警等問題，論文提出增加一個(gè)專用應(yīng)用服務(wù)器的構(gòu)想，從而使控制系統(tǒng)更加健壯。論文基于攻擊者身份難以界定的事實(shí)，通過將用戶分類，并從保護(hù)常用用戶利益的角度出發(fā)，提出了基于非線性方程的自動(dòng)檢測(cè)與控制算法。由于控制算法比較復(fù)雜，論文按照運(yùn)行場(chǎng)所將算法分成三部分，即受害者、應(yīng)用服務(wù)器和路由器上的算法分別論述，并給出了較詳細(xì)的算法實(shí)現(xiàn)流程圖。仿真實(shí)驗(yàn)表明，該算法達(dá)到了設(shè)計(jì)初衷，流量檢測(cè)控制系統(tǒng)具有良好的自適應(yīng)能