基于自适应包标记的IP源追踪方案

防御分布式拒绝服务(DDoS)攻击是当前网络攻击研究的重要课题,本文提出了一种DDoS攻击追踪方案的构想,在自适应包标记理论的基础上,提出了新的改进算法,该方案利用了TTL域和并提出了一种伸缩性的包标记策略,可以通过更少的数据包更快的定位出攻击源。同以往方法比较,该算法的灵活性好,并且误报率很低。经仿真实验证明该系统用较少的数据包即追踪IP源,最大限度的减少了攻击带来的损失。     

DDOS防御的新方法

目前,基于包标记的IP追踪和攻击包识别技术是有效防御分布式拒绝服务攻击的主要手段之一。提出一种基于确定包标记的防御新方法通过在子网中增加跟踪服务器,改变EPS编码方式,并通过边界路由器来追踪和识别攻击数据包。实验表明,方法具有追踪攻击源数量大,没有误报率,可以实现攻击包识别、单包追踪和有效保护网络拓扑的隐秘性等优点。     

基于分布式反射拒绝服务攻击的包标记技术的研究

分布式拒绝服务攻击是当今网络安全领域最难防御的攻击之一。在众多的解决方法中,数据包标记无疑成为最主动和最有效的方法。该文通过提出一种结合自适应包标记和代数编码包标记两者特点的新型分布式拒绝服务攻击包标记方法来实现标记过程,并通过对攻击源发出的数据包进行分析重组和IP回溯,从而达到重构攻击树,追踪攻击源头的目的。     

基于跨区域追踪的确定包标记方案

提出一种可以跨区域追踪分布式拒绝服务攻击来源的确定包标记方案,通过将基于中国余数定理的数据包标记算法与DPM-RD方案结合,实现更好的追踪性能。理论分析与仿真结果表明,在攻击数量大幅增长的情况下,该方案的误报率基本不变,与同类方案相比,只需更少的数据包即可在较短时间内重构攻击路径。     

基于多维伪随机序列的高级包标记策略算法

高级包标记策略（AMS）是对分布式拒绝服务（DDoS）攻击进行IP追踪的有效算法,但是,由于使用哈希函数实现边地址的压缩,AMS算法存在复杂度高、保密性差、误报率高等缺陷。为了提高追踪效率,设计了一种基于多维伪随机序列的AMS算法：一方面,在路由器上,以全硬件实现的边采样矩阵代替原有的哈希函数,完成IP地址的压缩编码;另一方面,在受害者端,结合边地址压缩码和边的权重计算过程,实现攻击路径图的输出。仿真实验中,基于多维伪随机序列的AMS算法与原始算法性能基本一致,但能有效减少误判的发生和快速判断伪造路径。实验结果表明,所提算法保密性能高,计算速度快,抗攻击能力强。     

非强制性包标记算法

防御分布式拒绝服务(DDoS)攻击是目前最难处理的网络安全问题之一。在众多解决方法中,包标记方法受到了广泛的重视。在这类标记方案中,路径中的路由器根据一定策略标记过往的数据包,从而受害者可以在短时间内对攻击路径进行重构,实现对攻击者的IP回溯。论文提出了一种新的包标记方法,非强制性包标记算法。可以有效地降低重构时间和误报率,减少了网络和路由器标记数据包的负担。     

基于追踪部署的着色包标记算法的研究 *

基于追踪部署的相关理论和着色包标记算法 ,针对当前危害很大的分布式拒绝服务攻击 ,提出一种基于追踪部署的 IP回溯算法。该算法是以贪心算法为基础 ,利用 K-剪枝算法在网络拓扑图中找出一些关键的路由器 ,利用这些路由器也就是只让 tracers对过往的数据包按照着色包标记算法进行标记 ,这样不但减少了重构路径所需的数据包数 ,降低了路径误报率 ,提高了追踪到攻击者的速度 ,而且大大减轻了路由器标记的负担 ,从而能够迅速准确地找到攻击源。     

基于追踪部署的着色包标记算法的研究 *

基于追踪部署的相关理论和着色包标记算法,针对当前危害很大的分布式拒绝服务攻击,提出一种基于追踪部署的IP回溯算法。该算法是以贪心算法为基础,利用K-剪枝算法在网络拓扑图中找出一些关键的路由器,利用这些路由器也就是只让tracers对过往的数据包按照着色包标记算法进行标记,这样不但减少了重构路径所需的数据包数,降低了路径误报率,提高了追踪到攻击者的速度,而且大大减轻了路由器标记的负担,从而能够迅速准确地找到攻击源。     

基于IPv6拒绝服务攻击和改进确定包算法研究

对IPv6下拒绝服务攻击进行了研究,并根据IPv6协议的特点,提出一种基于IPv6的MAC认证改进确定包标记(ADPM-v6)算法。ADPM-v6利用IPv6新特性,即逐跳选项和改进的MAC认证方法,有效解决了受控路由器修改标记的问题,能直接快速地追踪攻击源。同时分析验证了IPv6真实攻击环境的数据包大小分布,使得算法有效且更具有较强的实用性。理论分析和仿真实验结果表明,该算法在IPv6下大大缩短了重构时间,减少了重构计算量和误报率。     

一种新的DDoS攻击源追踪包标记方法

分布式拒绝服务（DDoS）攻击是目前最难处理的网络难题之一,在提出的多种对策中,通过包标记方法来进行IP跟踪受到广泛重视。提出了一种新的包标记方法（IPPM）,来改进包标记方法需要网络中每个路由器都支持的弱点。通过实验表明,在包标记方法不完整配置的网络中,该方法能有效地重构攻击路径并且误报率很低。     

基于确定线性网络编码的IPv6追踪

针对IPv6的概率包标记(PPM)IP追踪方法的重构路径算法复杂度和误报率过高等不足,提出基于确定线性网络编码的IPv6追踪方法。该方法采用IPv6逐跳选项扩展报头作为标记区域,将确定线性网络编码应用到概率包标记中,同时添加了64bit的攻击路径采样。理论分析和在NS2环境下的仿真实验结果表明,该方法减少了占用的网络带宽和重构路径所需要的数据包数,降低了重构算法复杂度和误报率,提高了标记效率。     

重叠哈希分片的概率包标记方法

针对压缩边分片采样算法复杂度和重构路径误报率过高的问题,提出一种改进的压缩边分片采样概率包标记方法,即重叠哈希分片(OHF)的概率包标记方法。该方法在不增加包标记位的前提下,通过构造相邻的IP哈希分片之间的4位哈希关系,降低重构算法复杂度,同时改善边采样误报率。在NS2环境下的仿真实验表明了OHF方法的有效性。     

Traceback in wireless sensor networks with packet marking and logging

In a hostile environment, sensor nodes may be compromised and then be used to launch various attacks. One severe attack is false data injection which is becoming a serious threat to wireless sensor networks. An attacker uses the compromised node to flood the network and exhaust network resources by injecting a large number of bogus packets. In this paper, we study how to locate the attack node using a framework of packet marking and packet logging. We propose a combined packet marking and logging scheme for traceback (CPMLT). In CPMLT, one packet can be marked by up to M nodes, each node marks a packet with certain probability. When one packet is marked by M nodes, the next marking node will log this packet. Through combining packet marking and logging, we can reconstruct the entire attack path to locate the attack node by collecting enough packets. In our simulation, CPMLT achieves fast traceback with little logging overhead.     

基于大偏差统计模型的Http-Flood DDoS 检测机制及性能分析

针对Http洪泛Web DDoS(distributed denial of service)攻击,提出了一种检测机制.该机制首先采用型方法量化处理用户访问的网页序列,以得到用户访问不同网页的实际点击概率分布;然后,利用大偏差统计模型分析了用户访问行为的实际点击概率分布与网站先验概率分布的偏差;最后,依据大偏差概率检测恶意DDoS攻击.对该机制的性能进行仿真,结果表明,正常用户的大偏差概率大于恶意攻击者,并且大部分正常用户的大偏差概率大于10-36,而大部分恶意攻击者的大偏差概率则小于10-40由此,该机制能够有效地检测Http洪泛Web DDoS攻击,当检测门限设置为10-60时,其有效检测率可达97.5％,而误检率仅为0.6％.另外,将该机制与基于网页转移概率的检测方法进行性能比较,结果表明,该检测机制的检测率优于基于网页专业概率的检测机制,并且在误检率小于5％的情况下,该机制的检测率比现有检测机制提高0.6％.     

非固定概率包标记的IP追踪研究

概述了IP回溯和包标记追踪问题,分析了固定概率包标记方案存在的缺陷,并研究了现有的非固定概率包标记方案,着重对基于三种距离度量的非固定概率包标记进行了分析,指出并部分改进了其中不合理之处。还提出了一种基于攻击者到标记路由器距离的非固定包标记的改进方案,并进行了性能分析。     

防TTL值欺骗的数据包标记算法研究

分布式拒绝服务攻击是目前最难处理的网络难题之一,针对分布式拒绝服务攻击提出了多种应对方案,这些方案都各有优缺点,但其中自适应概率包标记受到了广泛地重视和运用。针对攻击者对TTL初始值的伪造提出了一种自适应策略,有利于防止TTL值的伪造,减少路由器处理器的负担,节省了IP包头的空间。     

概率分组标记(PPM)IP追踪的性能研究

论文研究以概率分组标记(PPM)IP追踪机制对拒绝服务攻击(DoS)的有效性,得到在攻击者试图隐蔽攻击路径条件下选取最优追踪标记概率。     

A practical and robust inter-domain marking scheme for IP traceback

A practical and robust inter-domain marking scheme for IP traceback is proposed. We first identify six drawbacks of Probabilistic Packet Marking (PPM), and then contrive a synergic scheme to address all of them. To relieve the victim from the daunting computational overhead, we derive the optimal marking probability with respect to the number of packets required for path reconstruction, and explore two different approaches to enhance PPM. In so doing, computational burden and spoofed marking inscribed by the attacker are thwarted. Next, we study the issue of bogus marking incurred by subverted routers. By coupling the marking and routing information, a downstream router can examine the correctness of the marking provided by upstream routers, thus eliminating the spurious marking embedded by subverted routers. Our coarse-grained marking tactic (marking at the AS level rather than hop-by-hop) brings two additional benefits: our scheme can effectively suppress false positives, and partial deployment of our scheme may achieve the similar effect as global deployment in the power-law Internet. Finally, we evaluate and analyze the performance of our proposal on empirical Internet measurement data. Results show that as many as 90.67% of marked packets required for path reconstruction may be reduced on average while false positives are greatly suppressed and robustness is significantly enhanced.