分布式拒绝服务攻击中攻击源追踪的研究

论文摘要

分布式拒绝服务（DDoS）攻击是目前Internet面临的主要安全威胁之一。现有的传统防御措施如防火墙、入侵检测系统等只能被动地抵御攻击，防御效果不是很理想。DDoS攻击分布式的特点亟需一个分布式的防御体系。攻击源追踪是一种能够定位攻击来源的新防御技术。它是实现DDoS攻击分布式防御的一个重要环节，也是网络犯罪取证技术发展中的一种关键技术手段。本文围绕分布式拒绝服务攻击中的攻击源追踪问题展开了深入的研究和探讨。通过对各种攻击形式及防御措施的分类，本文剖析了DDoS攻击的原理，指出攻击源追踪技术在DDoS攻击防御中的重要作用和意义，并分析了攻击源追踪所面临的挑战。在对攻击源追踪问题明确定义并介绍追踪技术研究现状的基础上，指出追踪技术的发展目前主要面临的三大问题，包括追踪速度、追踪系统的安全与部署、追踪技术应用三个方面。围绕这三大问题，本文的主要工作和贡献如下。1．追踪速度的提高针对追踪速度问题，相继提出了三种速度更快的追踪算法，包括“自适应边标记算法”，“日志辅助的随机包标记算法”以及“无日志的快速追踪算法”。理论分析和实验结果表明这些算法在追踪速度上都比原来的算法有所提高。（1）基于反向确认的攻击源追踪模型在分析传统的随机包标记算法——高级包标记算法（AMS）的基础上，提出一种基于反向确认的攻击源追踪模型。该模型不再需要AMS过强的假设前提。为了弥补其他自适应算法的不足，提出一种自适应边标记算法。理论分析和实验结果表明该算法不仅收敛时间更短，而且比AMS算法更稳定。（2）基于日志辅助的随机包标记算法进一步的研究表明较低的标记包利用率是制约以往随机包标记法的追踪速度进一步得到提高的主要原因。针对标记包利用率较低的问题，提出基于日志辅助的随机包标记算法——LAPPM算法。该算法不仅通过日志技术提高了标记包利用率，加快了追踪速度，而且日志量比其它日志法小得多。（3）无日志的快速追踪算法为了避免LAPPM算法中日志传输占用额外的网络通信带宽，提出一种无日志的快速追踪（LFIT）算法。该算法不仅保持了与LAPPM算法相当的追踪速度，而且利用带内通信的方式实现标记信息的收集。另外，该算法还通过引入流标签将传统的包追踪转变为对流的追踪。2．追踪系统的安全与部署追踪系统的安全保障与部署问题是阻碍当前攻击源追踪技术实用化和进一步发展的主要因素。针对传统的端追踪方案在这两方面存在的问题，提出一种层次结构的攻击源追踪（HITS）系统。在HITS系统的设计中，通过转换追踪主体，利用服务-消费的利益驱动模式，使追踪过程的各参与方都能从中获益，为追踪系统的部署构建了一个良好的激励机制，为追踪技术走上良性循环的发展道路奠定必要的基础。另外，追踪过程的安全保障一直是一个比较难解决的问题。已有的一些解决方法也只能解决局部安全问题。本文结合HITS系统的结构和运作机制对追踪过程的安全性保障给出了一个全程解决方案，包括HITS子系统域内通信的安全、追踪请求和结果的认证、以及追踪信息（标记信息）的认证等。根据分析可以看出这些安全措施能有效地保证追踪过程的安全性和追踪结论的可信度。HITS系统灵活的安全保障和部署机制为跨域协作追踪提供了基础。3．追踪技术的应用针对目前追踪技术应用研究相对较少的现状，尝试将追踪技术应用于流量限速技术中，提出一种基于IP回溯的限流算法。根据攻击源追踪结果该算法不仅可以使限流措施部署在更恰当的位置，而且可以减少对合法流的误限，从不同程度上提高合法包的存活率。本文还针对目前限流方法普遍存在的一些问题提出一种基于Overlay的分布式限流框架（O2-DN）。通过该框架不仅能保证限流过程的安全和可信，而且也为跨域的分布式限流提供了一个协作的平台。

论文目录

• 目录
• 摘要
• Abstract
• 第一章 绪论
• 1.1 研究背景
• 1.2 研究问题的提出和意义
• 1.3 本文主要工作
• 1.4 论文结构
• 第二章 分布式拒绝服务攻击的原理与对策
• 2.1 引言
• 2.2 DDoS攻击的原理
• 2.2.1 DDoS攻击产生的根源
• 2.2.2 DDoS攻击的一般过程
• 2.3 DDoS攻击的分类
• 2.3.1 DDoS攻击的分类
• 2.3.2 常见的DDoS攻击工具
• 2.4 DDoS攻击的特点和发展趋势
• 2.4.1 DDoS攻击的特点
• 2.4.2 DDoS攻击的发展趋势
• 2.5 现有防御措施
• 2.5.1 防御措施分类
• 2.5.2 防御措施的发展趋势
• 2.6 对攻击源追踪的挑战
• 2.7 小结
• 第三章 DDoS攻击中的攻击源追踪
• 3.1 引言
• 3.2 攻击源追踪问题的定义
• 3.3 相关研究现状
• 3.3.1 手动追踪方法
• 3.3.2 路由器日志法
• 3.3.3 基于ICMP的追踪方法
• 3.3.4 包标记法
• 3.4 各种追踪方法的比较
• 3.4.1 比较标准
• 3.4.2 各种追踪方法的比较
• 3.5 仍然存在的问题
• 3.6 小结
• 第四章 基于反向确认的攻击源追踪模型
• 4.1 引言
• 4.2 基于反向确认的攻击源追踪
• 4.2.1 模型的基本假设与思路
• 4.2.2 标记信息的存放
• 4.2.3 自适应的边标记算法
• 4.2.4 基于反向确认的攻击源追踪
• 4.3 算法性能与安全性分析
• 4.3.1 AEMS算法的收敛性分析
• 4.3.2 确认请求包的量化分析
• 4.3.3 安全性分析
• 4.4 模拟实验
• 4.5 小结
• 第五章 HITS:层次结构的攻击源追踪系统
• 5.1 引言
• 5.2 HITS:层次结构的攻击源追踪系统
• 5.2.1 HITS系统的结构
• 5.2.2 HITS系统部件的功能
• 5.3 HITS系统的运作机制
• 5.3.1 HITS系统的初始化
• 5.3.2 追踪服务申请
• 5.3.3 追踪请求
• 5.3.4 追踪执行与响应
• 5.4 HITS系统的部署
• 5.4.1 基本部署
• 5.4.2 增量式部署
• 5.4.3 部署的激励机制
• 5.5 HITS系统的安全保障
• 5.5.1 域内通信的安全
• 5.5.2 追踪请求和结果的认证
• 5.5.3 标记信息的安全
• 5.6 应用实例
• 5.7 小结
• 第六章 基于日志辅助的随机包标记追踪模型
• 6.1 引言
• 6.2 攻击源追踪系统的结构
• 6.3 基于日志辅助随机包标记法的攻击源追踪
• 6.3.1 标记信息的存放
• 6.3.2 日志辅助的随机包标记算法
• 6.3.3 攻击源追踪过程
• 6.4 算法分析
• 6.4.1 LAPPM算法的收敛性分析
• 6.4.2 日志量分析
• 6.5 模拟实验
• 6.5.1 算法收敛性
• 6.5.2 标记包利用率分析
• 6.5.3 路径长度对收敛性的影响
• 6.6 讨论
• 6.7 小结
• 第七章 无日志的快速攻击源追踪算法
• 7.1 引言
• 7.2 LFIT:无日志的快速攻击源追踪算法
• 7.2.1 基本思想
• 7.2.2 标记信息的存放
• 7.2.3 LFIT:无日志的快速追踪算法
• 7.2.4 攻击源追踪过程
• 7.3 模拟实验
• 7.3.1 算法收敛性
• 7.3.2 队列占用率
• 7.4 讨论
• 7.4.1 路由器开销分析
• 7.4.2 流追踪代替包追踪
• 7.5 小结
• 2-DN:基于overlay的分布式限流系统'>第八章 O²-DN:基于overlay的分布式限流系统
• 8.1 引言
• 8.2 相关研究现状
• 2-DN:基于Overlay的分布式流量限速系统'>8.3 O²-DN:基于Overlay的分布式流量限速系统
• 2-DN的系统结构'>8.3.1 O²-DN的系统结构
• 2-DN的防御过程'>8.3.2 O²-DN的防御过程
• 2-DN的实现'>8.3.3 O²-DN的实现
• 8.4 基于IP回溯的限流算法
• 8.4.1 Max-Min限流算法的局限性分析
• 8.4.2 基于IP回溯的限流算法
• 8.5 模拟实验
• 8.5.1 性能指标
• 8.5.2 实验环境
• 8.5.3 实验结果
• 8.6 讨论
• 8.6.1 追踪技术的影响
• 8.6.2 控制策略与开销
• 8.6.3 其它资源形式的转换
• 8.7 小结
• 第九章 总结与展望
• 1.追踪速度的提高
• 2.追踪系统的安全与部署
• 3.追踪技术的应用
• 参考文献
• 攻读学位期间参与的科研项目及发表论文
• 致谢