一种DDOS攻击复合式检测方法的研究

论文摘要

近年来,分布式拒绝服务攻击(DDoS,Distributed Denial of Service)严重影响着Internet安全,给Internet的应用和发展带来了极大危害。目前,网络流量的自相似性、时间序列分析等已经成为DDoS攻击检测中重要的策略和技术。但是,当这些策略和技术单独使用时,DDoS攻击检测效果并不十分理想。本文在系统地介绍了DDoS攻击的基本原理、攻击类型和攻击特点,详细研究了DDoS攻击的发生对于网络流量的请求包的连接密度和网络流量的重尾特性的影响后,提出了一种DDoS攻击复合式检测方法。首先,用于直观反映网络流异常的单边连接密度(OWCD)概念被引入并用于识别DDOS攻击,同时对正常流流量和攻击流量的OWCD时间序列的进行了分析,揭示了OWCD序列的性质,对正常流量和攻击流量的OWCD时间序列的均值、方差、自相关系数、功率谱密度四个属性进行分析,通过这四个属性值综合对流量异常与否进行判别,这样便可准确判定出稳定的正常流量和泛洪DDoS攻击流量,但还有一部分流有待进一步确定。然后,如果未确定流的四个属性值符合RoQ(Reduce of Quality)攻击特性,网络有可能发生RoQ攻击也有可能是正常的突发流量,因为突发流量OWCD序列的属性特征跟RoQ攻击的相类似,单独应用OWCD序列的属性特征不能区分它们,根据网络流量具有重尾特性,而RoQ攻击流量不能体现网络流量的重尾特性这一性质来对流量进行进一步的研究分析,通过重尾参数的值来判断网络流量是否符合重尾特性,以此来确定网络流量是突发流量还是RoQ攻击流量。最后,为了更好的防御和应对DDoS攻击,通过计算OWCD时间序列的累积欧几里德距离来确定攻击的强度。实验结果表明,运用本文提出的复合式DDoS攻击检测方法进行DDoS攻击检测时能有效地区分出正常流量、DDoS攻击流量与突发业务流量,从而提高了DDOS攻击的检测效率。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景和意义
• 1.2 网络流量分析
• 1.3 DDoS攻击研究现状
• 1.4 论文主要工作及章节安排
• 第二章 DDoS攻击研究与分类
• 2.1 DoS攻击研究
• 2.1.1 DoS攻击产生及发展趋势
• 2.1.2 典型DoS攻击及防御方法研究
• 2.2 DDoS攻击研究
• 2.2.1 DDoS攻击产生及攻击原理
• 2.2.2 DDoS攻击分类
• 2.2.2.1 泛洪DDoS攻击
• 2.2.2.2 低平均速率DDoS攻击
• 2.2.2.3 TCP、UDP和ICMP协议攻击
• 2.2.2.4 路由协议攻击
• 2.2.2.5 IP报文攻击
• 2.3 本章小结
• 第三章 DDoS攻击检测方法研究
• 3.1 泛洪DDoS攻击的检测策略
• 3.1.1 网络流量的自相似性
• 3.1.2 CUSUM算法及非参数CUSUM算法
• 3.1.3 其他方法
• 3.2 RoQ攻击的检测策略
• 3.2.1 随机RTO方法
• 3.2.2 动态时间限制的模式匹配
• 3.2.3 数字信号处理
• 3.3 DDoS攻击复合式检测原理
• 3.4 本章小结
• 第四 章网络流OWCD时间序列的研究
• 4.1 OWCD定义
• 4.2 OWCD时间序列研究
• 4.2.1 正常流的OWCD时间序列分析
• 4.2.2 攻击流的OWCD时间序列分析
• 4.3 基于OWCD序列的DDOS攻击检测
• 4.4 本章小结
• 第五章 突发和攻击流的重尾特性研究
• 5.1 突发业务流的研究
• 5.2 网络流量的重尾分布
• 5.2.1 重尾分布定义
• 5.2.2 重尾参数
• 5.3 利用重尾特性区分突发流与攻击流
• 5.4 本章小结
• 第六章 DDoS攻击复合式检测方法与实验分析
• 6.1 检测方法
• 6.2 累积欧几里德距离计算
• 6.3 实验分析
• 6.3.1 实验数据
• 6.3.2 实验测试
• 6.3.3 计算攻击强度
• 6.3.4 实验结果分析
• 6.4 本章小结
• 第七章 总结与工作展望
• 7.1 总结
• 7.2 工作展望
• 参考文献
• 致谢
• 攻读硕士学位期间发表的论文及科研情况