数据包标记技术综述

拒绝服务攻击（DoS）和分布式拒绝服务攻击（DDoS）一直是网络上使用频率最高的攻击方式。数据包标记技术作为一种重要应对攻击措施,是当前研究的一大热点。本文系统介绍了当前各种IP追踪中的数据包标记技术的研究成果,并对该技术的发展趋势做了简单的分析。     

随机伪造源地址分布式拒绝服务攻击过滤

由于能够有效隐藏攻击者,随机伪造源地址分布式拒绝服务攻击被广泛采用.抵御这种攻击的难点在于无法有效区分合法流量和攻击流量.基于此类攻击发生时攻击包源地址的统计特征,提出了能够有效区分合法流量和攻击流量,并保护合法流量的方法.首先设计了一种用于统计源地址数据包数的高效数据结构Extended Counting Bloom Filter(ECBF),基于此,提出了随机伪造源地址分布式拒绝服务攻击发生时合法地址识别算法.通过优先转发来自合法地址的数据包,实现对合法流量的有效保护.采用真实互联网流量进行模拟,实验结果表明,所提方法能精确识别合法地址,有效地保护合法流量,尤其能够较好地保护有价值的交易会话.所提方法的时间复杂性为O(1),并且只需数兆字节的内存开销,可嵌入边界路由器或网络安全设备,如防火墙中,实现随机伪造源地址分布式拒绝服务攻击的在线过滤.     

一种准确快速定位的节点包标记算法*

目前对于拒绝服务攻击 (DoS)和分布式拒绝服务攻击(DDoS),概率包标记(PPM)和高级包标记方案(AMS)是有效的IP追踪技术,但其存在很大的误报率,不能快速追踪到攻击者。在AMS的基础上改进了包标记方法,合理假设在一个自治系统中,采用节点标记方法,经理论分析能降低误报率;经实验验证用较少的数据包就可以快速准确地定位到攻击者。     

IP返回跟踪DoS攻击的三种数据包标记算法

阐述了一种以数据包标记为基础的IP返回跟踪机制，并根据该机制给出了对付DoS(拒绝服务)攻击的三种数据包标记算法。     

拒绝服务攻击检测与防御研究

本文分析了常见的拒绝服务攻击的检测方法:基于流量的检测、基于源IP地址的检测和基于数据包属性的检测,并讨论了几种检测机制的优缺点.对于拒绝服务攻击的防御,着重分析了基于出口过滤的防御机制、基于数据包危险度的流量控制和IP回溯机制.     

DDoS攻击的IP追踪技术分析与比较研究

IP追踪技术是检测和防御（分布式拒绝服务攻击）的重要手段,它的主要目的是想办法追踪到攻击数据包的源地址,弥补IP协议的不足。成熟的IP追踪技术可以有效抑制DDoS攻击的发生,还可以用于网络故障的诊断,对于减少数据包欺骗、净化互联网的安全环境将有很大的帮助。在引入DDoS攻击和IP追踪技术的概念的基础上,重点对现行IP追踪技术进行了分析,并从管理开销、网络开销、路由器开销、实现难易程度、事后处理能力、和兼容性等六个方面进行了比较研究。     

拒绝服务攻击检测与防御研究

本文分析了常见的拒绝服务攻击的检测方法：基于流量的检测、基于源IP地址的检测和基于数据包属性的检测，并讨论了几种检测机制的优缺点。对于拒绝服务攻击的防御，着重分析了基于出口过滤的防御机制、基于数据包危险度的流量控制和IP回溯机制。     

DOS攻击的逆向路径追踪算法研究

在当前 IP源地址可欺骗的情况下 ,准确、快速追踪攻击源是防范网络攻击尤其是 DOS攻击的关键 .本文给出了逆向路径追踪 DOS攻击的模型和评价指标 ,分析了已有算法的性能 .在此基础上 ,提出一种新的基于消息鉴别码的随机数据包标记算法 MPPM.在该算法中路由器随机标记转发的数据包 ,标记信息包括路由器自身及其下游路由器组成的边标记的分片以及 MAC值 ,DOS攻击的受害者利用 MAC把不同攻击数据包中的边标记分片重组以得到边标记及攻击路径 ,并可鉴别标记的真伪 .分析和模拟结果表明 ,该算法具有线性的计算复杂度 ,追踪速度快 ,误差较小 ,高效可行     

防御DDoS攻击的智能过滤模型

拒绝服务攻击(DoS)和分布式拒绝服务攻击(DDoS)已经成为网络最大的安全威胁之一,如何防御DDoS攻击已经引起了人们的广泛关注,然而关于在DDoS攻击发生时减轻攻击危害的这方面工作却很少。阐述了一种基于IP返回追踪的数据包智能过滤模型,能够在DDoS攻击正在发生时尽可能响应合法用户的请求,提高合法通信的吞吐量。     

一种无日志的快速DDoS攻击路径追踪算法

分布式拒绝服务攻击是目前Internet面临的主要威胁之一.攻击路径追踪技术能够在源地址欺骗的情况下追踪攻击来源,在DDoS攻击的防御中起到非常关键的作用.在各种追踪技术中随机包标记法具有较明显的优势,然而由于较低的标记信息利用率,追踪速度仍然不够快.为了提高追踪速度提出一种无日志的快速攻击路径追踪算法.该算法利用少量路由器存储空间和带内信息传输方式提高标记信息利用率,不仅大大提高了追踪速度,而且避免占用额外的网络带宽.     

一种新的IP追踪的分片标记方法

拒绝服务攻击（DoS）是难以解决的网络安全问题。IP追踪技术是确定DoS攻击源的有效方法。针对用于IP追踪的压缩边分片采样算法（CEFS）存在的不足,提出了新分片标记算法（NFMS）,该算法通过扩大标记空间和采用自适应概率的方法,减少了重构路径所需数据包数,并通过给分片加标注,减少了重构路径的计算量和误报率,并且将点分片（路由器分片）、边分片（该路由器分片与同偏移值的下游相邻路由器分片的异或值）分开存放,可验证重构路径时所得攻击路径中节点的正确性。分析和仿真结果表明NFMS算法的性能较优。     

一种新的DDoS攻击源追踪包标记方法

分布式拒绝服务（DDoS）攻击是目前最难处理的网络难题之一,在提出的多种对策中,通过包标记方法来进行IP跟踪受到广泛重视。提出了一种新的包标记方法（IPPM）,来改进包标记方法需要网络中每个路由器都支持的弱点。通过实验表明,在包标记方法不完整配置的网络中,该方法能有效地重构攻击路径并且误报率很低。     

非强制性包标记算法

防御分布式拒绝服务(DDoS)攻击是目前最难处理的网络安全问题之一。在众多解决方法中,包标记方法受到了广泛的重视。在这类标记方案中,路径中的路由器根据一定策略标记过往的数据包,从而受害者可以在短时间内对攻击路径进行重构,实现对攻击者的IP回溯。论文提出了一种新的包标记方法,非强制性包标记算法。可以有效地降低重构时间和误报率,减少了网络和路由器标记数据包的负担。     

一种针对拒绝服务攻击的IP逆向追踪方案

1 引言拒绝服务攻击(Denial of Service,DoS)是指攻击者有意阻碍合法用户使用某一服务的行为。DoS攻击者可能采取以下三种方式中的一种或多种:a使服务器崩溃;b用大量数据阻塞用户与服务器之间的通讯链路;c用大量请求消耗服务器资源。拒绝服务攻击是Internet上对各商业站点攻击的重要方式。     

On deterministic packet marking

In this article, we present a novel approach to IP Traceback – deterministic packet marking (DPM).¹ DPM is based on marking all packets at ingress interfaces. DPM is scalable, simple to implement, and introduces no bandwidth and practically no processing overhead on the network equipment. It is capable of tracing thousands of simultaneous attackers during a DDoS attack. Given sufficient deployment on the Internet, DPM is capable of tracing back to the slaves responsible for DDoS attacks that involve reflectors. In DPM, most of the processing required for traceback is done at the victim. The traceback process can be performed post-mortem allowing for tracing the attacks that may not have been noticed initially, or the attacks which would deny service to the victim so that traceback is impossible in real time. The involvement of the Internet Service Providers (ISPs) is very limited, and changes to the infrastructure and operation required to deploy DPM are minimal. DPM is capable of performing the traceback without revealing topology of the providers’ network, which is a desirable quality of a traceback method.     

IPv6下基于改进的SPIE源追踪方案

源追踪技术提供对真实攻击来源的有效追踪,有利于实时阻断、隔离DDoS等网络攻击。目前的源追踪方法大多是使用IPv4包头中很少使用的16位标识域保存经过的路由器信息,不适用于IPv6环境。本文提出一种IPv6下基于改进的SPIE源追踪方案。该方法利用路由器,使用Bloom filters数据结构保存转发的数据包的摘要,减少了耗费的存储空间,同时时保护了数据包的机密性;它不但适合DDoS攻击的源追踪,还能进行单个数据包的源追踪。     

自适应包标记的DDoS源IP追踪

目前的IP追踪都是基于反向完整路径追踪,反向完整路径追踪要ISP的配合,而要取得所有的ISP的配合是一件困难的事情。在各种解决方法中,自适应概率包标记受到了广泛的重视。这个算法需要很少的带宽和处理的花费,可以追踪多个DDoS攻击源,而且不需要揭示网络拓扑的内在结构。     

一种新的补偿概率包标记IP追踪方案

防御拒绝服务（DoS）攻击是目前最难解决的网络安全问题之一。概率包标记（PPM）是一种比较有效且实用的解决方法。然而大多数PPM方案都存在最弱链问题,导致了弱收敛性。提出一种新的补偿概率包标记方法,有效地减小了重构路径时的收敛时间以及计算开销,提高了路径重构的效率。     

一种新的确定性包标记IP追踪算法的研究

目前的IP追踪都是基于反向完整路径追踪,反向完整路径追踪需要ISP的配合,而要取得所有的ISP的配合是一件困难的事情,在这这里提出一种新的基于确定性包标记技术的IP追踪算法,这种实现需要很少的带宽和处理的花费,可以追踪由单个数据包产生的DOS攻击,而且不需揭示网络拓扑的内在结构。