基于策略系统的SYN Flooding攻击防御机制

拒绝服务(denial of service)攻击对网络带来的危害越来越严重,SYN Flooding攻击是DoS攻击中著名的一种.本文介绍了在网络测量平台上基于策略系统的SYN Flooding攻击防御机制.文章首先简单介绍了SYN Flooding的攻击原理、防御方法以及网络监测系统,然后对策略系统进行了讨论,最后详细阐述了网络测量平台上基于策略系统的SYN Flooding攻击检测和追踪工具的设计与实现,并进行了分析.     

一种防御SYN Flood的自适应阈值状态模型

SYN Flood攻击可在短时间内发送大量的SYN数据包给防火墙,造成状态检测防火墙的状态表溢出,使其无法响应合法请求,从而导致整个网络的系统性能下降。在防御SYN Flood攻击的状态检测模型的基础上,提出一种自适应阈值状态检测模型。它利用自适应阈值算法对流量进行预处理,保障防火墙在高强度攻击下的自身安全。实验表明,该模型能有效抵御SYN Flood对内网主机的攻击,同时在一定程度上提高了状态检测防火墙自身防御的能力。     

基于SYN Cookie的DDoS防御技术研究

文章讨论了防御SYN Flood类型DDoS攻击的基本原理和技术,通过对比几种SYN Cookie方案的技术细节,提出了一种改进方案和相应的系统模型。     

接入控制器中基于Netfilter的防范DDOS攻击策略研究

DDOS(分布式拒绝服务)是一种常见的、破坏力强的网络攻击,为了减小其对网络设备的影响,提出一种在接入控制器中基于 Netfilter的防范DDOS攻击的策略。结合改良的 SYN Cookie(标识握手信号的本地数据)技术,对 Linux 内核中的Netfilter进行二次开发,实现了针对DDOS中 SYN Flood(标识握手信号的洪水攻击)方式的防火墙。测试结果表明：该方案能够有效地防止网络攻击,以较小的性能损失保证TCP(传输控制协议)服务的正常工作,并节约了成本。     

安全协议DoS攻击的形式化分析方法研究

针对形式化方法对安全协议DoS攻击分析的不足之处,提出了一种基于串空间模型的扩展形式化方法。利用扩展后的形式化方法,对IEEE802．11i四步握手协议进行了DoS攻击分析,发现其的确存在DoS攻击漏洞。通过分析,提出一种可以改善DoS攻击的方法,并通过了扩展形式化方法对于判断安全协议DoS攻击分析的测试规则。最后,根据扩展形式化方法对改进后的四步握手协议进行证明,得出改进后协议可以通过两类DoS测试规则运行至结束。     

TCP SYN Flooding原理及其应对策略

本文首先详细讲述了拒绝服务（DoS)攻击的主要方式-TCP SYN Flooding的基本原理，然后介绍几种能够有效遏制其危害性的策略方法。     

SYN Flood攻击的检测

为有效防止和避免网络的SYN Flood攻击,论文介绍了 SYN Hood攻击的基本原理,国内外研究现状,然后详细描述了两种比较有效和方便实施的防御方法:SYN-cookie技术和地址状态监控.SYN-cookie技术实现了无状态的握手,避免了SYN Flood的资源消耗.地址状态监控的解决方法能够对每一个连接服务器的...     

基于ICMP缺陷的DoS攻击的机理及其防范

ICMP协议的缺陷常常被攻击者用来进行网络DoS攻击。论文探讨了利用ICMP缺陷进行DoS攻击的机理,模拟了利用ICMP缺陷实施DoS攻击及其拦截,并由此提出了一些防范此类攻击的措施。     

DDOS攻击原理及其防御策略研究

阐述了DDOS攻击的原理;论述了目前主要的几种DDOS攻击方式即SYN／ACK Flood攻击。TCP全连接攻击和刷Script脚本攻击;针对这些主要的攻击方式提出了采用高性能的网络设备、尽量避免NAT的使用、使用网络和主机扫描工具检测脆弱性、采用网络入侵检测系统NIDS和探测器、增强操作系统的TCP／IP栈、速率限制法、调整服务器的各项参数等防御策略;并结合一个实际的DDOS攻击案例讨论了相应的解决措施．     

IPv6环境下SYN-Flood攻击防范的研究

在分析几种常规防范DDoS方法特点和不足的基础上,结合数据包流量检测技术和改进的TCP Cookie技术,在IPv6环境下建立了一种数据包检测--智能过滤PDIF(Packet Detection and Intelligence Filter)防御SYN Flood 攻击的模型.通过检测数据包流量是否超出闻值来分析是否发生攻击,同时采用一种验证远程客户端TCP连接有效性的算法来实现智能过滤,将DDoS攻击分组拦截而让正常的网络流量通过,在实验室测试中取得了较好的效果.     

移动Ad Hoc网络DoS攻击效果评估方法

为了有效评估移动Ad Hoc网络中的DoS攻击效果,文章结合网络安全属性和攻击属性两方面建立了评估指标体系,在此基础上,提出了基于变权灰色模糊的攻击效果评估模型,并给出了量化评估的方法和步骤。最后利用该方法对DoS攻击进行了仿真评估分析,量化评估结果能够较好地反映不同攻击方式的效果。     

Web plug-in paradigm for anti-DoS attack based on end hopping

The end hopping technology is a proactive network defense technology proposed to mitigate the network attack.By changing the IP address,port and other information in the communication pseudo-randomly to achieve the purpose of confusing the attacker.The plug-in mechanism based on the end hopping technology was introduced,and it was applied to the field of Web protection.This plug-in was designed to confuse and interfere with attackers.The plug-in model was divided into two working modes,which are non-end-hopping mode and end hopping mode.The plug-in according to the instructions of the UDP spokesman to switch its own work mode and when the communication link is safe and reliable,it choose the fist mode which can reduce the cost of services.Another,when the network is attacked,the plug-in switches to the end hopping mode to ensure the safety of communications.The experimental results show that the plug-in mechanism based on end hopping has high service and security performance under SYN Flood attack and UDP Flood attack.     

拒绝服务攻击及防御措施

拒绝服务攻击(DoS)是当前很常见的一种攻击,它攻击目标系统,使得被攻击系统无法给其合法用户提供正常的服务.DoS攻击的目标即可能是主机系统,也可能是网络设备或者网络本身,它主要通过消耗目标系统的CPU能力、内存、网络带宽,或者使系统死机、崩溃等来达到目的.由于DoS攻击一般不需要入侵系统,因此,经常利用UDP,ICMP等协议,DoS攻击中经常伪造源地址,这也导致了DoS攻击难于追查.     

检测SYN洪水攻击的动态模型

分布式拒绝服务攻击对Internet威胁很大。正常服务器在这种攻击下资源会被很快消耗掉，从而不能为合法用户提供服务。本文提出了一个简单实用的动态检测模型用于检测SYN洪水攻击．可以实时有效和准确地检测到最为流行的SYN洪水攻击。在模型中采用基于CUSUM(Cumulative Sum)的自调整算法，可以有效降低系统的误报率。     

移动IP的安全策略研究

移动IP的引入解决了终端的移动性接入问题,但又使得入侵者既可以在有线网络部分进行攻击还可以通过无线方式发起攻击。在无线链路上,黑客不直接接入网络就可以发起攻击,加之频带资源的有限,若在无线链路上发起DoS 攻击必将带来很大的危害性。文中分析了移动IP中的安全问题,提出了解决移动IP中DoS攻击的方法。     

抗DoS攻击的多用户传感器网络广播认证方案

在vBNN-IBS签名基础上提出了一种抗DoS攻击的多用户传感器网络广播认证方案DDA-MBAS,利用散列运算及用户信息进行虚假数据过滤。与现有的多用户传感器网络广播认证方案相比,DDA-MBAS在抵抗节点妥协攻击、主动攻击的基础上,以较低的能耗过滤虚假消息并有效地限制了妥协用户发起的DoS攻击及共谋攻击的安全威胁。     

针对TCP序列号漏洞的攻击原理及其预防研究

文章针对最近发现的TCP序列号漏洞的基本原理,系统分析了对其攻击过程,研究了预防攻击的方法,并对TCP协议提出了改进措施。