一种基于决策的DDoS攻击的阻断系统的设计与实现.docVIP

  一种基于决策的 DDoS 攻击的阻断系统的设 计与实现 谭世殊，双锴** 5 10 15 20 25 30 35 40 （北京邮电大学网络技术研究院，北京 100876） 摘要：分布式拒绝服务攻击由于其发起容易，威力巨大，一直是互联网中最主要的威胁之一， 业界针对此类攻击目前没有可行的防御方案。完美的防御 DDoS 攻击的方案是在攻击源头进 行遏制，但是互联网无状态和无认证的特性使得追踪数据源头非常困难。本文提出了一种结 合了入侵检测技术、IP 溯源技术和分布式包过滤技术的阻断方案，能够实现在靠近攻击源 进行阻断，是攻击流无法进入到互联网中，从而有效的防御 DDoS 攻击。该方案具有响应快、 路由器负载低、网络开销小等特点。 关键词：DDoS；分布式拒绝服务攻击；入侵检测；IP 溯源；分布式包过滤； 中图分类号：TP309.2 Design and Implementaion of A Decision-Based Blocking System for Distributed Denial of Service Attack tanshishu, shuangkai (Institute of Network Technology, Beijing University of Posts and Telecommunications, Beijing 100876) Abstract: A distributed denial-of-service (DDoS) attack is one in which a multitude of compromised systems attack a single target, thereby causing denial of service for users of the targeted system. The flood of incoming messages to the target system essentially forces it to shut down, thereby denying service to the system to legitimate users. DDoS attack is easy to be launched and has enormous damage to the victims which makes the DDoS attack become the main threat of the INTERNET. There isnt a feasibIe approach to deaI with DDoS attack within the entire INTERNET up to now. In this paper, we designed and implemented a blocking system to defend the DDoS attack . The system, which consists of Intrusion Detection System(IDS), IP Traceback and distributed filtering system. We deploy the system into a testing network, simulate the attack environment and verify the overall defense capability of the implemented system.(10 Points, Times New Roman) Key words: DDoS; DDoS Attack; Intrusion Detection; IP Traceback; Distributed Packet Filtering 0 引言 互联网的发展速度在进两个十年非常快，互联网已经渗透到生活中的方方面面，从购物 到通信，从工作到娱乐等等，互联网已经成为一些人生活中不可或缺的部分，思科在全球的 一项调查显示[1]，对于三分之一的网民来说，互联网对他们而言就如同水、食物、空气和住 所一样重要。互联网极大的改变了人们的生活，给我们的生活带来了极大的乐趣和便利。但 是，互联网带来的也不全是好处，也存在潜在的风险。互联网存在大量的安全问题，网站后 门、网络钓鱼、移动互联网恶意程序、拒绝服务攻击等等，这些安全问题给互联网的企业和 个人用户带来大量的损失，在我们享受互联网带来的乐趣的同时，我们也必须对互联网的安 全给予足够的重视。 作者简介：谭世殊（1989-），男，北京邮电大学硕士研究生，网络安全 通信联系人：双铠（1977