文档介绍：中国科学技术大学
硕士学位论文
DDOS攻击防御系统设计与研究
姓名:徐浩
申请学位级别:硕士
专业:计算机系统结构
指导教师:华蓓
2011-04-20
摘要
DDOS 攻击(Distributed Denial of Service Attack),即分布式拒绝服务攻击,
具有易于发起、难以防范、危害大的特点,一直以来都是互联网上难以治愈的顽
疾。DDOS 攻击除了传统的基于网络层与传输层的形式,近些年又出现了针对应
用层的新型 DDOS 攻击。本文的工作内容是研究如何设计与实现,可以有效挫
败这两类 DDOS 攻击的高性能防御系统。
对于传统的 DDOS 攻击已经有了很多成熟的防御系统。但是随着计算机硬件
和网络带宽的扩展,使得用以发起 DDOS 攻击的僵尸机器有更强的攻击能力,
受攻击的目标网络可能出现的恶意数据洪流也变的更大。这使得现有传统 DDOS
攻击防御系统的性能面临更大的挑战。本文第一项工作便是并行现有的传统
DDOS 防御算法,利用通用多核架构平台实现一个高性能的防御系统。
新型的应用层 DDOS 攻击相对于传统 DDOS 攻击更加难于防范,危害也更
大。本文第二项工作是针对新型应用层 DDOS 攻击,提出了有效的防御方案,
并基于通用多核架构平台高性能地实现该方案。由于这两项工作基于同一个基于
多核的高性能数据包处理平台,使得它们可以在一起工作,构成一个完整的可以
有效挫败这两类 DDOS 攻击的高性能防御系统。
多核时代都已经到来,如何并行现有网络应用程序使得它们在多核架构上可
以获得更高的运行性能以适应激增的网络数据流,是一个很有价值的课题。本文
基于通用多核架构实现了一个高性能的 DDOS 防御系统,在这项工作的基础上
我们希望总结出一套关于以上课题的可行方案。
关键字:分布式拒绝服务攻击; 应用层 DDOS; 多核; 无锁; 并行化
I
Abstract
DDOS attack (Distributed Denial of Service Attack) is a ill on the , which
is easy to launch, difficult to prevent and extremely harmful. DDOS attacks in
addition to the traditional form based work layer and transport layer, in
recent years has emerged a new type of application layer DDOS attacks. This
work study how to design and implement a high-performance defense system,
hich can frustrate these two types of DDOS attacks.
For traditional DDOS attacks, there have had a lot of sophisticated defense
systems. However, puter hardware work bandwidth expansion,
zombie machines used in DDOS attack are more powerful, and the flood of
malicious data that show up at work of DDOS attack will e
greater. This makes the performance of existing legacy DDOS defense systems
face with a new challenge. The first part of our work is parallel the existing
traditional DDOS algorithm and implement a high-performce defense system
based on general multi-core architecture.
Compare to traditional DDOS attack, the new application-layer DDOS attack is
more difficult to prevent and more harmful. The other part of our work is to
propose an effec