对拒绝服务攻击的检测方法研究

论文摘要

随着计算机网络和机群合作的发展,拒绝服务（denial-of-service, Dos）攻击逐渐成为网络上最难应对和最普遍的攻击之一:它通过大量的恶意连接,达到耗尽网络或系统资源,使正常服务请求无法得到响应的目的。由于多数的拒绝服务攻击实现机制比较简单,却很难及时被发现,因此对其的研究已经成为入侵检测领域中的一个重点。本文对拒绝服务攻击的特征进行了详细的分析,并调研了现有的检测算法和系统。其中基于异常的检测算法具有明显的优势,它不仅可以发现已知的攻击,而且对未知的攻击方式也具有一定的检测能力。对进一步提到检测效率,这种方法面临着两个难点:一是特征的提取,由于网络数据流的特性,特征空间表现为无组织性,很难将有用的信息从背景噪音中分离出来;二是检测时阈值的设定,过低的阈值会导致将正常网络上的报文误判为攻击,而设置了高的阈值,漏报率则会上升。本文提出了一种新的检测方法。在训练阶段,根据不同协议的特定数据包的到达时间建立统计模型,利用混合高斯分布对正常的网络行为进行描述,避免了特征空间的爆炸。在检测阶段,我们构造一个虚拟的排队服务处理流经网络的数据包,其中的服务时间由训练得到的混合高斯模型推导而出。当模型中队列长度较短时,认为属于正常行为,反之,当队列长度过长时,则可能存在攻击。将无攻击的训练数据输入检测系统,可以自动获得合理的阈值。算法保证只要攻击者试图在短时间内向网络中发出大量数据包就可以被系统检测到,从而发现拒绝服务攻击。我们引入 DARPA 1999 入侵检测评估数据集作为研究和检验的重要手段。通过实验验证了本文的方法对拒绝服务攻击具有很高的检测率,并保持合理的误报数。

论文目录

• 第1章 引言
• 1.1 研究背景
• 1.2 入侵检测基础
• 1.2.1 入侵检测和其发展历程
• 1.2.2 入侵检测系统的组成和结构
• 1.2.3 入侵检测系统的分类
• 1.2.4 检测准确性存在的问题
• 1.3 本文研究的主要内容和贡献
• 1.3.1 研究的主要内容
• 1.3.2 各章内容简介
• 1.3.3 本文的主要贡献
• 第2章 网络入侵分析
• 2.1 拒绝服务攻击概述
• 2.1.1 SYN Flood 攻击（Neptune）
• 2.1.2 Smurf 攻击
• 2.1.3 Mailbomb 攻击
• 2.1.4 Udpstorm 攻击
• 2.1.5 其他常见的拒绝服务攻击
• 2.2 DARPA 入侵检测评估数据集
• 2.2.1 DARPA 模拟环境
• 2.2.2 DARPA 中实现的攻击
• 2.3 本章小节
• 第3章 相关工作
• 3.1 检测Dos 攻击的研究现状
• 3.1.1 面临的关键问题
• 3.1.2 检测方法分类
• 3.2 几种检测/防范Dos 攻击的算法
• 3.2.1 双向流量统计信息
• 3.2.2 规则状态机
• 3.2.3 服务质量参数（Quality of Service, QoS）
• 3.3 本章小节
• 第4章 基于统计方法和排队模型检测 Dos 攻击的算法
• 4.1 本章引论
• 4.2 排队模型概述
• 4.3 流量的统计模型
• 4.3.1 EM 算法计算参数
• 4.3.2 熵理论进行聚类
• 4.4 评估虚拟服务时间
• 4.4.1 过滤噪音
• 4.4.2 定位核函数边界
• 4.4.3 确定模型服务时间
• 4.5 异常检测算法
• 4.6 本章小节
• 第5章 数据采集与攻击检测
• 5.1 数据采集与网络报文解析
• 5.2 DARPA 数据集检测结果
• 第6章 结论及展望
• 6.1 研究总结
• 6.2 进一步的工作
• 参考文献
• 致谢
• 个人简历、 在学期间发表的学术论文与研究成果