论文部分内容阅读
拒绝服务攻击(Denial of Service，DoS)以及分布式拒绝服务(DistributedDenial of Service，DDoS)攻击是目前Internet面临的最具威胁性和破坏性的主要攻击形式。攻击来源的追踪查找(IP Traceback)是抵御DDoS攻击的一项主动防范技术，对DDoS攻击数据来源的追踪有助于发现幕后攻击者，并为追究其法律责任提供事实依据。由于攻击者在实施DDoS攻击时大多结合IP地址欺骗技术(IP Spoofing)，甚至动用成千上万的“傀儡”主机，使得对DDoS攻击的追踪成为DDoS防御中一个难以解决的问题。研究人员为此提出过多种方案，但这些方案普遍存在计算负荷重、追踪速度慢和虚报率高等诸多不足。本文作者认为一个良好而实用的IP追踪方案须具备以下特点：(1)快速收敛，加快追踪速度。追踪方案应在受害者收到少量数据包后，就能识别出攻击来源，便于有关方面快速反应。(2)较低的网络带宽和路由开销。追踪方案应给网络带来较少的通讯带宽，给路由器带来极低的计算和存储负荷。(3)标记域安全性考虑。追踪方案应提供防止标记被假冒的安全机制，避免发生标记域欺骗攻击。(4)追踪大规模攻击能力。追踪方案在保持追踪精度的同时，具备应对大规模网络攻击的扩展能力。(5)ISP部署动力。追踪方案应能避免ISP内部敏感信息的泄露，消除ISP的担忧。围绕这五个特点，本文致力于解决IP追踪技术中普遍存在的多个关键问题和难点，其中的主要工作和贡献可归纳为以下四个方面：(1)针对概率数据包标记(PPM)方案收敛速度慢、误报率高等方面的不足，提出了一种基于自治系统(AS)编号的概率数据包追踪方案—ASPPM。该方案以路由器所在AS的AS编号和路由器编号二元组为特征信息来进行非覆盖性的概率标记，利用两个独立的哈希函数对标记信息进行双重验证。改进后的方案在降低虚报率的同时，还优化了路径重构算法。模拟结果和相关计算表明，该方案和传统概率数据包标记技术相比，具有更大的灵活性，并有效地提升了追踪速度。(2)针对确定数据包标记(DPM)方案存在的扩展性较差和边界路由器标记开销大的两大问题，设计了一种基于边界路由器AS编号的确定数据包方案—ASDPM。该方案在充分利用IP包头中闲置空间的同时，采用类似ASPPM方案的标记策略来降低边界路由器标记信息的空间开销。同时引入基于流量动态调整标记的控制机制来降低边界路由器负荷。模拟结果和相关计算表明，ASDPM方案在保持追踪精度和收敛速度的同时，具备应对大规模DDoS攻击的处理能力。(3)结合PPM和DPM两种方案的优点，提出了一种以自治系统为单元的分步追踪方案ASLPM。将攻击源追踪过程分为域内追踪和域间追踪两个过程：在域间追踪时，采用基于节点采样和最优标记的PPM算法，将AS编号和AS级路径长度作为标记信息，利用BGP协议的固有属性确保算法的安全性；在域内追踪时，则采用基于DPM算法的边界路由器标记算法，把单向HMAC函数产生的随机数作为路由器编号进行标记。该方案运用了当前因特网的管理特性，体现了“分而治之”的解决思路。性能分析和模拟结果表明，该方案具有安全性强，追踪速度快和计算负荷低的优点，适用于实时的攻击源追踪。(4)本文所有方案的标记信息采用了随机化处理的编号方式，这种编号方式除了可以缩减攻击源特征信息的标记长度之外，还可以消除ISP内部敏感信息泄露的可能，从而激发ISP等管理机构部署追踪系统积极性。因此本文所提方案具有较高的实用性。