东软NetEye电信级万兆DDoS防护方案

很久以来,电信级的DDoS防护一直是电信运营商面对的难题。由于电信的业务特点,电信网络遭受的DDoS攻击流量往往高达数10G。比如中国在2006年破获的最大僵尸网络规模为10万台,每台发出1Mbps流量的话,汇总后的流量高达100G,足以令任何一个运营商的网络服务     

校园网DDoS攻击防御平台建设方案研究

分布式拒绝服务攻击(DDoS)已经成为互联网最大的威胁之一。分析了校园网现状,建立了业务模型,提出了流量清洗设备的功能要求,设计了一种校园网DDoS攻击防御平台的设计方案。并分析了DDOS攻击清洗方案的流量牵引技术、触发技术、流量清洗技术与流量回注技术。     

傲盾最新产品KFW-4000 4G DDoS防火墙功能介绍及产品特点

在中国互联网高速发展的今天,DDoS攻击流量越来越大,危害程度越来约严重,据权威部门完全统计,今年上半年大型流量攻击引发的城市网瘫痪400多次,全国域名服务器大面积瘫痪超过了15次,伴随着DDoS攻击软件的简单化、多样化,对DDoS防火墙的核心效率和应变功能上的要求也越来越高;傲盾公司于年初推出KFW1500,单台防护2G攻击流量,产品推出后一度成为各地IDC运营商的首选产品,为了应对ddos攻击的新特点,傲盾公司投入大量资金和研发资源推出KFW4000 DDoS防火墙。下面介绍KFW4000的产品特点:     

基于流特征相对熵的DDOS攻击检测方法的研究

分布式拒绝服务(DistributedDenialofService,简称DDoS)攻击是互联网的重要威胁之一。笔者通过分析DDoS攻击的原理及其攻击特征,从延长检测响应时间和减少计算复杂度的角度提出了一种DDoS攻击的检测方法。该方法基于DDoS攻击的流量特征,提取有效的流量特征参数,并根据参数变化及时、准确地判断DDoS攻击的发生时间。实验结果证明,该方法能迅速有效地检测到DDoS攻击,并对其他网络安全异常检测具有指导作用。     

ISP运营商开展DDoS攻击防范服务体系结构的构建

本文通过分析分布式拒绝服务（Distributed Denial of Service,DDoS）攻击对ISP运营商客户的影响,及其对ISP运营商开展DDoS攻击防范服务体系结构的讨论,提出了在现有互联网模式的情况下,ISP运营商可通过对其用户提供电信级网络安全服务取得与用户达到双赢的运营模式的可行性建议。     

三网融合下城域网DDoS攻击的监测及防范技术研究

随着三网融合的推进及光接入网的发展,用户接入带宽数量逐步增大,城域网中大流量的DDoS攻击越来越多,监测及防范DDoS攻击对于全业务承载下城域网的安全运行有着重要的意义。文章从运维的角度对运营商城域网中常见的DDoS网络攻击的监测、防范技术进行了探讨,阐述了各种DDoS监测方法及其应用场景,剖析了城域网中各网络层面的DDoS攻击防范部署策略。     

DDoS攻击肆虐,你挺得住吗?

尽管越来越多的企业已经意识到,在进行网络安全规划的时候,针对DDoS攻击威胁的防范措施应该优先考虑,但是依然有很多人错误地认为防火墙和入侵防御系统(IPS)等传统安全工具可以完全应对DDoS攻击。安全专家告诫这部分企业万万不能掉以轻心,完全依靠防火墙和IPS来防范愈演愈烈的DDoS攻击。在过去的2012年,发生了很多起DoS和DDoS攻击事件,Radware紧急响应团队(ERT)于2013年年初发布的一份年度安全报告详细描述了这些攻击事件,并且在报告中指出,在33%的DoS和DDoS攻击事件中:防火墙和IPS设备变成了主要的瓶颈设备。     

DDoS攻击原理及其检测方法探究

DDoS攻击是近年来对Internet具有巨大影响的恶意攻击方式,给互联网业务带来了巨大的损失。文章介绍了DDoS攻击的原理、常见方式,最后提出了DDoS攻击检测的方法。     

基于网络流量的应用层DDoS攻击检测方法研究

根据应用层DDoS攻击和正常网络流量在特征上的不同,提出一种基于流量分析的应用层DDoS攻击检测方法,通过对源IP地址进行分析,能够有效地识别应用层DDoS攻击.同时,针对DDoS攻击流量和突发流量的相似性,在识别DDoS攻击的同时,能够正确区分突发流量,减少误报和漏报.     

DDoS攻击原理及防御方法分析

DDoS(分布式拒绝服务)攻击是目前对互联网的安全稳定性带来较大威胁的攻击形式之一,给各电信运营商、互联网服务商、金融企业等一大批重要的互联网用户带严峻挑战.因此,对其攻击机理以及防御方法的研究近年来引起了人们的普遍关注.为了寻求有效应对DDDS攻击的防御策略,探讨了DDoS攻击的原理、分类,并对目前一些主流的防御方法进行了深入研究,分析和比较了各自所具有的优缺点.提出了采取大范围分布式防御、多技术融合、主动防御的应对方法和建议.     

Distributed Denial of Service Attacks: A Threat or Challenge

In today’s cyber world, the Internet has become a vital resource for providing a plethora of services. Unavailability of these services due to any reason leads to huge financial implications or even consequences on society. Distributed Denial of Service (DDoS) attacks have emerged as one of the most serious threats to the Internet whose aim is to completely deny the availability of different Internet based services to legitimate users. The attackers compromise a large number of Internet enabled devices and gain malicious control over them by exploiting their vulnerabilities. Simplicity of launching, traffic variety, IP spoofing, high volume traffic, involvement of numerous agent machines, and weak spots in Internet topology are important characteristics of DDoS attacks and makes its defense very challenging. This article provides a survey with the enhanced taxonomies of DDoS attacks and defense mechanisms. Additionally, we describe the timeline of DDoS attacks to date and attempt to discuss its impact according to various motivations. We highlighted the general issues, challenges, and current trends of DDoS attack technology. The aim of the article is to provide complete knowledge of DDoS attacks and defense mechanisms to the research community. This will, in turn, help to develop a powerful, effective, and efficient defense mechanism by filling the various research gaps addressed in already proposed defense mechanisms.     

一种用于实时追踪DDoS攻击源的分步算法

鉴于因特网出现了越来越多的DDoS攻击事件，而且这些攻击事件大多数都是利用“地址欺骗（IP Spoofing）”的攻击手段，因此DDoS攻击源追踪问题已成为网络安全研究领域的一个新方向．本文提出了一种分步追踪攻击源的新算法，其核心思想是首先由基于自治域系统（AS）的概率标记算法（ASPPM）将攻击源确定在某些AS中，然后在AS自治域范围内再使用随机数标记算法（RNPM）精确定位攻击源位置．与其它DDoS攻击源追踪算法比较，该分步算法具有收敛速度快、路径计算负荷小以及较低的误报率等特点，非常适合实现对DDoS攻击的实时追踪．     

On the defense of the distributed denial of service attacks: anon-off feedback control approach

Proposes a coordinated defense scheme of distributed denial of service (DDoS) network attacks, based on the backward-propagation, on-off control strategy. When a DDoS attack is in effect, a high concentration of malicious packet streams are routed to the victim in a short time, making it a hot spot. A similar problem has been observed in multiprocessor systems, where a hot spot is formed when a large number of processors access simultaneously shared variables in the same memory module. Despite the similar terminologies used here, solutions for multiprocessor hot spot problems cannot be applied to that in the Internet, because the hot traffic in DDoS may only represent a small fraction of the Internet traffic, and the attack strategies on the Internet are far more sophisticated than that in the multiprocessor systems. The performance impact on the hot spot is related to the total hot packet rate that can be tolerated by the victim. We present a backward pressure propagation, feedback control scheme to defend DDoS attacks. We use a generic network model to analyze the dynamics of network traffic, and develop the algorithms for rate-based and queue-length-based feedback control. We show a simple design to implement our control scheme on a practical switch queue architecture     

分布式拒绝服务攻击防御技术研究

分布式拒绝服务攻击已成为影响Internet的重要攻击手段,总结了近年来检测防御技术的研完成果,对分布式拒绝服务检测防御技术进行了分类,并详细分析了防御技术。对防御分布式拒绝服务攻击提供了很大的参考价值。     

Defending against Distributed Denial of Service Attacks: Issues and Challenges

ABSTRACT

Distributed Denial of Service (DDoS) attacks on user machines, organizations, and infrastructures of the Internet have become highly publicized incidents and call for immediate solution. It is a complex and difficult problem characterized by an explicit attempt of the attackers to prevent access to resources by legitimate users for which they have authorization. Several schemes have been proposed on how to defend against these attacks, yet the problem still lacks a complete solution. The main purpose of this paper is therefore twofold. First is to present a comprehensive study of a wide range of DDoS attacks and defense methods proposed to combat them. This provides better understanding of the problem, current solution space, and future research scope to defend against DDoS attacks. Second is to propose an integrated solution for completely defending against flooding DDoS attacks at the Internet Service Provider (ISP) level.     

基于负载均衡策略的DDoS攻击对策

分布式拒绝服务攻击(Distributed Denial of Service, DDoS)是目前Internet面临的最严峻的威胁之一, 给互联网业务带来了不可估量的损失. 分析了DDoS攻击的特点, 针对企业级系统, 介绍了基于硬件和软件相结合的多重负载均衡策略, 以及其在防范DDoS攻击中的应用. 设计实现了典型应用系统, 针对实际攻击作了性能分析.     

Intrusion Detection Systems of ICMPv6-based DDoS attacks

Neural Computing and Applications - Denial of Service (DoS) and Distributed Denial of Service (DDoS) attacks are thorny and a grave problem of today’s Internet, resulting in economic damages...     

DDoS攻击及主动防御模型研究

DDoS（分布式拒绝服务）攻击正在对整个互联网产生巨大的危害和严重的经济损失,且不断增大。通过介绍DDoS攻击原理和分析DDoS攻击网络的控制机制,提出基于蜜网的防御DDoS攻击方法,鉴于目前大多数DDoS攻击都是黑客利用其控制的僵尸网络发起的,部署了改进版的蜜网,利用蜜罐收集的信息,打人黑客控制的僵尸网络内部,获取重要信息,切断黑客的远程控制机制,从根源上阻止DDoS攻击远程控制网络的形成,以达到主动防御的目的。     

分布式拒绝服务攻击研究综述

分布式拒绝服务攻击(distributed denial-of-service，DDoS)已经对Internet的稳定运行造成了很大的威胁．在典型的DDoS攻击中，攻击者利用大量的傀儡主机向被攻击主机发送大量的无用分组．造成被攻击主机CPU资源或者网络带宽的耗尽．最近两年来．DDoS的攻击方法和工具变得越来越复杂，越来越有效，追踪真正的攻击者也越来越困难．从攻击防范的角度来说，现有的技术仍然不足以抵御大规模的攻击．本文首先描述了不同的DDoS攻击方法，然后对现有的防范技术进行了讨论和评价．然后重点介绍了长期的解决方案-Internet防火墙策略，Internet防火墙策略可以在攻击分组到达被攻击主机之前在Internet核心网络中截取这些攻击分组。     

基于软件定义物联网的分布式拒绝服务攻击检测方法

由于物联网（IoT）设备众多、分布广泛且所处环境复杂,相较于传统网络更容易遭受分布式拒绝服务（DDoS）攻击,针对这一问题提出了一种在软件定义物联网（SD-IoT）架构下基于均分取值区间长度-K均值（ELVR-Kmeans）算法的DDoS攻击检测方法。首先,利用SD-IoT控制器的集中控制特性通过获取OpenFlow交换机的流表,分析SD-IoT环境下DDoS攻击流量的特性,提取出与DDoS攻击相关的七元组特征;然后,使用ELVR-Kmeans算法对所获取的流表进行分类,以检测是否有DDoS攻击发生;最后,搭建仿真实验环境,对该方法的检测率、准确率和错误率进行测试。实验结果表明,该方法能够较好地检测SD-IoT环境中的DDoS攻击,检测率和准确率分别达到96.43%和98.71%,错误率为1.29%。