TCP宏观平衡性研究

论文摘要

本论文通过对TCP协议交互的过程分析,定义了评价TCP宏观平衡性的测度体系,这些测度集从TCP的连接建立、拆除和数据传输三个过程对TCP的宏观平衡性进行了刻画。通过分析几种典型的TCP宏观异常行为对测度的影响,证明了这些测度可以作为评价TCP宏观行为的有效工具。论文通过对TCP交互的长度分布模型和到达模型等的分析,得到了TCP宏观平衡性在不同时间粒度下的测量误差模型,发现时间粒度的选择与测量误差间近似符合对数线性关系,另外误差模型还与网络里TCP流的RTT分布和流内报文到达延时有关。对误差模型的理论分析、模拟、仿真表明,选择5-10min作为测量的时间粒度对于大多数测量的精度而言是可以接受的。根据上述测量误差模型,选择恰当的时间粒度,以TCP协议标准规定的超时上限作为正常TCP交互的RTT和流内报文到达延时的极限,可以得到各种TCP宏观平衡性测度的正常取值的极限,并以此可确定用于评价TCP宏观平衡性的测度及其正常/异常判断的阈值。论文针对交互的次数一般不大于2的短流情形,例如路由循环发生时TCP的工作状态,基于TCP的大规模扫描,DDoS攻击和蠕虫扩散等,定义了对应的短流模型来确定时间粒度和正常/异常判断的标准。给出的实例分析表明,TCP宏观平衡性能够从TCP连接建立到拆除的各个不同的阶段宏观地评价TCP的工作状态,并能检测TCP宏观异常行为的发生时间。论文通过对hash函数聚类特征的分析,给出了利用hash函数聚类后TCP宏观平衡性,发现对不同的TCP控制报文进行相同的聚类变换后,TCP宏观平衡性保持不变。特别地,在使用Bloom Filter对TCP五元组进行聚类后,不同TCP控制报文在相同hash函数的同一hash串的命中率之间也应该遵循TCP宏观平衡性,此即TCP宏观平衡性的聚类不变性。论文通过对Bloom Filter的误差分析,放宽hash函数对映射均匀性的要求,使得hash函数可以使用任意类型的映射。选择源串的部分比特位作为hash函数的过程让hash函数带有源串的语义特征;这种直接比特映射的hash函数（DBSM）由于其hash串的比特来自于源串的比特,从hash串逆向推导源串的过程很直观。在确定两个由不同hash函数产生的hash串来自于同一个源串后,这两个hash串可以组成更长的hash串,反映了源串更多的信息。利用DBSM在hash串间重复上面的过程,可得到源串的所有比特。

论文目录

• 中文摘要
• 英文摘要
• 第1章 绪论
• 1.1 概述
• 1.2 TCP 宏观平衡性的研究背景
• 1.2.1 TCP 完整性的研究
• 1.2.2 现有TCP 完整性研究的不足
• 1.3 与TCP 宏观平衡性建模相关的背景
• 1.3.1 TCP 行为建模
• 1.3.2 其他关于TCP 的研究
• 1.3.3 网络行为测量研究
• 1.3.4 TCP 宏观异常行为的研究现状
• 1.4 论文的工作
• 1.5 本论文的组织结构
• 第2章 TCP 宏观平衡性的指标体系
• 2.1 TCP 连接的数量约束
• 2.2 TCP 流宏观平衡性系统化的测度定义
• 2.2.1 TCP 流的首报文
• 2.2.2 理想情况下的TCP 宏观平衡性的测度
• 2.2.3 参考报文的时间序列测度模型
• 2.2.4 异常报文的测度模型
• 2.3 异常情况下的TCP 宏观平衡性的补充测度
• 2.4 常见TCP 宏观异常情况对各个测度的影响
• 2.4.1 基于RST 的扫描
• 2.4.2 基于其它TCP 报文的扫描
• 2.4.3 基于TCP 扫描的蠕虫扩散
• 2.4.4 基于SYN 的SYN Flooding DoS/DDoS 攻击：监听端口
• 2.4.5 基于SYN 的SYN Flooding DDoS 攻击：非监听端口
• 2.4.6 基于TCP 多报文的复合DDoS 攻击
• 2.4.7 路由循环对测度的影响
• 2.5 本章小结
• 第3章 时间粒度对TCP 宏观平衡性测量的影响
• 3.1 时间粒度对TCP 宏观平衡性测度的影响
• 3.1.1 短间隔模型
• 3.1.2 长间隔模型
• 3.1.3 精度与响应时间的关系
• 3.2 宏观平衡性测度的可测量性讨论
• 3.2.1 理论模型的仿真分析
• 3.2.2 Trace1：真实流量中的完整TCP 流
• 3.2.3 Trace2：对于流到达模型和长度分布模型的模拟
• 3.3 实际情况下的测度取值
• 3.3.1 正常/异常情况下测度的取值范围
• 3.3.2 临界点取值的计算过程
• 3.4 亚健康状态
• 3.5 本章小结
• 第4章 TCP 流聚类的TCP 宏观平衡性
• 4.1 聚类后的TCP 宏观平衡性
• 4.1.1 聚类的目的
• 4.1.2 使用hash 聚类
• 4.1.3 hash 的聚类过程及其特点
• 4.1.4 TCP 宏观平衡性的聚类特性
• 4.2 Bloom Filter 的误差分析和语义扩展
• 4.2.1 多哈希聚类的背景
• 4.2.2 标准Bloom Filter 的误差
• 4.2.3 非均匀hash 的Bloom Filter 误差
• 4.2.4 Pareto 分布的Bloom Filter 的误差
• 4.2.5 Hash 函数独立性分析
• 4.2.6 hash 函数的独立性对于Bloom Filter 误差的影响
• 4.3 源串的还原和着色过程
• 4.3.1 与聚类还原相关的研究工作
• 4.3.2 商集映射和“可逆”的Bloom Filter
• 4.3.3 还原过程的定义和面临的问题
• 4.3.4 着色过程
• 4.3.5 自然着色过程
• 4.3.6 自然着色过程中的还原
• 4.4 基于Bloom Filter 的自然着色聚类过程
• 4.4.1 对还原效果的仿真分析
• 4.4.2 活跃IP 网段的聚类分析
• 4.4.3 完整TCP 流在Counting Bloom Filter 里的聚类特征
• 4.4.4 DDoS 发生时IP 的聚类特征
• 4.5 本章小结
• 第5章 TCP 宏观平衡性在异常TCP 流识别中的应用
• 5.1 常见TCP 宏观异常的交互次数
• 5.2 TCP 宏观异常检测和阻止：理论
• 5.2.1 通用的算法
• 5.2.2 基于TCP 的DoS/DDoS
• 5.2.3 扫描
• 5.2.4 蠕虫扩散
• 5.2.5 路由循环检测和消除
• 5.3 实践
• 5.3.1 实例1：Caida Backscatter Trace20040256，DDoS
• 5.3.2 实例2：Bell Labs 扫描和DoS
• CLEV，DDoS 和扫描'>5.3.3 实例3：IPLS_CLEV，DDoS 和扫描
• 5.3.4 实例4：WIDE，蠕虫扩散
• 5.4 一个TCP 宏观异常的综合实例分析
• 5.4.1 混合宏观异常的检测
• 5.4.2 聚类信息还原
• 5.4.3 路由循环对TCP 连接的影响
• 5.4.4 路由循环检测
• 5.5 本章小结
• 第6章 总结和展望
• 6.1 本论文的创新点
• 6.1.1 TCP 宏观平衡性测度体系及其测量方法研究
• 6.1.2 扩展Bloom Filter 的应用研究
• 6.1.3 TCP 宏观平衡性的综合应用研究
• 6.2 不足
• 6.2.1 精力限制和实验条件限制
• 6.2.2 理论本身的不足
• 6.3 展望
• 参考文献（Reference）
• 致谢（Acknowledgement）
• 作者简历及攻读博士期间取得的成果 CV & Achievements
• 附录（Appendix）
• A 长间隔模型的精确误差模型
• B 10min 粒度下的TCP 宏观平衡性的定义及其取值范围
• C 表格索引
• D 图索引
• E 公式索引
• F 术语表（按字母和拼音序）