DDoS攻击的技术分析与防御策略

系统地分析分析了DDoS攻击的实现原理,列举了发动DDoS攻击的常用工具,针对攻击产生的机理,提出了详细可行的DDoS攻击防御策略.最后给出市场上典型DDoS攻击检测与响应系统的主要性能和防御DDoS攻击的研究方向.     

北京电信拓展服务新边界开辟网络安全"蓝海"市场

目前,运营商的大客户收入几乎占到了总收入的80%,因此,如何吸引和留住大客户成为当前运营商研究的主要课题。银行、证券公司、门户网站等企业作为运营商的主要大客户,随着对外交易的信息化程度日益提高,对数据信息的安全性要求越来越高。北京电信本着“全力提升客户价值”的大客户服务理念,通过深入研究大客户的网络安全需求,敏锐地洞察到网络安全服务将是一片广阔的、潜力巨大的“蓝海”市场,特别组织了精英团队,创新推出了防火墙服务、入侵检测、防DDoS攻击、流量监控、网络安全评估、网络安全优化、紧急响应、数据存储、数据备份/恢复…     

挥之不去的梦魇——DDoS攻击

DDoS攻击并非是一个薪名词,分布式拒绝服务攻击（Distributed Denial of Service）借助于客户／服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动攻击,从而成倍地提高拒绝服务攻击的威力。用大量合法的请求占用大量网络资源达到瘫痪网络的目的,这在安全领域曾经引起了不小的波澜,只是近几年,DDoS攻击从未消失,人们的关注度也开始渐渐淡去。然而,今年DDoS攻击再度成为安全领域的热点话题,从未消失的DDoS卷起了更大的波浪。     

一种基于Flow-Spec的网络异常流量防护策略

互联网应用在日益发展的同时也带来了安全性问题,网络攻击的多样性与危害性不断升级,尤以DDoS为甚,这些攻击直接劣化了网络性能、业务可用性和服务质量,对ISP、ICP、客户都造成了极大影响。从目前DDoS攻击防御的经验来看,通过在运营商网络中部署防御策略,尽量从网络源头切断攻击流量,其效果是比较有效的。文章提出了利用Flow-Spec技术实现DDoS攻击防御,并分析了该方案的原理特点及部署方式,与现有方式相比,该方案比黑洞方式更为合理有效,比流量清洗方式更为简单而易于实现。     

北京电信拓展服务新边界开辟网络安全“蓝海”市场

目前，运营商的大客户收入几乎占到了总收入的80％，因此，如何吸引和留住大客户成为当前运营商研究的主要课题。银行、证券公司、门户网站等企业作为运营商的主要大客户，随着对外交易的信息化程度日益提高，对数据信息的安全性要求越来越高。北京电信本着“全力提升客户价值”的大客户服务理念，通过深入研究大客户的网络安全需求，敏锐地洞察到网络安全服务将是一片广阔的、潜力巨大的“蓝海”市场，特别组织了精英团队，创新推出了防火墙服务、入侵检测、防DDoS攻击、流量监控、网络安全评估、网络安全优化、紧急响应、数据存储、数据备份／恢复九项服务措施。     

基于隐马尔可夫模型的医院通信网络DDoS攻击检测方法

常规的医院通信网络DDoS攻击检测矩阵结构一般设定为独立形式,致使攻击检测范围的扩大受到限制,进而一定程度上导致DDoS攻击检测召回率下降。针对上述问题,文章提出了一种基于隐马尔可夫模型的医院通信网络DDoS攻击检测方法。该方法根据当前的测定需求及标准对DDoS攻击进行特征提取,采用多目标的方式设计检测矩阵,解析DDoS攻击方向具体位置以及攻击的范围。在此基础上,构建隐马尔可夫医院通信网络DDoS攻击检测模型,采用多元识别+组合处理的方式来实现DDoS攻击的检测目标。测试结果表明：采用本文所设计的方法,DDoS攻击检测召回率可以达到80%以上,对于医院通信网络的攻击检测效率更高,泛化能力明显提升,具有实际的应用价值。     

让应用交付更安全

近日，A10 Networks向市场推出了革新型的ThunderTPS系列产品。ThunderTPS可以提供高性能、全网范围的DDoS防护，以高达155Gbps的应用吞吐量有效抵御DDoS攻击，在遇到各种泛洪型、协议漏洞型、资源耗尽型和其它复杂应用攻击的情况下仍能确保服务可用性，应对不断扩大的DDoS攻击规模和复杂性。     

浅析分布式拒绝服务的攻击步骤与防范策略

文中阐述拒绝服务和分布式拒绝服务的定义,分析了DDoS的攻击原理和攻击过程,针对通过网络连接以及利用合理的服务请求来占用过多资源,从而使合法用户无法得到服务的攻击给出了检测措施,然后结合实践经验与国内网络安全的现况,从保护主机系统、优化网络和路由结构、与ISP合作、扫描工具、入侵检测系统等方面给出防御DDoS攻击的有效措施。     

DDoS攻击原理及其防御机制的研究

DDoS攻击是一种被黑客广泛应用的攻击方式,它以破坏计算机系统或网络的可用性为目标,危害性极大。本文首先介绍了DDoS攻击的攻击原理,接着从DDoS攻击的攻击手段和攻击方式两个方面对DoS攻击进行分类介绍,然后针对DDoS攻击的方式,提出了一种检测和防御DDoS攻击的模型,最后利用入侵检测技术和数据包过滤技术,设计了一个针对DDoS攻击的检测与防御系统,该系统具有配置简单、易于扩展、实用性较强等优点。     

基于自相似检测DDoS攻击的小波分析方法

针对传统检测方法不能有效检测弱DDoS攻击和区分繁忙业务和攻击的问题,在研究 DDOS攻击对网络流量自相似性影响的基础上,提出了小波分析检测DDoS攻击的方法,并设计了采用该方法检测DDoS攻击的模型,解决了方法实现过程中小波选择、求解Hurst参数的一些关键问题,实验表明,提出的方法能够识别繁忙业务、检测到弱DDoS攻击引起的Hurst参数值的变化,比传统的检测方法准确灵敏.     

一种基于资源感知的小流量DDoS攻击防御方法

分布式拒绝服务攻击（DDoS）对网络具有极大的破坏性,严重影响现网的正常运营。虽然现网已经部署针对DDoS的流量清洗系统,然而小流量的攻击较洪水型攻击更难以被感知,进而不能得到有效的清洗。本文分析了网络中小流量DDoS攻击的原理和防御现状,并提出一种基于资源感知的小流量DDoS攻击防御方法。     

DDoS攻击原理及抗DDoS设备的应用

随着网络的发展及计算机的普及,网络安全也成为了企业关注的焦点.DDoS攻击简单而有效,已成为网络中非常流行的一种攻击方式.本文在介绍了DDoS原理及分类的基础上,分析了当前安全设备抗DDoS的不足.以此为前提,讲述了专业抗DDoS设备ADS在运营商行业的应用,并提供了一次ADS设备抗DDoS攻击的实例.     

DDoS攻击新趋势及ISP应对方法

分布式拒绝服务(DDoS)攻击是近年来黑客广泛使用的一种攻击手段,它不仅严重影响被攻击者对互联网的访问,还会严重影响互联网络提供商(ISP)网络的正常运行.本文通过对最近一年来发生于北京电信以及中国电信网内的DDOS攻击事件进行分析,总结出当前DDoS攻击的新趋势,并有针对性地从运营商角度提出应对思路,保证运营商互联网骨干的稳定运行.     

Analysis of area-congestion-based DDoS attacks in ad hoc networks

Increased instances of distributed denial of service (DDoS) attacks on the Internet have raised questions on whether and how ad hoc networks are vulnerable to such attacks. This paper studies the special properties of such attacks in ad hoc networks. We examine two types of area-congestion-based DDoS attacks – remote and local attacks – and present in-depth analysis on various factors and attack constraints that an attacker may use and face. We find that (1) there are two types of congestion – self congestion and cross congestion – that need to be carefully monitored; (2) the normal traffic itself causes significant packet loss in addition to the attack impacts in both remote and local attacks; (3) the number of flooding nodes has major impacts on remote attacks while, the load of normal traffic and the position of flooding nodes are critical to local attacks; and (4) given the same number of flooding nodes and attack loads, a remote DDoS attack can cause more damage to the network than a local DDoS attack.     

DDoS攻击恶意行为知识库构建

针对分布式拒绝服务（distributed denial of service,DDoS）网络攻击知识库研究不足的问题,提出了DDoS攻击恶意行为知识库的构建方法。该知识库基于知识图谱构建,包含恶意流量检测库和网络安全知识库两部分：恶意流量检测库对 DDoS 攻击引发的恶意流量进行检测并分类;网络安全知识库从流量特征和攻击框架对DDoS 攻击恶意行为建模,并对恶意行为进行推理、溯源和反馈。在此基础上基于DDoS 开放威胁信号（DDoS open threat signaling,DOTS）协议搭建分布式知识库,实现分布式节点间的数据传输、DDoS攻击防御与恶意流量缓解功能。实验结果表明,DDoS攻击恶意行为知识库能在多个网关处有效检测和缓解DDoS攻击引发的恶意流量,并具备分布式知识库间的知识更新和推理功能,表现出良好的可扩展性。     

Efficient authenticated key agreement protocols resistant to a denial‐of‐service attack

Malicious intruders may launch as many invalid requests as possible without establishing a server connection to bring server service to a standstill. This is called a denial‐of‐service (DoS) or distributed DoS (DDoS) attack. Until now, there has been no complete solution to resisting a DoS/DDoS attack. Therefore, it is an important network security issue to reduce the impact of a DoS/DDoS attack. A resource‐exhaustion attack on a server is one kind of denial‐of‐service attack. In this article we address the resource‐exhaustion problem in authentication and key agreement protocols. The resource‐exhaustion attack consists of both the CPU‐exhaustion attack and the storage‐exhaustion attack. In 2001, Hirose and Matsuura proposed an authenticated key agreement protocol (AKAP) that was the first protocol simultaneously resistant to both the CPU‐exhaustion attack and the storage‐exhaustion attack. However, their protocol is time‐consuming for legal users in order to withstand the DoS attack. Therefore, in this paper, we propose a slight modification to the Hirose–Matsuura protocol to reduce the computation cost. Both the Hirose–Matsuura and the modified protocols provide implicit key confirmation. Also, we propose another authenticated key agreement protocol with explicit key confirmation. The new protocol requires less computation cost. Because DoS/DDoS attacks come in a variety of forms, the proposed protocols cannot fully disallow a DoS/DDoS attack. However, they reduce the effect of such an attack and thus make it more difficult for the attack to succeed. Copyright © 2005 John Wiley & Sons, Ltd.     

基于IXP 1200平台的DDoS攻击防御研究

分布式拒绝服务攻击（DDoS）已经成为互联网最大的威胁之一.提出了一种基于Intel IXP1200网络处理器平台的DDoS防御系统的设计方案,并实际实现了一个防御系统D-Fighter.提出了解决DDoS攻击的两个关键技术：数据包认证和细微流量控制的原理和方法,并在D-Fighter中设计实现.经过实际网络测试环境的应用测试表明,D-Fighter达到了设计目标,对DDoS攻击的防御有较好的效果.     

新网络环境下应用层DDoS攻击的剖析与防御

针对新网络环境下近两年新出现的应用层分布式拒绝服务攻击,本文将详细剖析其原理与特点,并分析现有检测机制在处理这种攻击上的不足.最后,本文提出一种基于用户行为的检测机制,它利用Web挖掘的方法通过Web访问行为与正常用户浏览行为的偏离程度检测与过滤恶意的攻击请求,并通过应用层与传输层的协作实现对攻击源的隔离.     

基于SNMP和神经网络的DDoS攻击检测

DDoS（Distributed Denial of Service）已经严重威胁计算机网络安全。对DDoS攻击检测的关键是找到能反映攻击流和正常流区别的特征,设计简单高效的算法,实时检测。通过对攻击特点的分析,总结出15个基于SNMP（Simple Network Management Protocol）的检测特征。利用BP神经网络高效的计算性能,设计了基于SNMP和神经网络的DDoS攻击检测模型,提高了检测实时性和准确性。实验表明：该检测模型对多种DDoS攻击都具有很好的检测效果。     

Shield Techniques for Application Layer DDoS Attack in MANET: A Methodological Review

In today’s world of wireless networks the mobile ad-hoc networks are widely preferred as a communication medium as these are infrastructure less networks. The application layer of these networks is targeted by attackers because it is responsible for actual data exchange with end users. As human dependency on wireless networks is increasing the DDoS attacks i.e. distributed denial of service attack which becomes a nightmare for the researchers. This attack is one of the most devastating attacks that can be executed on web-servers and congest the network keys like socket connections, CPU cycles, and memory database. In this current mobile computing world the necessity of DDOS attack management is significantly increased because this attack can degrade the entire web experience. Further, this DDOS attack is commenced along with the legitimate requests so it is also important to differentiate DDoS attack from other similar Events. This review endeavors to explore with more emphasis on application layer DDoS attack and its management stages like prevention, detection, mitigation and Differentiation along with comparative statement of prominent techniques discovered in each stage. This methodological survey report shall lead the way to researchers and network designers to suit the specific management scheme to provide the complete protection of wireless networks from DDoS attack.