基于IPv6拒绝服务攻击和改进确定包算法研究

对IPv6下拒绝服务攻击进行了研究,并根据IPv6协议的特点,提出一种基于IPv6的MAC认证改进确定包标记(ADPM-v6)算法。ADPM-v6利用IPv6新特性,即逐跳选项和改进的MAC认证方法,有效解决了受控路由器修改标记的问题,能直接快速地追踪攻击源。同时分析验证了IPv6真实攻击环境的数据包大小分布,使得算法有效且更具有较强的实用性。理论分析和仿真实验结果表明,该算法在IPv6下大大缩短了重构时间,减少了重构计算量和误报率。     

基于IPv6的概率包标记路径溯源方案

针对现有IPv6路由追踪技术匮乏,以及IPv4路由追踪技术不能直接移植到IPv6网络环境中的问题,根据IPv6的自身特点,提出了一种基于概率包标记的IPv6攻击源追踪方案。该方案在原有IPv4概率包标记方法的基础上进行了有效的改进,重新规划标记区域,分别在IPv6的基本报头和扩展报头上划分合适的标识域和信息域,既解决标记空间不足的问题,又能规范标记信息的存放秩序;采用动态标记概率,区分对待未标记数据包和已标记数据包,解决标记信息覆盖问题,同时,优化标记算法,实现IPv6网络环境下路径追踪的快速、准确。理论分析与实验结果表明,该方案能有效追踪攻击源,且效果优于原IPv4追踪技术。     

基于扩展头随机标记的IPv6攻击源追踪方案

针对IPv4网络环境下的随机包标记法不能直接应用于IPv6的问题,依据IPv6自身的特点提出了一种基于扩展报头随机标记的IPv6攻击源追踪方案。对IPv6报头进行分析研究,选取了合适的标记区域及编码格式,对PMTU算法进行了修改以更好地满足追踪的需要,采用攻击树生成算法重构攻击路径。理论分析与仿真实验结果表明,该方案能够有效地重构攻击路径,实现对IPv6攻击源的追踪。     

基于确定线性网络编码的IPv6追踪

针对IPv6的概率包标记(PPM)IP追踪方法的重构路径算法复杂度和误报率过高等不足,提出基于确定线性网络编码的IPv6追踪方法。该方法采用IPv6逐跳选项扩展报头作为标记区域,将确定线性网络编码应用到概率包标记中,同时添加了64bit的攻击路径采样。理论分析和在NS2环境下的仿真实验结果表明,该方法减少了占用的网络带宽和重构路径所需要的数据包数,降低了重构算法复杂度和误报率,提高了标记效率。     

IPv6中拒绝服务攻击的回溯研究

IP回溯技术是一种有效应对拒绝服务攻击的主动防御技术。本文在仔细研究了IPv6协议框架中安全机制的基础上,指出了其易受拒绝服务攻击的脆弱性,并提出了将IPv4中有效的概率包标记算法应用于IPv6中的设计方案。在NS2平台上所做的仿真实验表明该方案是有效可行的。     

基于扩展首部hop-by-hop的IPv6包标记算法研究

针对如何将IPv4环境下的包标记技术应用于IPv6的问题,结合已有的算法思想提出一种改进的算法,该算法采取固定概率将路由信息标记到扩展首部hop-by-hop,隧道模式下节点标记数据包时增加一个复制操作,扩大标记算法的适用范围;利用ESP的加密算法有选择地对标记消息进行加密。实验结果表明,新方案的兼容性和安全性得到了极大的提高。     

非强制性包标记算法

防御分布式拒绝服务(DDoS)攻击是目前最难处理的网络安全问题之一。在众多解决方法中,包标记方法受到了广泛的重视。在这类标记方案中,路径中的路由器根据一定策略标记过往的数据包,从而受害者可以在短时间内对攻击路径进行重构,实现对攻击者的IP回溯。论文提出了一种新的包标记方法,非强制性包标记算法。可以有效地降低重构时间和误报率,减少了网络和路由器标记数据包的负担。     

移动IPv6中的攻击源追踪问题研究*

着重于移动IPv6架构下的攻击源追踪问题研究,给出了IPv6中新的包标记算法和包采样算法,并针对移动环境中不同的攻击模式提出了有针对性的攻击源追踪策略.该方法的结合使用可以有效降低移动IPv6中的攻击源追踪难度.     

一种改进的DDoS攻击综合防御系统*

为了在IPv4网络下进一步提高防御DDoS攻击的实时性,提出DDoS防御系统的构想,将客户端防御系统与自适应包标记有效地结合起来,既可以检测防御DDoS攻击,又可以进行追踪攻击源;同时提出一个新的标记方案,该方案利用了TTL域和改进的自适应包标记的方法。与其他标记方法相比,其具有灵活性好、误报率低、计算量小的优点。经验证该系统用较少的数据包即可重构攻击路径,在最大限度上降低了攻击造成的损失。     

基于自适应包标记的IP回溯

防御分布式拒绝服务攻击是当前网络安全中最难解决的问题之一。在各种解决方法中,自适应概率包标记受到了广泛的重视,因为算法中路径上的每个路由器根据一定策略自适应的概率标记过往的数据包,从而受害者可以用最短的重构时间,对攻击者进行IP回溯,找出攻击路径并发现攻击源。文中提出了一种自适应的标记策略。通过实验验证相比于常用策略,该策略重构路径所需的数据包明显减少,有效地减少了重构计算量和伪证性。     

概率包标记方法中收敛时间的数学模型

本文建立了概率包标记方法中关于收敛时间的数学模型。该模型通过将概率标记方法中攻击路径重构过程表述为一个收敛的随机过程,推导出平均收敛时间与路径长度、标记概率之间的数学定量关系及其概率分布,得出达到最小平均收敛时间需要满足的数学条件。在此基础上,给出两种传统概率包标记方法中收敛时间的改进数学模型。     

基于节点随机采样的AS级IP追踪

建立了PPM算法的通用数学模型,提出了一种新的基于节点采样的IP追踪方案。该方案采用新的标记信息编码机制,解决了传统包标记方案中由于地址分片带来的组合爆炸和误报率高的问题,标记过程以AS路径代替传统的IP路径,使用最优标记策略,使得路径重构过程具有更低的计算复杂性和更短的收敛时间。仿真分析表明,此方案具有应对大规模DDOS攻击源追踪的有效性和实时性。     

基于自治系统与动态概率包标记的DDoS攻击溯源优化方法

针对分布式拒绝服务(DDoS)攻击对于网络的严重威胁问题,提出基于自治系统(AS)与动态概率包标记(DPPM)的DDoS攻击溯源优化方法。在该方法中,设计了一种新的包标记方案,该方案设置两套标记,分别作为域标记和路由标记,用作域间溯源和域内溯源。域标记和路由标记过程同时进行,标记过程采用动态包标记的方法。最后,通过域间和域内的路径重构实现对攻击节点的快速溯源。实验结果表明该算法是高效、可行的,能为DDoS攻击的防范提供重要依据。     

公用IPv6网络承载服务SLA监测研究

分析了NGI中网络承载服务sIA(NSLA)的应用需求,针时NSLA可能的应用场合及IPv6特点定义了适用于NSLA的QoS参数:IP分组传送延迟(IPTD)、IP分组延迟变化(IPDV)、IP分组传送失败率(IPFR)和IP分组吞吐能力(IPTC),其中IPTC能有效刻画公用IP网段集维持业务流量模式的能力.分组识别和时钟同步是IPv6网络NSLA监测的两个关键问题.文中给出了分组识别的解决思路;为降低对同步的要求、支持较低成本的NSLA监测,除IFFD外其余参数均可容忍出入测量点之间存在有限的时钟不同步.此外,综合应用特点、用户感知、IPv6协议等因素,讨论了面向应用NSLA的QoS参数设定.最后设计了一个包括采集器、前端机、分析机、原始数据库和结果库等部件的NSLA监测系统,采用ON-OFF系统抽样方式被动监听自然流量,在各部件的协作下可实现各QoS参数的测量.