分布式拒絕服務攻擊綜合防御體系研究.pdf

1、分布式拒絕服務(Distributed Denial of Service，DDoS)攻擊已經成為當今網絡上廣泛傳播的問題。這種攻擊行為使網站服務器充斥大量要求回復的信息，消耗網絡帶寬和系統(tǒng)資源，導致網絡或系統(tǒng)不勝負荷以至于癱瘓而停止提供正常的網絡服務，造成嚴重損失。在這種背景下，學術界興起了對分布式拒絕服務攻擊防御技術的研究與開發(fā)。 本文主要研究目標是系統(tǒng)、深入的研究現有分布式拒絕服務攻擊行為，分類總結其本質規(guī)律；設計分布式拒

2、絕服務防御體系及其中諸如預防、檢測、追蹤等關鍵機制的邏輯模型和相應算法；通過整合這些邏輯模型實現完整的分布式拒絕服務防御架構，從而更為有效的抑制攻擊；最后，采用先進的協(xié)同技術實現分布式拒絕服務防御體系與其它諸如防火墻、隱患掃描系統(tǒng)和防病毒系統(tǒng)等安全產品的協(xié)同，使其合理地融入到整個信息安全保障體系中。 論文首先討論了現有的分布式拒絕服務攻擊行為分類方法，以此為基礎針對改進的攻擊分類方法，提出了一種基于集合論模型與框架表示法的特征表

3、示與分析方法；在分布式拒絕服務防御體系的研究中，針對現有的防御技術分類方法，設計了一個基于分布式拒絕服務攻擊生命周期的綜合防御體系；在分布式拒絕服務預防技術研究中，提出了一套旨在檢測滲透類型攻擊行為的防御模型，該模型可以通過與隱患掃描系統(tǒng)有效的安全協(xié)同實現分布式拒絕服務攻擊預防。該模型主要包含兩個核心算法，一個是基于特征計算的模式匹配算法，另一個是基于最大熵原理的異常檢測算法。這兩個算法從正反兩個角度出發(fā)，能夠高效、準確實現滲透類型攻擊

4、行為的檢測；在分布式拒絕服務攻擊檢測技術研究中，針對現有研究的不足，提出了一個分布式拒絕服務檢測模型，給出了該檢測模型的兩個核心算法：基于IP流的分布式拒絕服務攻擊檢測算法和基于新IP和HOPCOUNT的分布式拒絕服務攻擊檢測算法，它們分別部署在中間傳輸網絡和被攻擊網絡中，通過協(xié)同有效實現分布式拒絕服務攻擊檢測，與其它檢測算法在檢測延遲、完備性、檢測率與誤警率方面相比，該檢測模型具有較為明顯的優(yōu)勢；在分布式拒絕服務攻擊源追蹤方法研究中，

5、通過對攻擊源追蹤技術大量調研和分析，提出了一種基于概率分組標記的IP源追蹤算法。該算法基于線性代數理論，相比其它算法，無需ISP拓撲信息，既適用于直接攻擊也適用于反射攻擊，在協(xié)議兼容性、收斂性和攻擊拓撲恢復準確性方面表現出了較好的優(yōu)越性；在安全協(xié)同防御模型研究中，提出了基于P2P分布式拒絕服務預防、檢測、追蹤的集成策略和解決方案，構建出一種可部署在中間傳輸網絡和被攻擊網絡中的較為完整的分布式拒絕服務綜合防御架構。最后，通過采納面向服務技