基于移动agent的DDoS攻击协同防范技术研究

分布式拒绝服务攻击（distributed denial—of—service，DDoS）已经对Internet的稳定运行造成了很大的威胁。近两年来，DDoS的攻击方法和工具变得越来越复杂，越来越有效，追踪真正的攻击者电越来越困难。从攻击防范的角度来说现有的技术仍然不足以抵御大规模的攻击。文中通过分析DDoS攻击原理以及DDoS攻击行为，提出了一个基于移动agent的分布式协同入侵检测模型。该模型通过构建本地人侵检测模块和反DDoS实体模块来协同对分布式拒绝访问攻击形成大面积网络预警机制，以达到在陷于大规模分布式拒绝访问攻击时，能够最小化检测和反应时间，并进行自动响应。     

分布式拒绝服务攻击建模与形式化描述

分布式拒绝服务（DDoS）攻击严重威胁网络的安全性。需要有合适的模型来刻画DDoS攻击的行为特征，指导DDoS攻击的分析、检测和防御。使用攻击树对分布式拒绝攻击进行建模，并引入Object_Z语言对具体攻击模式进行了面向对象的形式化描述。分布式拒绝服务攻击的攻击树模型可以刻画出分布式拒绝服务攻击的本质特征，对其具体子类的形式化描述又可以降低构造攻击模型的复杂度，从而易于使用，分析和维护。     

分布式拒绝服务攻击犯罪及其规制路径研究

分布式拒绝服务（DDoS）攻击是一种分布式大规模协同集群型的网络攻击，以高隐蔽性、易操控性和强破坏性著称，被广泛应用于攻击计算机信息系统，其通过消耗网络带宽或系统资源来入侵企业平台，甚至攻击国家网络，对计算机信息系统的安全构成了极大的威胁。DDoS的防护是个系统工程，为合理规制DDoS攻击行为，公安机关在涉DDoS攻击犯罪中，需要加强网站、IDC机房等单位的监管力度，第一时间固定证据，更新专业技术，培养“数据警察”，清朗计算机网络安全环境。     

基于信息熵的多Agent DDoS攻击检测

分布式拒绝服务攻击(DDOS)在短时间内产生大量的数据包,可以迅速耗尽网络或者主机的资源,对Internet的稳定性造成了巨大威胁.文中通过分析DDoS攻击的原理及攻击者的行为方式,划分攻击阶段,提取攻击特征,据此建立多Agent DDoS检测模型并分配各Agent的任务.模型由熵检测算法捕捉网络数据包的异常,再由DDoS的Ontology推断出攻击的具体情况.根据在DARPA 2000入侵检测数据集上的实验结果,模型对DDoS攻击的准备阶段和实施阶段有较高的识别率.     

改进的人工免疫入侵检测模型

针对现有的人工免疫入侵检测系统存在的缺陷,在Hofmeyr的分布式人工免疫系统(ARTIS)基础上,提出了改进的人工免疫入侵检测模型。在改进模型中,用协议分析技术对免疫模块进行协同刺激,以提高记忆检测器和成熟检测器的质量,并降低检测器的规模;通过按协议生成和组织检测器,解决传统人工免疫系统检测效率低下的问题;采用基于权值的r-连续位匹配规则提高抗体和抗原匹配的准确度;同时协同刺激模块也能够在发生风暴型攻击时自动生成动态防火墙过滤规则,以提高在发生大规模攻击情况下的性能。最后,使用MIT Lincoln实验室的DARPA数据集对改进模型和ARTIS模型进行了模拟测试及对比分析,验证了所提模型的可行性和有效性。     

基于集成学习的多类型应用层DDoS攻击检测方法

针对应用层分布式拒绝服务（DDoS）攻击类型多、难以同时检测的问题,提出了一种基于集成学习的应用层DDoS攻击检测方法,用于检测多类型的应用层DDoS攻击。首先,数据集生成模块模拟正常和攻击流量,筛选并提取对应的特征信息,并生成表征挑战黑洞（CC）、HTTP Flood、HTTP Post及HTTP Get攻击的47维特征信息;其次,离线训练模块将处理后的有效特征信息输入集成后的Stacking检测模型进行训练,从而得到可检测多类型应用层DDoS攻击的检测模型;最后,在线检测模块通过在线部署检测模型来判断待检测流量的具体流量类型。实验结果显示,与Bagging、Adaboost和XGBoost构建的分类模型相比,Stacking集成模型在准确率方面分别提高了0.18个百分点、0.21个百分点和0.19个百分点,且在最优时间窗口下的恶意流量检测率达到了98%。验证了所提方法对多类型应用层DDoS攻击检测的有效性。     

基于时间序列分析的应用层DDoS攻击检测

根据正常用户和攻击者在访问行为上的差异,提出一种基于IP请求熵(SRE)时间序列分析的应用层分布式拒绝服务(DDoS)攻击检测方法。该方法通过拟合SRE时间序列的自适应自回归(AAR)模型,获得描述当前用户访问行为特征的多维参数向量,并使用支持向量机(SVM)对参数向量进行分类来识别攻击。仿真实验表明,该方法能够准确区分正常流量和DDoS攻击流量,适用于大流量背景下攻击流量没有引起整个网络流量显著变化的DDoS攻击的检测。     

基于Hadoop架构的混合型DDoS攻击分布式检测系统

混合型DDoS攻击采取多种数据类型相结合的方式,具有穿透力强、难以被精确检测的特点,逐步取代了单一类型的DDoS攻击。文章针对混合型DDoS攻击的检测,设计了基于Hadoop集群的分布式入侵检测架构,并提出了一种利用MapReduce模型的多属性融合检测算法。该算法对传统的仅从IP单一角度进行检测的算法进行改进,能够融合IP、数据帧长度、标志位等多重属性并通过自适应调整阈值实现入侵流量检测。实验结果表明,该系统具有良好的扩展性,通过扩展集群规模与调大HDFS分块可获得更优的检测性能。与传统检测算法相比,在检测时间未明显增加的情况下,该系统可显著提高混合型DDoS攻击的检测率,同时能够确定具体攻击类型。     

应用层DDOS攻击检测技术研究

随着检测底层DDoS攻击的技术不断成熟和完善,应用层DDoS攻击越来越多。由于应用层协议的复杂性,应用层DDoS攻击更具隐蔽性和破坏性,检测难度更大。通过研究正常用户访问的网络流量特征和应用层DDoS攻击的流量特征,采用固定时间窗口内的请求时间间隔以及页面作为特征。通过正常用户和僵尸程序访问表现出不同的特点,对会话进行聚类分析,从而检测出攻击,经过实验,表明本检测算法具有较好的检测性能。     

基于FP-Growth算法的DDoS检测

通过分析分布式拒绝服务(DDoS)攻击的特征,提出了基于数据挖掘技术的网络入侵检测方法来检测DDoS攻击,针对数据挖掘中FP-growth算法不产生候选集的优势,对进行处理及分组后的网络数据进行频繁特征提取,根据DDoS攻击会使网络的流量数据发生变化的特点,来检测是否发生攻击事件.实验结果表明,当发生DDoS攻击后网络数据确实发生了巨大的变化, 通过对网络数据的特征提取,完全可以检测出DDoS攻击的发生.     

Monitoring the macroscopic effect of DDoS flooding attacks

Creating defenses against flooding-based, distributed denial-of-service (DDoS) attacks requires real-time monitoring of network-wide traffic to obtain timely and significant information. Unfortunately, continuously monitoring network-wide traffic for suspicious activities presents difficult challenges because attacks may arise anywhere at any time and because attackers constantly modify attack dynamics to evade detection. In this paper, we propose a method for early attack detection. Using only a few observation points, our proposed method can monitor the macroscopic effect of DDoS flooding attacks. We show that such macroscopic-level monitoring might be used to capture shifts in spatial-temporal traffic patterns caused by various DDoS attacks and then to inform more detailed detection systems about where and when a DDoS attack possibly arises in transit or source networks. We also show that such monitoring enables DDoS attack detection without any traffic observation in the victim network.     

Online betting site beats blackmail DDoS

After enduring relentless distributed denial-of-service (DDoS) attacks from extortionists, the online gambling site, Blue Square, is starting to cut the cords of zombie attack masters.     

一种基于网络对称性的DDOS主动防御算法DSDA

在分析典型的基于流量控制的DDOS防御机制Pushback的基础上,提出了一个源端基于网络流量对称性检测DDOS攻击,结合目标端基于拥塞控制机制的DDOS防御算法DSDA。仿真实验的结果表明,DSDA算法是一种在网络范围较大时具有明显优势的DDOS动态防御算法。     

Tracing DDoS Floods: An Automated Approach

We propose a Controller-Agent model that would greatly minimize distributed denial-of-service (DDoS) attacks on the Internet. We introduce a new packet marking technique and agent design that enables us to identify the approximate source of attack (nearest router) with a single packet even in the case of attacks with spoofed source addresses. Our model is invoked only during attack times, and is able to process the victims traffic separately without disturbing other traffic, it is also able to establish different attack signatures for different attacking sources and can prevent the attack traffic at the nearest router to the attacking system. It is simple in its implementation, it has fast response for any changes in attack traffic pattern, and can be incrementally deployed. Hence we believe that the model proposed in this paper seems to be a promising approach to prevent distributed denial-of-service attacks.     

基于速率限制的源端网络DDoS防御

分布式拒绝服务攻击(DDoS)给Internet网络造成了巨大的威胁。目前已提出的各种防御机制都无法有效解决DDoS攻击报文特征随机变化的问题。文章提出一个从源端网络检测和防御DDoS的机制。该机制结合网路流的对称性和Patricia树的汇聚方法检测DDoS攻击,并利用速率限制方法阻止DDoS攻击。仿真测试表明,该方法的防御效果显著优于被攻击端防御方法,减少DDoS攻击对正常网络流的影响。     

分布式拒绝服务攻击研究综述

分布式拒绝服务攻击(distributed denial-of-service，DDoS)已经对Internet的稳定运行造成了很大的威胁．在典型的DDoS攻击中，攻击者利用大量的傀儡主机向被攻击主机发送大量的无用分组．造成被攻击主机CPU资源或者网络带宽的耗尽．最近两年来．DDoS的攻击方法和工具变得越来越复杂，越来越有效，追踪真正的攻击者也越来越困难．从攻击防范的角度来说，现有的技术仍然不足以抵御大规模的攻击．本文首先描述了不同的DDoS攻击方法，然后对现有的防范技术进行了讨论和评价．然后重点介绍了长期的解决方案-Internet防火墙策略，Internet防火墙策略可以在攻击分组到达被攻击主机之前在Internet核心网络中截取这些攻击分组。     

基于速率限制的源端网络DDoS防御

分布式拒绝服务攻击(DDoS)给Internet网络带来了巨大的威胁,目前已提出的各种防御机制都无法有效解决DDoS攻击报文特征随机变化的问题,本文提出一个从源端网络检测和防御制方法阻止DDoS攻击。仿真测试表明,该方法的防御效果显著优于被攻击端防御方法,减少DDoS攻击对于正常网络流的影响。     

一种DDoS攻击的防御方案

分布式拒绝服务攻击(DDoS)是一种攻击强度大、危害严重的拒绝服务攻击。Internet的无状态特性使得防止DDoS攻击非常困难,尽管在学术界和工业界引起了广泛的重视,但目前仍然没有可行的技术方案来对付DDoS攻击。文章提出了一种在局部范围内消除DDoS攻击的综合方案,它包括入侵检测系统、IP标记、IP包过滤等功能,该方案具有操作简单、路由器负担小、易于部署、响应快等特点。     

D-WARD: a source-end defense against flooding denial-of-service attacks

Defenses against flooding distributed denial-of-service (DDoS) commonly respond to the attack by dropping the excess traffic, thus reducing the overload at the victim. The major challenge is the differentiation of the legitimate from the attack traffic, so that the dropping policies can be selectively applied. We propose D-WARD, a source-end DDoS defense system that achieves autonomous attack detection and surgically accurate response, thanks to its novel traffic profiling techniques, the adaptive response and the source-end deployment. Moderate traffic volumes seen near the sources, even during the attacks, enable extensive statistics gathering and profiling, facilitating high response selectiveness. D-WARD inflicts an extremely low collateral damage to the legitimate traffic, while quickly detecting and severely rate-limiting outgoing attacks. D-WARD has been extensively evaluated in a controlled testbed environment and in real network operation. Results of selected tests are presented in the paper.     

基于API调用管理的SDN应用层DDoS攻击防御机制

软件定义网络(SDN,software defined network)针对北向接口安全研究少,加之缺乏严格的访问控制、身份认证及异常调用检测等机制,导致攻击者有机会开发恶意的应用程序,造成北向应用程序接口(API,application programming interface)的滥用,不利于SDN的全面推广.针对...