文档介绍：湖南大学
硕士学位论文
DDoS攻击的源追踪与源端快速检测方法研究
姓名:占勇军
申请学位级别:硕士
专业:计算机应用技术
指导教师:谢冬青
20070319
硕士学位论文
摘要
由于网络协议的安全缺陷,网络上存在多种攻击,其中 DDoS 攻击以其攻击
操作简单、隐蔽性强、攻击危害大的特点成为最常用的攻击技术之一。DDoS 攻
击通过多个攻击跳板同时向目标主机发起攻击,耗尽目标主机的资源,使其无法
向合法用户提供服务。这种攻击极大地影响了网络和业务主机系统的有效服务,
对网络安全和信息可用性造成了严重的威胁。针对这种攻击已有的应对策略从攻
击源追踪、攻击检测防御两个角度提出解决方案。
源追踪技术提供对真实攻击来源的有效追踪,有利于实时阻断、隔离 DDoS
等网络攻击。本文提出一种 IPv6 下使用改进的源路径隔离引擎进行源追踪的方
案,该方法基于 IPv6 包的不变字段进行哈希计算,在路由器上使用 Bloom filters
数据结构保存转发的数据包的摘要,这样既减少耗费的存储空间又保护了数据的
机密性;在 IPv6 下追踪方案的基础上,结合 IPv4 下基于哈希的追踪方案,提出
一种在 IPv4/IPv6 过渡期的源追踪方法。该方法不但适合 DDoS 攻击的源追踪,
还能进行单个数据包的源追踪。
DDoS 攻击防御一般在受害者端部署,但是检测到攻击后过滤攻击流的同时
会影响正常服务;在源端易阻断攻击,但源端攻击流数量相对较少,这给攻击检
测带来了困难。本文提出一种 DDoS 攻击源端快速检测方法,以 TCP 握手协议
SYN 包与其对应的 SYN/ACK 包个数的差值作为检测因素,将攻击点的个数加入
到检测方法中以缩短检测延迟,采用改进后的累加和方法积累连续攻击的效果以
减小检测的误警率。实验结果表明,与已有的源端检测方法相比,我们的方法产
生很小的误警率,并且检测延迟较短。

关键词:DDoS;源追踪;攻击检测;累加和
I
DDoS 攻击的源追踪与源端快速检测方法研究
Abstract
Due to the deficiency work protocol, there are a lot of attacks work,
among which DDoS attack has e one of the work attack
technology because of its simplicity, strong concealment, and powerful destruction.
DDoS attackers launched attacks from several sources that had already been
rated. The attack streams exhausted the resource of the victim and rendered it
unavailable to legitimate clients. This kind of attack has badly affected the effective
service work and host system. They threated the security work and the
usability of information very much. Directing at this attack, the existed
countermeasure strategies have proposed solutions from the angles of IP Traceback
and defense against DDoS attacks.
IP Traceback technologies can effectively trace the locations of the real attack
source, and then they can interdict on-going attacks and insulate DDoS attacks in
networks. This paper presents an IP Traceback scheme based on improved SPIE in
IPv6. The method sets the invariant field of IPv6 packets as the input of hash function
and uses Bloom filters